L’article 6 du RGPD est souvent présenté comme un texte de principe. En réalité, il sert de point d’ancrage à une grande partie des responsabilités quotidiennes des organisations qui traitent des données personnelles. Ce n’est pas un article décoratif, ni une simple notice de bonne conduite : il dit dans quels cas un traitement des données peut être licite, et dans quels cas il ne l’est pas, même si la personne a été informée avec soin. Autrement dit, la vraie question n’est pas seulement celle de la transparence, mais celle de la base juridique choisie pour justifier la collecte, l’usage, la conservation ou le partage.
Ce point change beaucoup de choses pour les entreprises, les associations, les collectivités et les sous-traitants. Un service paie ne repose pas sur le consentement des salariés ; une commande en ligne ne se traite pas comme une newsletter ; une commune n’utilise pas les mêmes fondements qu’un commerçant de quartier. L’article 6 impose donc un réflexe plus rigoureux : relier chaque finalité à une base précise, la documenter, puis vérifier qu’elle reste cohérente dans le temps. Dans les contentieux comme dans les contrôles, c’est souvent cette cohérence qui fait la différence entre conformité et fragilité.
En bref
- L’article 6 du RGPD ne demande pas seulement d’informer : il exige une base légale adaptée à chaque finalité.
- Six fondements existent, et un seul suffit, à condition d’être documenté et justifié.
- Le consentement n’est pas la solution par défaut ; il est parfois même inadapté.
- L’intérêt légitime fonctionne, mais seulement après un test de mise en balance sérieux.
- Une mauvaise base juridique peut rendre le traitement illicite et exposer l’organisation à un contrôle de la CNIL.
Article 6 RGPD : les six bases légales qui rendent un traitement licite
Le cœur du texte est simple à énoncer, mais plus délicat à manier. L’article 6 du RGPD pose six cas dans lesquels un traitement de données personnelles peut être licite : le consentement, l’exécution d’un contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et l’intérêt légitime. Si aucune de ces bases ne s’applique, le traitement est irrégulier, même lorsque l’information fournie aux personnes est impeccable.
Cette hiérarchie répond à une idée devenue centrale dans la protection des données : expliquer ne suffit pas, il faut aussi pouvoir justifier. En pratique, cela oblige les responsables de traitement à raisonner par finalité, puis à choisir la base la plus cohérente au lieu d’emprunter celle qui semble la plus confortable. C’est là que beaucoup d’organisations se trompent, en particulier lorsqu’elles utilisent le consentement comme réflexe d’autoprotection alors qu’un autre fondement serait plus solide.
Dans les analyses publiées sur Digital Revue, ce glissement revient souvent : le droit du numérique ne se limite pas à une couche d’information, il organise des arbitrages concrets. La règle n’est pas spectaculaire, mais elle est structurante.
Le consentement, l’accord le plus visible, pas toujours le plus pertinent
Le consentement n’a de valeur que s’il est libre, spécifique, éclairé et univoque. La personne doit pouvoir le retirer aussi facilement qu’elle l’a donné, ce qui exclut les formulations floues, les cases précochées ou les accords groupés pour plusieurs usages distincts.
Un exemple parlant : l’abonnement à une newsletter marketing relève souvent de ce fondement, parce qu’il n’est pas nécessaire de lier cet envoi à un contrat ou à une obligation légale. En revanche, verser un salaire ou déclarer des cotisations sociales ne dépend évidemment pas de l’accord du salarié. Ce n’est pas une nuance technique, c’est une question de base juridique correcte.
L’exécution d’un contrat, utile dès que la prestation le justifie
Lorsqu’un traitement est indispensable pour livrer un bien, ouvrir un compte, fournir un service ou gérer des mesures précontractuelles demandées par la personne, la base contractuelle devient naturelle. Ici, la logique est celle de la nécessité : sans ce traitement, le contrat ne peut pas être exécuté.
La tentation existe pourtant d’aller au-delà, en invoquant le contrat pour analyser les habitudes d’achat ou personnaliser une publicité. C’est précisément là que la distinction entre finalité commerciale et exécution stricte du contrat devient décisive. Ce que la relation commerciale permet n’est pas automatiquement couvert par cette base.
L’obligation légale, base discrète mais très fréquente
La plupart des traitements RH et comptables reposent moins sur une décision interne que sur un texte qui s’impose à l’employeur. Conservation des bulletins de paie, déclarations sociales, obligations fiscales : autant de cas où la loi fixe le cadre et où le responsable de traitement n’a pas à solliciter un accord individuel.
