Blog

Base legale du traitement : les 6 fondements de l'article 6 du RGPD a connaitre

Publie le 13/10/2026 · Temps de lecture : 9 min

Avant meme de parler de consentement ou de banniere cookies, le RGPD pose une regle plus fondamentale : aucun traitement de donnees personnelles ne peut avoir lieu sans qu'il repose sur une des six bases legales listees a l'article 6 du reglement. Beaucoup de TPE et de PME reduisent le RGPD au seul consentement, alors que cette base n'est pertinente que pour une partie limitee de leurs traitements. Facturer un client, tenir une comptabilite ou gerer un contrat de travail reposent sur d'autres fondements juridiques, qu'il faut savoir identifier correctement.

Cet article detaille les six bases legales de l'article 6, avec des exemples concrets adaptes a une petite structure, pour choisir la bonne base avant de lancer un traitement plutot que de la deviner apres coup.

Sommaire

• Pourquoi une base legale est obligatoire
• 1. Le consentement
• 2. L'execution d'un contrat
• 3. Le respect d'une obligation legale
• 4. La sauvegarde des interets vitaux
• 5. L'exercice d'une mission d'interet public
• 6. L'interet legitime
• Comment choisir la bonne base pour un traitement donne
• Questions frequentes

Pourquoi une base legale est obligatoire

L'article 6.1 du RGPD est clair : un traitement de donnees personnelles n'est licite que s'il remplit au moins une des six conditions qu'il enumere. Sans base legale identifiee, le traitement est illicite, meme si les donnees sont par ailleurs bien securisees et que la personne concernee n'a subi aucun prejudice visible. C'est un point de controle systematique de la CNIL : pour chaque ligne du registre des traitements prevu a l'article 30, l'entreprise doit pouvoir indiquer la base legale retenue.

L'article 13 ajoute une obligation de transparence : la base legale utilisee pour chaque finalite doit etre communiquee aux personnes concernees, en pratique dans la politique de confidentialite du site. Une politique qui se contente d'un vague « vos donnees sont traitees conformement au RGPD » sans preciser la base retenue pour chaque finalite ne respecte pas cette exigence.

1. Le consentement

C'est la base la plus connue, et aussi la plus exigeante dans ses conditions de validite. L'article 7 du RGPD impose que le consentement soit libre, specifique, eclaire et univoque : libre signifie que la personne doit avoir un choix reel, sans etre penalisee si elle refuse ; specifique signifie qu'un consentement donne pour une finalite ne vaut pas pour une autre ; univoque exclut toute case precochee ou inaction interpretee comme un accord. L'article 7.3 ajoute qu'il doit etre aussi simple de retirer son consentement que de le donner.

En pratique, le consentement est la base adaptee pour une banniere cookies non essentiels, une newsletter commerciale adressee a un particulier qui n'est pas deja client, ou la collecte de donnees de sante dans un formulaire. C'est aussi la base la plus fragile : elle peut etre retiree a tout moment, ce qui oblige l'entreprise a cesser le traitement concerne sans delai lorsque cela se produit.

2. L'execution d'un contrat

L'article 6.1.b couvre les traitements necessaires a l'execution d'un contrat auquel la personne est partie, ou a des mesures precontractuelles prises a sa demande. C'est la base la plus courante pour une activite commerciale classique : traiter le nom, l'adresse de livraison et les coordonnees bancaires d'un client pour honorer une commande ne necessite pas de consentement distinct, car ce traitement est une condition meme de l'execution du contrat de vente.

Le mot-cle est « necessaire » : seules les donnees objectivement indispensables a l'execution du contrat relevent de cette base. Demander la date de naissance pour livrer un colis, par exemple, deborde du cadre contractuel et devrait reposer sur une autre base (consentement ou interet legitime) si elle est vraiment utile.

3. Le respect d'une obligation legale

L'article 6.1.c s'applique lorsqu'une loi impose explicitement le traitement, independamment de la volonte de l'entreprise ou de la personne concernee. L'exemple le plus frequent en TPE/PME est la conservation des documents comptables et des factures pendant 10 ans, imposee par l'article L123-22 du Code de commerce : ce traitement ne repose ni sur un contrat, ni sur un consentement (que le client le veuille ou non, la facture doit etre conservee), mais sur une obligation legale directe.

