La base légale n'est pas une mention choisie à la fin pour compléter le registre. Elle décrit pourquoi le traitement peut avoir lieu et détermine l'information, les droits, les preuves et parfois la possibilité même de poursuivre malgré une opposition.
Une finalité, une base, une décision prise avant le traitement
Commencez par séparer les objectifs. Une relation client peut mêler exécution d'une commande, prévention de la fraude, obligations comptables et prospection. Ces finalités n'ont pas nécessairement le même fondement. Une seule étiquette appliquée à tout le logiciel masque les différences.
La fiche CNIL sur les bases légales rappelle qu'il n'existe pas de hiérarchie automatique entre les six bases. Le consentement n'est donc ni le choix le plus prudent dans tous les cas, ni un repli lorsque les autres analyses semblent difficiles.
Le consentement : un vrai choix, pas une formule
Le consentement doit être libre, spécifique, éclairé et univoque. La personne peut le retirer aussi facilement qu'elle l'a donné. Si le service est conditionné à une utilisation de données qui n'est pas nécessaire, la liberté du choix devient fragile.
Conservez la version de l'information, l'action positive, la date et la portée du choix. Prévoyez le retrait avant de collecter. Un bouton sans effet sur les systèmes aval ne constitue pas un mécanisme opérationnel.
Le contrat : seulement ce qui est objectivement nécessaire
Cette base couvre les opérations nécessaires à l'exécution d'un contrat avec la personne ou aux mesures précontractuelles demandées par elle. Elle ne justifie pas tout ce qui améliore la relation commerciale. Demandez si le service promis pourrait être exécuté sans le traitement.
La personnalisation accessoire, l'analyse générale ou la publicité ne deviennent pas contractuelles parce qu'elles figurent dans des conditions. Le besoin doit découler de la substance du service, pas d'une clause ajoutée pour élargir la collecte.
L'obligation légale : citer et délimiter le texte
Une règle de droit peut imposer la collecte, la conservation ou la transmission. Notez la disposition, les données concernées, les destinataires et la durée. Évitez « obligations légales diverses », qui ne permet ni de vérifier le périmètre ni de préparer l'effacement.
Si le texte donne une faculté et non une obligation, cette base ne suffit pas. Vérifiez aussi l'entité réellement soumise : une exigence visant un professionnel réglementé ne s'étend pas automatiquement à tous ses partenaires.
La sauvegarde des intérêts vitaux : un cadre exceptionnel
Cette base protège un intérêt essentiel à la vie d'une personne lorsque les autres fondements ne peuvent raisonnablement être utilisés. Elle correspond surtout à une urgence ou à une incapacité d'exprimer un choix. Elle n'est pas un raccourci général pour les traitements de santé.
Décrivez l'événement qui déclenche son usage et limitez les données à la réponse immédiate. Lorsque la situation normale revient, réévaluez la poursuite du traitement sous un autre fondement ou arrêtez-le.
La mission d'intérêt public ou l'autorité publique
Le traitement doit être nécessaire à une mission définie par le droit. Identifiez le texte et le lien entre la mission et l'opération. Une entreprise privée peut parfois être investie d'une telle mission, mais son utilité sociale ou son partenariat avec une collectivité ne suffit pas seul.
Cette base modifie notamment la lecture du droit d'opposition. L'organisation doit pouvoir expliquer les motifs impérieux qui justifieraient une poursuite dans un cas concret.
L'intérêt légitime : une balance documentée
Identifiez l'intérêt poursuivi, vérifiez que le traitement est nécessaire, puis mettez-le en balance avec les droits et attentes des personnes. Étudiez le contexte, la relation, la nature des données, l'impact et les garanties. Les personnes vulnérables ou un usage inattendu pèsent fortement dans l'analyse.
Une alternative moins intrusive peut rendre le traitement actuel non nécessaire. La balance doit donc comparer les options, pas seulement énumérer des bénéfices pour l'entreprise. Conservez le test et présentez l'intérêt dans l'information fournie.
Les données sensibles demandent une seconde clé
Pour les catégories particulières de données, une base de l'article 6 ne suffit pas. Il faut aussi une exception applicable au régime des données sensibles. Les deux analyses se complètent. Une obligation légale générale n'autorise pas automatiquement n'importe quelle donnée de santé ou biométrique.
La matrice de décision utile au registre
Pour chaque finalité, gardez la base, le raisonnement, la source éventuelle, les droits affectés, l'information publiée et la date de revue. Ajoutez un signal de réexamen : modification du service, nouveau destinataire, changement de population ou usage plus intrusif.
Prenons un service d'assistance. Traiter la demande repose souvent sur le contrat ou les mesures demandées. Mesurer la qualité globale peut appeler un intérêt légitime documenté. Envoyer des offres de partenaires constitue une finalité distincte. La même conversation ne donne pas une base unique à ces trois usages.
La bonne base rend le reste cohérent. Elle permet d'écrire une information précise, de paramétrer le droit d'opposition, de conserver la preuve adaptée et de détecter un changement de finalité. Si l'équipe hésite entre plusieurs fondements pour « être couverte », elle doit revenir au besoin et choisir celui qui décrit réellement le traitement.
Commentaires
Aucun commentaire pour le moment