Puis-je changer de base légale pour un même traitement ?

Oui, il est possible de modifier la base légale si les circonstances changent. Cependant, vous ne pouvez pas changer de base simplement parce que vous réalisez que le consentement est trop difficile à obtenir. Tout changement doit être justifié, documenté dans votre registre et, si vous passez d'une base sans consentement à une base avec consentement, vous devez informer les personnes concernées et recueillir leur accord.

Le consentement est-il obligatoire pour tout traitement marketing ?

Pas systématiquement. En B2B, la prospection commerciale peut souvent s'appuyer sur l'intérêt légitime si le produit proposé est en rapport avec l'activité professionnelle de la personne. En revanche, pour le B2C (particuliers), le consentement préalable (opt-in) est la règle générale pour l'emailing, conformément aux directives ePrivacy et au RGPD.

Qu'est-ce que le test de mise en balance pour l'intérêt légitime ?

C'est un document écrit où vous analysez trois points : 1. La finalité (quel est l'intérêt ?), 2. La nécessité (le traitement est-il indispensable ?), 3. L'équilibre (les droits de l'utilisateur sont-ils respectés ?). Si le risque pour la vie privée est trop élevé par rapport à votre gain commercial, l'intérêt légitime ne peut pas être utilisé.

L'exécution du contrat permet-elle de collecter toutes les données ?

Non, seules les données strictement nécessaires à la fourniture du service peuvent être collectées sous cette base. Si vous demandez la date de naissance pour livrer un colis, ce n'est pas nécessaire à l'exécution du contrat. Toute donnée superflue doit reposer sur une autre base légale, comme le consentement, sous peine d'être jugée excessive.

Que risque-t-on en cas de mauvaise base légale ?

Le traitement est considéré comme illicite. Cela peut mener à une injonction de supprimer toutes les données collectées, une interdiction de poursuivre le traitement et une amende à titre indicatif. Au-delà du financier, c'est l'image de marque de votre PME qui est touchée si vos clients apprennent que leurs données sont traitées sans fondement juridique.

L'obligation légale s'applique-t-elle aux contrats privés ?

Non. Une obligation contractuelle (un contrat signé entre deux entreprises) n'est pas une obligation légale. L'obligation légale provient d'une loi, d'un décret ou d'un règlement. Pour un contrat privé, vous devez utiliser la base légale exécution du contrat ou l'intérêt légitime, mais jamais l'obligation légale.

Guide5 min de lecture10 juillet 2026Mis à jour le 5 août 2026

Article 6 RGPD : comment choisir votre base légale en 2026

article 6 rgpdbase légale rgpd

ⓘ Certains contenus de ce site sont rédigés avec l’assistance d’une IA. En savoir plus

Woman sorting through documents in a home office setting. Organized workspace with plants. — Photo : www.kaboompics.com sur Pexels

L'article 6 RGPD impose que tout traitement de données personnelles repose sur l'une des six bases légales définies par le règlement. Pour choisir la bonne, vous devez identifier la finalité de votre traitement et vérifier laquelle de ces justifications juridiques s'applique le mieux à votre situation. Une erreur de qualification peut rendre votre traitement illicite et vous exposer à des sanctions financières. Pour un dirigeant de PME, cette étape est le socle de la conformité. Sans base légale valide, le reste de votre documentation RGPD n'a aucune valeur juridique. En 2026, la CNIL et les autorités européennes renforcent leurs contrôles sur la pertinence du choix de la base légale, notamment pour le marketing et le profilage. Il ne s'agit pas de choisir la base la plus simple, mais celle qui correspond à la réalité juridique de votre activité. Ce guide vous accompagne pour sécuriser vos processus et transformer cette contrainte réglementaire en un gage de confiance pour vos clients.

Le consentement : une base légale exigeante et révocable

Le consentement est souvent la première option envisagée, mais c'est l'une des plus complexes à maintenir. Selon l'article 6(1)(a), le consentement doit être libre, spécifique, éclairé et univoque. Concrètement, cela signifie qu'une case pré-cochée est interdite. Le silence ou l'inaction ne valent pas consentement. Vous devez prouver que l'utilisateur a effectué un acte positif clair. Le risque majeur ici est la gestion de la preuve et la révocabilité. L'utilisateur doit pouvoir retirer son consentement aussi facilement qu'il l'a donné. Si vous utilisez le consentement pour vos newsletters ou vos cookies, vous devez tenir un registre précis des dates et modalités de recueil. Absence de preuve : infraction. La solution consiste à mettre en place un système de gestion des consentements automatisé et transparent, permettant un retrait immédiat et effectif du traitement des données.