Ce fondement est souvent sous-estimé parce qu’il paraît banal. Pourtant, il structure une part importante de la conformité, notamment dans les organisations qui croient, à tort, qu’il faut toujours demander la permission pour agir.
| Base légale | Situation type | Exemple concret | Point de vigilance |
|---|---|---|---|
| Consentement | Accord libre pour une finalité précise | Newsletter marketing | Retrait aussi simple que l’accord |
| Contrat | Traitement nécessaire à la prestation | Livraison d’une commande | Limiter aux données vraiment utiles |
| Obligation légale | Texte imposant le traitement | Paie, fiscalité, déclarations sociales | Identifier la règle applicable |
| Intérêts vitaux | Protection de la vie ou d’un danger grave | Dossier médical transmis aux urgences | Réservé à l’urgence |
| Mission d’intérêt public | Service public ou autorité publique | État civil, inscription scolaire | Vérifier la mission et son périmètre |
| Intérêt légitime | Intérêt du responsable ou d’un tiers, équilibré | Prospection auprès de clients existants | Test de mise en balance documenté |
Intérêt légitime et Article 6 RGPD : la base la plus utile, mais aussi la plus discutée
L’intérêt légitime occupe une place particulière dans le débat sur la protection des données. Il autorise certains traitements dès lors qu’ils servent un intérêt réel du responsable ou d’un tiers, sans porter une atteinte disproportionnée aux droits des personnes. Sur le papier, la formule paraît souple ; dans les faits, elle exige une discipline documentaire que beaucoup négligent.
La CNIL rappelle régulièrement qu’il ne s’agit pas d’un joker. Les organisations qui l’invoquent doivent mener une mise en balance : quelle est la finalité poursuivie, quelle est l’atteinte possible aux personnes, quelles garanties existent, quelles sont les attentes raisonnables des individus ? Les travaux de contrôle publiés en 2025 ont notamment montré que la prospection commerciale ou politique reste un terrain de friction fréquent lorsque cette base est utilisée trop rapidement.
Dans un local commercial équipé d’une vidéosurveillance proportionnée, ou dans la prospection vers des clients déjà existants pour des produits similaires, l’argument peut tenir. Mais il ne dispense jamais du droit d’opposition, ni d’une information claire. Dès que la logique devient massive, intrusive ou peu prévisible, le fondement se fragilise.
Pourquoi l’information seule ne suffit pas
Le malentendu est ancien : parce qu’une personne a été prévenue, le traitement serait forcément autorisé. Le RGPD dit autre chose. L’article 6 sépare la question de l’information de celle de la licéité, et cette séparation protège les personnes autant qu’elle sécurise les organisations sérieuses.
Il existe d’ailleurs des cas où l’information est parfaite, mais où la base reste mauvaise. Une entreprise peut expliquer clairement un usage et malgré cela traiter hors cadre, parce que la finalité ne correspond ni au contrat, ni à l’obligation légale, ni à l’intérêt légitime, ni à un consentement valable. C’est souvent là que les contrôles se concentrent.
Le cas des cookies et des usages numériques quotidiens
Pour les cookies non essentiels, comme ceux liés à la publicité ou à certains outils de mesure d’audience, le consentement reste en principe requis. À l’inverse, les cookies strictement nécessaires au fonctionnement du site ne relèvent pas du même régime, à condition que leur utilité soit réelle et que leur usage soit correctement justifié.
Ce point illustre bien la logique de l’article 6 : chaque finalité appelle sa base. Un site ne peut pas tout faire entrer dans la même case, surtout lorsque les usages mélangent suivi statistique, personnalisation et publicité. La conformité commence souvent par un tri des finalités plutôt que par un long texte de bannière.
Changer de base légale, documenter le choix et éviter les faux réflexes
Une base légale n’est pas gravée dans le marbre. Il est possible d’en changer si le traitement évolue, si la finalité change ou si le cadre juridique se précise, à condition que la décision soit justifiée, tracée et, si nécessaire, expliquée aux personnes concernées. En revanche, il n’est pas possible de rétroactivement qualifier un traitement passé avec le consentement pour couvrir une pratique qui reposait auparavant sur une autre logique devenue bancale.
Dans un registre de traitements, ce passage compte énormément. Un service marketing peut distinguer les clients existants des prospects ; un service RH peut séparer recrutement, paie et suivi médical ; une collectivité peut isoler l’état civil d’une mission de communication. Cette granularité n’est pas du formalisme, elle évite les glissements de base et les confusions qui affaiblissent la conformité.
La référence à la souveraineté des données prend ici un relief particulier. Quand les flux sont externalisés, y compris dans des environnements cloud, la question n’est pas seulement technique ; elle devient juridique, ce que rappelle aussi l’analyse de la souveraineté cloud. Le droit suit les données, et parfois les rattrape là où l’architecture a été pensée trop vite.
- Une base par finalité : éviter de mélanger paie, marketing et assistance client dans le même raisonnement.
- Une preuve écrite : registre, politique de confidentialité, notes d’arbitrage.
- Un test de proportionnalité : surtout pour l’intérêt légitime.
- Une information fidèle : dire la base réellement utilisée, pas celle qui rassure le plus.
- Une révision régulière : un traitement qui change doit être requalifié si nécessaire.
