Article 6 RGPD : licéité et conditions des fondements

L’article 6 du RGPD fixe les conditions de licéité d’un traitement entrant dans son champ. Son application exige davantage que le nom d’une base dans un registre : il faut établir les faits qui satisfont le fondement choisi, puis respecter les autres règles du règlement.

Art. 6(1) : au moins une condition de licéité

Le paragraphe 1 prévoit six fondements : consentement ; contrat ou mesures précontractuelles demandées ; obligation légale ; intérêts vitaux ; mission d’intérêt public ou autorité publique ; intérêt légitime. Le traitement n’est licite que si, et dans la mesure où, au moins une de ces conditions est remplie. Source : texte de l’Art. 6.

La formulation ne signifie pas qu’il faudrait afficher toutes les bases possibles pour se protéger. La doctrine de la CNIL distingue les finalités au sein d’un même traitement et demande un choix pour chacune. Une base ne doit pas être annoncée comme un recours caché qui empêcherait ensuite l’exercice des droits attachés à une autre.

Le guide pratique des bases légales propose une fiche de décision. Les développements ci-dessous expliquent les points juridiques qui bornent cette décision.

Consentement et contrat : Art. 6(1)(a) et (b)

Le consentement porte sur une ou plusieurs finalités spécifiques. Sa définition figure à l’Art. 4(11) et ses conditions à l’Art. 7 : preuve, clarté de la demande, retrait aussi simple que le recueil et prise en compte du caractère libre. Il n’est pas valable du seul fait qu’une case figure dans le formulaire.

Le contrat suppose que la personne concernée soit partie au contrat. Les mesures précontractuelles doivent être prises à sa demande. La nécessité s’apprécie objectivement : inscrire une opération dans des conditions générales ne démontre pas qu’elle est indispensable à l’exécution du service.

L’arrêt Mousse, C-394/23, du 9 janvier 2025, l’illustre pour la civilité recueillie lors de la vente de titres de transport. Le communiqué de la Cour indique que personnaliser les échanges selon l’identité de genre présumée ne paraît pas indispensable à l’exécution correcte du contrat de transport, des formules génériques moins intrusives étant possibles. Source : communiqué CJUE n°2/25.

Obligation légale et mission publique : Art. 6(1)(c), (e), 6(2) et 6(3)

L’obligation légale doit s’imposer au responsable. Un contrat avec un client, une politique interne ou une préférence sectorielle ne sont pas, par leur seule existence, une obligation légale de ce type.

Pour les fondements c) et e), l’Art. 6(3) exige un fondement en droit de l’Union ou d’un État membre auquel le responsable est soumis. La finalité doit être définie dans ce fondement ou, pour e), nécessaire à la mission ou à l’autorité publique. Ce droit doit poursuivre un objectif d’intérêt public et être proportionné à l’objectif légitime. L’Art. 6(2) permet des dispositions nationales plus spécifiques dans ce cadre. Source : Art. 6(2) et (3).

La mission publique n’est pas réservée par principe aux personnes morales publiques : le considérant 45 admet des organismes privés lorsque le droit leur attribue la mission pertinente. Inversement, la seule affirmation d’un intérêt général par une entreprise ne suffit pas. Source : RGPD, considérant 45.

Contrôle à effectuer : conserver le texte, vérifier son entrée en application, son destinataire et les opérations qu’il rend nécessaires. Une obligation de transmettre une donnée à une autorité ne justifie pas toute réutilisation commerciale de cette donnée.

Intérêts vitaux et intérêt légitime : Art. 6(1)(d) et (f)

Les intérêts vitaux concernent ceux de la personne ou d’une autre personne physique. Le considérant 46 vise un intérêt essentiel à la vie et précise notamment l’articulation lorsque l’intérêt vital d’une autre personne est en cause. L’Art. 6(1)(d) ne doit pas être réécrit comme contenant lui-même toutes les conditions de l’Art. 9(2)(c), notamment l’incapacité de consentir applicable dans cette exception pour les données sensibles.

L’intérêt légitime exige un intérêt du responsable ou d’un tiers, un traitement nécessaire et une mise en balance favorable au regard des intérêts, droits et libertés des personnes. Le dernier alinéa de l’Art. 6(1) l’exclut pour les autorités publiques dans l’exécution de leurs missions. La méthode de justification de l’intérêt légitime explique les preuves à préparer.

Ne déduisez pas du mot « interne » qu’un traitement d’une autorité publique se situe hors de ses missions : cette qualification doit être examinée, y compris pour ses moyens de fonctionnement.

Art. 6(4) : vérifier une nouvelle finalité

Lorsque la nouvelle utilisation ne repose pas sur un consentement à cette fin ou sur le droit de l’Union ou d’un État membre répondant aux conditions de l’Art. 6(4), le responsable examine sa compatibilité avec la finalité initiale. Cinq dimensions sont citées : lien des finalités, contexte de collecte, nature des données, conséquences possibles et garanties.

Le considérant 50 précise qu’une réutilisation compatible ne nécessite pas une base distincte de celle ayant permis la collecte. L’information des personnes et les autres règles restent applicables. Notre fiche sur le changement de finalité et de base légale organise cet examen avant la mise en service.