L'exécution du contrat : la base logique pour vos services

L'article 6(1)(b) permet de traiter des données si cela est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie, ou pour prendre des mesures précontractuelles. C'est la base légale idéale pour la gestion des commandes, la livraison d'un produit ou la gestion d'un compte client. Vous n'avez pas besoin de demander le consentement pour envoyer une facture, car c'est une nécessité contractuelle. Attention toutefois à ne pas étendre cette base à des finalités annexes. Par exemple, utiliser l'adresse email d'un client pour lui envoyer des offres promotionnelles n'est pas nécessaire à l'exécution du contrat de vente. Confusion de base : risque d'amende. Pour rester conforme, vous devez strictement séparer les données nécessaires au service de celles utilisées pour le marketing. Si le traitement n'est pas indispensable pour fournir le service promis, l'exécution du contrat ne peut être invoquée.

L'intérêt légitime : l'option flexible mais risquée

L'intérêt légitime, prévu à l'article 6(1)(f), est la base la plus souple car elle ne nécessite pas de consentement ni de contrat. Elle permet de traiter des données pour des raisons commerciales ou de sécurité, à condition que vos intérêts ne l'emportent pas sur les droits et libertés des personnes. C'est souvent le cas pour la prospection B2B ou la lutte contre la fraude. Cependant, cette base impose la réalisation d'un test de mise en balance. Vous devez documenter trois étapes : la légitimité de l'intérêt, la nécessité du traitement et l'équilibre avec les droits de l'individu. Absence de test documenté : fragilité juridique. La solution est de rédiger une analyse d'impact simplifiée dans votre registre, justifiant pourquoi vos intérêts prévalent. N'oubliez pas que la personne concernée dispose d'un droit d'opposition systématique pour les traitements basés sur l'intérêt légitime.

L'obligation légale et la mission de service public

Certains traitements sont imposés par la loi, rendant le choix de la base légale automatique. L'article 6(1)(c) concerne l'obligation légale : c'est le cas pour la déclaration sociale des salaires, la conservation des documents comptables pendant dix ans ou la transmission d'informations aux autorités fiscales. Ici, aucune volonté de l'entreprise ou du client n'intervient ; c'est le législateur qui commande. L'article 6(1)(e) concerne quant à lui l'exécution d'une mission d'intérêt public ou l'exercice de l'autorité publique. Cette base est principalement réservée aux administrations ou aux organismes investis d'une mission de service public. Pour une PME classique, elle est rarement applicable, sauf dans le cadre de partenariats publics très spécifiques. L'erreur classique est de confondre obligation légale et simple recommandation sectorielle. Vérifiez toujours l'existence d'un texte de loi précis avant d'invoquer cette base.

La sauvegarde des intérêts vitaux : un cas d'exception

L'article 6(1)(d) prévoit le traitement des données pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique. C'est une base légale d'urgence, utilisée presque exclusivement dans le domaine médical ou lors d'accidents graves. Par exemple, transmettre le groupe sanguin d'un patient inconscient aux urgences relève des intérêts vitaux. Pour la majorité des dirigeants de PME, cette base n'aura aucune application quotidienne. Toutefois, elle est essentielle pour comprendre que le RGPD n'est pas un blocage absolu : la vie humaine prime sur la protection des données. L'utilisation abusive de cette base pour justifier un traitement commercial serait sanctionnée sévèrement. Elle doit rester strictement limitée aux situations où le délai d'obtention d'un consentement est impossible et que le risque est imminent et grave.

Comment documenter vos choix pour éviter les sanctions

Choisir une base légale ne suffit pas ; il faut pouvoir le prouver en cas de contrôle de la CNIL. Le principe d'accountability, ou responsabilité, vous oblige à documenter chaque choix dans votre registre des activités de traitement. Pour chaque fichier de données, vous devez indiquer clairement la base légale retenue et, le cas échéant, le raisonnement qui a conduit à ce choix (notamment pour l'intérêt légitime). Un registre incomplet ou des bases légales incohérentes peuvent entraîner des amendes à titre indicatif pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial. La solution est la rigueur : revoyez vos bases légales chaque année, car une évolution de votre produit ou de votre stratégie marketing peut rendre une base obsolète. L'appui de professionnels indépendants permet de valider ces choix et de s'assurer que la documentation est solide face à un inspecteur.

FAQ sur article 6 RGPD : comment choisir votre base légale en 2026

Conclusion

Le choix de votre base légale selon l'article 6 RGPD n'est pas une simple formalité administrative, c'est l'assurance juridique de votre activité. Une erreur de qualification peut fragiliser l'ensemble de votre structure et vous exposer à des sanctions. Pour sécuriser vos processus sans vous perdre dans le jargon juridique, la solution est de s'appuyer sur un diagnostic précis. Nous vous conseillons de réaliser un audit de conformité RGPD pour valider vos choix et mettre à jour votre registre. Les DPO indépendants du réseau ITWATCHYOU vous accompagnent pour rendre vos traitements transparents et robustes. La conformité RGPD, enfin simple. Rendez-vous sur itwatchyou.fr pour démarrer votre mise en conformité.

audit de conformité RGPD