Les declarations sociales et fiscales aux organismes publics, la tenue d'un registre du personnel ou la transmission de certaines donnees a l'administration fiscale relevent egalement de cette base : l'entreprise n'a pas le choix de traiter ces donnees, une loi le lui impose.

4. La sauvegarde des interets vitaux

L'article 6.1.d vise les situations ou le traitement est necessaire pour proteger la vie ou l'integrite physique d'une personne, lorsque celle-ci n'est pas en mesure de donner son consentement. C'est une base tres rarement mobilisee par une entreprise classique : elle concerne surtout le secteur medical et les situations d'urgence (transmettre le dossier medical d'une personne inconsciente aux secours, par exemple).

Pour une TPE ou une PME hors secteur de la sante, cette base n'a en pratique quasiment aucune application directe. Elle est mentionnee ici pour memoire, afin de couvrir l'ensemble des six bases prevues par le texte.

5. L'exercice d'une mission d'interet public

L'article 6.1.e concerne les traitements necessaires a l'exercice d'une mission d'interet public ou relevant de l'exercice de l'autorite publique dont est investi le responsable du traitement. Cette base s'adresse avant tout aux administrations, collectivites et organismes charges d'une mission de service public.

Une entreprise privee peut neanmoins s'y trouver rattachee si elle agit en delegation d'une mission de service public (certains organismes de formation habilites, par exemple), mais cela reste une exception. Pour la grande majorite des TPE et PME, cette base ne s'applique pas.

6. L'interet legitime

L'article 6.1.f autorise un traitement lorsqu'il est necessaire aux fins des interets legitimes poursuivis par le responsable du traitement, sauf si prevalent les interets ou les libertes et droits fondamentaux de la personne concernee. C'est la base la plus souple, mais aussi celle qui demande le plus de rigueur : elle impose une mise en balance explicite entre l'interet de l'entreprise et les droits de la personne, a documenter dans le registre des traitements.

Le considerant 47 du RGPD precise explicitement que le traitement de donnees a des fins de prospection directe peut etre regarde comme relevant d'un interet legitime. C'est la raison pour laquelle une entreprise peut, sous conditions, prospecter par email ses clients existants pour des produits ou services analogues sans recueillir un nouveau consentement, alors qu'un consentement explicite reste necessaire pour prospecter un simple prospect. La prevention de la fraude ou la securite du reseau informatique de l'entreprise sont d'autres exemples courants d'interet legitime. Dans tous les cas, la personne concernee conserve un droit d'opposition propre a cette base, prevu a l'article 21 du RGPD.

Comment choisir la bonne base pour un traitement donne

La methode la plus fiable consiste a partir de la finalite precise du traitement, et non de l'outil ou de la technologie utilisee. Trois questions permettent generalement de trancher :

• Une loi impose-t-elle ce traitement, independamment de la volonte des parties ? Si oui, c'est l'obligation legale.
• Le traitement est-il indispensable pour executer un contrat deja conclu ou en cours de negociation a la demande du client ? Si oui, c'est l'execution du contrat.
• En l'absence des deux cas precedents, l'entreprise a-t-elle un interet reel et proportionne, qui ne porte pas une atteinte excessive aux droits de la personne ? Si oui, l'interet legitime peut s'appliquer, a condition de documenter la mise en balance. Sinon, il faut recueillir un consentement specifique.

Cette analyse se fait finalite par finalite, pas traitement par traitement global : un meme outil (un CRM, par exemple) peut traiter des donnees relevant de bases differentes selon l'usage qui en est fait a un instant donne.

Questions frequentes

A lire aussi

Cadre legal

CNIL, RGPD, LCEN : quelle difference et quel texte s'applique a votre site ?

Lire

Droits des personnes

Droit a la limitation du traitement RGPD (article 18) : geler des donnees sans les supprimer

Lire

Droits des personnes

Droit de rectification RGPD (article 16) : comment corriger des donnees inexactes

Lire