Articuler l’article 6 avec le reste du RGPD

Une base légale ne dispense ni de minimiser les données ni de fixer leur durée. Pour les catégories particulières, vérifiez aussi une exception de l’Art. 9(2) et ses conditions. La notice doit préciser les finalités et la base juridique selon les Art. 13(1)(c) ou 14(1)(c). Source : obligations d’information.

La base n’est pas une rubrique expressément listée dans l’Art. 30(1) ; la documenter demeure utile à la démonstration exigée par l’Art. 5(2). Distinguez l’obligation de licéité de la forme choisie pour en conserver la preuve.

Cas de qualification : cinq opérations d’un loueur

Prenons un loueur d’instruments de musique fictif, Accord Location SARL. Il prépare un nouveau formulaire pour les adultes qui réservent un instrument. Son projet initial attribue la base « contrat » à toutes les informations, y compris celles demandées par simple habitude. Le juriste examine séparément les opérations :

La ligne relative au contact professionnel mérite une motivation réelle. L’intérêt est de coordonner la remise et le retour des instruments avec l’entreprise cliente. Une boîte générale ne suffit pas toujours à organiser le rendez-vous convenu ; seul le nom, la fonction utile et le contact professionnel sont conservés. Le salarié peut raisonnablement s’attendre à ces échanges dans sa mission. Pas de coordonnées privées, pas de classement personnel, accès limité au suivi de la location et information sur l’opposition : dans ces hypothèses, la mise en balance est favorable. Si le loueur ajoute ensuite une évaluation du salarié, cette conclusion ne couvre pas le nouvel usage.

Ce tableau ne remplace pas les autres activités de la société, notamment sa comptabilité. Il montre pourquoi une même application contient plusieurs raisonnements juridiques. Il ne faut pas créer artificiellement six finalités pour utiliser les six fondements : les intérêts vitaux et la mission publique n’ont aucune pertinence dans le fonctionnement ordinaire décrit.

Une base choisie doit produire des conséquences réelles

Le loueur conserve une fiche pour le témoignage : « finalité : publier le retour de Camille sur la location du violoncelle ; support : page de présentation du service ; données : texte accepté et prénom ; base : Art. 6(1)(a) ; personne chargée du retrait : responsable du site ; preuves : version présentée et acte d’accord ». Camille peut réserver sans fournir de témoignage. Le prénom n’est pas remplacé après accord par son nom complet au motif que cela rendrait la citation plus crédible.

Une semaine après publication, Camille retire son consentement. Dans notre scénario, le responsable enlève le témoignage de la page, mais une seconde version reste dans le pied d’une campagne programmée. Cette seconde utilisation n’était d’ailleurs pas couverte par l’accord limité à la page du site. La fiche de retrait n’est pas clôturée : l’équipe retire aussi cette utilisation et vérifie les publications encore sous son contrôle. La preuve limitée nécessaire à la gestion du retrait se distingue de la poursuite de la publication.

Si l’outil ne permet pas de retirer la seconde version avant diffusion, la campagne est suspendue. Renommer le fondement « intérêt légitime » afin de passer outre le retrait contredirait le choix annoncé et les droits qui lui sont attachés. Pour des usages futurs différents, le loueur doit refaire une véritable analyse ; ce travail ne rend pas licites les opérations déjà réalisées sans fondement valable.

Quant au projet de classement de solvabilité, changer la notice ne résout pas son défaut de justification. Le loueur doit examiner les conditions de l’Art. 6(4), les exigences applicables à cette nouvelle finalité et, selon le fonctionnement prévu, les règles sur le profilage ou les décisions automatisées. En attendant une décision étayée, aucun export nominatif n’est transmis. Les seules statistiques effectivement anonymes sur l’utilisation des instruments peuvent être examinées dans un projet distinct, sans prétendre qu’un simple remplacement des noms par des numéros suffirait.

Ce qu’il faut retenir

• L’Art. 6(1) énumère les conditions de licéité, à vérifier pour chaque finalité.
• Le contrat exige une nécessité objective ; l’obligation légale et la mission publique un fondement juridique approprié.
• L’Art. 6(4) organise l’examen des usages ultérieurs.
• Une base valable ne remplace pas les autres obligations du RGPD.

FAQ

L’article 6 crée-t-il une hiérarchie des bases ?

Non. Il faut rechercher celle dont les conditions correspondent au traitement, sans présenter le consentement comme systématiquement prioritaire ou subsidiaire.

Une obligation de droit étranger suffit-elle pour le point c) ?

L’Art. 6(3) vise le droit de l’Union ou d’un État membre auquel le responsable est soumis. Une demande étrangère appelle une analyse propre ; elle n’entre pas automatiquement dans ce fondement.

Peut-on réparer une collecte illicite en changeant son intitulé ?

Non. Un nouveau fondement affiché ne régularise pas rétroactivement les opérations passées. Toute décision pour l’avenir doit répondre aux faits, aux conditions du fondement et aux obligations d’information.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.