Article 6 RGPD dans la pratique : les erreurs qui reviennent le plus souvent
Les contrôles montrent des erreurs récurrentes, souvent moins liées à la mauvaise foi qu’à des habitudes installées. La plus fréquente consiste à utiliser le consentement quand une obligation légale ou un contrat suffiraient, ce qui multiplie les risques de retrait imprévu. Une autre erreur consiste à invoquer l’intérêt légitime sans analyse de balance, comme si la formule suffisait à elle seule.
Le secteur RH reste un terrain sensible. Pour la gestion des congés, de la paie ou des obligations sociales, la base se trouve le plus souvent dans le droit du travail ou dans une norme connexe, pas dans une autorisation individuelle. Les données sensibles, elles, ajoutent une couche supplémentaire : l’article 6 ne suffit pas, il faut aussi vérifier les conditions spécifiques prévues par le RGPD pour ce type d’informations.
Les organisations les plus solides sont rarement celles qui empilent les mentions, mais celles qui savent relier le texte à l’usage réel. C’est souvent une affaire de méthode plus que d’outil.
Une grille simple pour vérifier la base la plus cohérente
| Question à se poser | Base à examiner en premier | Ce qu’il faut vérifier |
|---|---|---|
| Le traitement est-il indispensable à une prestation demandée ? | Contrat | Le lien direct avec la commande ou le service |
| Une loi impose-t-elle cette collecte ou conservation ? | Obligation légale | Le texte applicable et son périmètre |
| La personne peut-elle refuser sans bloquer le service principal ? | Consentement ou intérêt légitime | Le caractère libre du choix |
| L’intérêt de l’organisation est-il équilibré avec les droits des personnes ? | Intérêt légitime | Le test de mise en balance et le droit d’opposition |
Les enjeux de 2026 : conformité, preuves et lecture plus fine du droit
En 2026, l’Article 6 du RGPD reste l’un des points les plus pratiques, et donc les plus exposés, de la réglementation. Les entreprises ont davantage internalisé la logique de la protection des données, mais les zones grises demeurent dès qu’il faut arbitrer entre sécurité juridique, efficacité opérationnelle et respect des personnes. Le texte, lui, n’a pas changé d’objectif : il oblige à penser le traitement avant de l’industrialiser.
Les marges de manœuvre existent, notamment pour les traitements de recherche, de prospection limitée ou d’intérêt public, mais elles s’accompagnent d’exigences de documentation plus nettes. C’est précisément là que le droit du numérique devient intéressant : il ne bloque pas tout, il oblige à rendre les choix lisibles. Et cette lisibilité, dans un écosystème marqué par les transferts de données, l’externalisation technique et les usages analytiques, vaut souvent autant que l’outil lui-même.
Le lecteur retrouvera ce même fil dans les autres dossiers de Digital Revue : une règle juridique n’est jamais pure abstraction, elle finit presque toujours par orienter une architecture, un contrat ou une politique interne. L’article 6 en est l’un des meilleurs exemples, parce qu’il relie la norme à la matière même du numérique : la circulation des données et les arbitrages qu’elle impose.
Ce que l’article 6 oblige à faire, concrètement, avant d’aller plus loin
Pour une organisation, l’enjeu n’est pas de retenir par cœur les six bases, mais de bâtir une méthode stable. Identifier la finalité exacte, choisir la base correspondante, documenter le raisonnement, vérifier les mentions d’information, puis contrôler régulièrement que le traitement n’a pas dérivé : la mécanique paraît simple, mais elle change la manière de gouverner les données.
Il faut aussi accepter une idée moins confortable : certains traitements sont licites, d’autres ne le sont pas, et le droit ne se laisse pas convaincre par la seule commodité. Cette exigence, loin d’être un détail administratif, donne une colonne vertébrale à la protection des données. La suite logique, pour beaucoup d’organisations, consiste moins à chercher un raccourci qu’à revoir la cartographie de leurs usages à la lumière du texte.
L’article 6 du RGPD impose-t-il toujours le consentement ?
Non. Le consentement n’est qu’une des six bases légales possibles. Selon la finalité, un contrat, une obligation légale, l’intérêt légitime ou une autre base peut être plus adaptée.
Peut-on traiter des données personnelles sans prévenir les personnes ?
La transparence reste obligatoire dans de nombreux cas, mais l’information ne remplace pas la base légale. Un traitement peut être bien expliqué et rester illicite si sa justification juridique est absente ou mal choisie.
L’intérêt légitime suffit-il pour la prospection commerciale ?
Parfois oui, notamment pour certains clients existants et dans un cadre limité. En revanche, il faut une mise en balance documentée, un droit d’opposition simple et, pour de nombreux envois vers des prospects, le consentement préalable demeure nécessaire.
Peut-on changer de base légale en cours de route ?
Oui, si le changement est justifié, documenté et cohérent avec la nouvelle finalité. En revanche, il n’est pas possible de requalifier rétroactivement un traitement déjà réalisé pour couvrir une pratique passée.
Que risque une organisation qui se trompe de base légale ?
Le traitement peut être considéré comme illicite, avec des conséquences pouvant aller de la mise en demeure à une sanction administrative. Le risque dépend du contexte, du volume de données et du niveau de manquement constaté.
