Quelle base légale choisir pour un traitement de données ?

Introduction

Le choix de la base légale est la décision la plus structurante d’un traitement, et la plus souvent expédiée. Elle détermine les droits ouverts aux personnes et la capacité de l’entreprise à maintenir le traitement dans la durée.

Les six bases disponibles

Le consentement de la personne concernée.

L’exécution d’un contrat auquel la personne est partie, ou de mesures précontractuelles prises à sa demande.

Le respect d’une obligation légale à laquelle le responsable est soumis.

La sauvegarde des intérêts vitaux de la personne ou d’un tiers.

L’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique.

Les intérêts légitimes poursuivis par le responsable ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne.

Le consentement, souvent mal employé

Il doit être libre, spécifique, éclairé et univoque, se manifester par un acte positif clair.

Il est libre lorsque la personne dispose d’un véritable choix : un consentement conditionnant l’accès à un service qui n’en a pas besoin n’est pas libre.

Il peut être retiré à tout moment, aussi facilement qu’il a été donné, ce qui oblige à cesser le traitement.

Cette révocabilité en fait une base fragile pour les traitements nécessaires à l’activité. Fonder la gestion d’un fichier client sur le consentement expose à devoir supprimer des données nécessaires à l’exécution du contrat.

L’exécution du contrat

Elle couvre les traitements objectivement nécessaires à la fourniture du service ou du produit.

La gestion d’une commande, la facturation, la livraison, le service après-vente relèvent de cette base.

Sa limite tient à la nécessité : un traitement simplement utile au responsable, mais non indispensable à l’exécution, ne peut pas s’y rattacher. Le profilage marketing ne relève pas de l’exécution du contrat de vente.

L’obligation légale

Elle couvre les traitements imposés par un texte : conservation des factures, déclarations sociales, obligations comptables.

Elle est solide, mais son périmètre est strictement délimité par le texte qui la fonde. Elle ne peut pas être invoquée pour des traitements simplement encouragés ou usuels.

L’intérêt légitime

C’est la base la plus souple et la plus exigeante à justifier.

Elle suppose une mise en balance entre l’intérêt poursuivi et les droits et libertés des personnes, tenant compte de leurs attentes raisonnables au regard de leur relation avec le responsable.

Cette analyse doit être documentée : identification de l’intérêt, nécessité du traitement, examen des incidences sur les personnes, mesures d’atténuation, conclusion.

Elle couvre notamment la prospection commerciale entre professionnels, la sécurité des systèmes, la prévention de la fraude, ou la gestion des impayés.

Elle ouvre en contrepartie un droit d’opposition, que la personne peut exercer pour des raisons tenant à sa situation particulière.

L’articulation avec les droits

Le choix de la base détermine les droits applicables.

Le droit à l’effacement est renforcé lorsque le traitement repose sur le consentement.

Le droit à la portabilité n’existe que pour les traitements fondés sur le consentement ou l’exécution d’un contrat, et mis en œuvre par des moyens automatisés.

Le droit d’opposition existe pour les traitements fondés sur l’intérêt légitime ou une mission d’intérêt public, et sans condition en matière de prospection.

Ces différences expliquent qu’un choix de base par facilité produise des conséquences durables.

Les erreurs fréquentes

Invoquer le consentement pour un traitement nécessaire à l’exécution du contrat, ce qui affaiblit inutilement la position.

Invoquer l’intérêt légitime sans avoir réalisé ni documenté la mise en balance.

Retenir une base différente selon les documents : registre, politique de confidentialité et formulaire doivent être cohérents.

Changer de base lorsque la première devient contraignante, notamment après un retrait de consentement.

Documenter le choix dès la conception

Une base légale mal choisie fragilise le traitement pour toute sa durée. Notre expertise RGPD et protection des données personnelles conduit ces analyses.

En résumé

• Six bases légales, non interchangeables, à choisir traitement par traitement.
• Le consentement est révocable à tout moment : il fragilise les traitements nécessaires à l’activité.
• L’exécution du contrat suppose une nécessité objective, pas une simple utilité.
• L’intérêt légitime exige une mise en balance documentée et ouvre un droit d’opposition.
• La base retenue détermine les droits applicables, dont l’effacement et la portabilité.