Article 6 du RGPD : comprendre les bases légales et la licéité des traitements de données

L’article 6 du RGPD est probablement la disposition la plus invoquée — et la plus incorrectement appliquée — du règlement européen. Sans base légale valable, aucun traitement de données à caractère personnel n’est licite. La sanction maximale prévue par l’article 83(5)(a) atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Les décisions de la CNIL contre Criteo (40 millions d’euros, juin 2023) ou Cityscoot illustrent concrètement ce que coûte une identification défaillante du fondement juridique d’un traitement. Derrière cette architecture réglementaire se trouve une logique simple mais exigeante : six bases légales, limitativement énumérées, dont une seule doit être désignée par traitement, avant son démarrage, et documentée dans le registre des activités. Ce que les contrôles CNIL vérifient en premier lieu, c’est précisément cela — quelle base, pourquoi, comment elle est tracée.

En bref :

• L’article 6 du RGPD énumère six bases légales limitatives : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime.
• Une seule base doit être désignée par traitement, identifiée avant son démarrage.
• Les manquements à l’article 6 relèvent du plafond d’amende maximal : 20 millions d’euros ou 4 % du chiffre d’affaires mondial (art. 83(5)(a)).
• L’intérêt légitime exige un triple test cumulatif et ne peut être invoqué par les autorités publiques dans l’exercice de leurs missions.
• Le changement de finalité (art. 6(4)) suppose soit la compatibilité avec la finalité initiale, soit un nouveau fondement juridique.
• La CJUE (arrêt Meta Platforms, C-252/21, 4 juillet 2023) a resserré les conditions d’utilisation des bases « contrat » et « intérêt légitime ».

Les six bases légales de l’article 6 du RGPD : architecture et logique d’ensemble

L’article 6, paragraphe 1, du RGPD constitue la traduction opérationnelle du principe de licéité posé à l’article 5(1)(a). La liste qu’il établit est exhaustive : consentement (a), exécution d’un contrat (b), obligation légale (c), sauvegarde d’intérêts vitaux (d), mission d’intérêt public (e), intérêt légitime (f). Aucun traitement ne peut reposer sur un fondement extérieur à cette liste. Si aucune des six conditions n’est remplie, le traitement est interdit — sans exception, sans aménagement possible.

Cette architecture a une conséquence directe sur la méthode de conformité. Le choix de la base légale n’est pas une formalité administrative : il conditionne l’étendue des droits des personnes concernées, les obligations d’information du responsable de traitement, et la marge de manœuvre en cas de changement de finalité ultérieur. Un traitement fondé sur le consentement ouvre un droit de retrait (art. 7(3)) ; un traitement fondé sur l’intérêt légitime ouvre un droit d’opposition (art. 21(1)). Ces droits ne sont pas interchangeables.

Le principe « une base par traitement » est constant dans la doctrine du Comité européen de la protection des données (CEPD). Ses lignes directrices sur la licéité du traitement précisent que présenter plusieurs bases comme alternatives ou cumulatives induit la personne concernée en erreur sur l’étendue de ses droits. Un responsable de traitement qui désigne simultanément le consentement et l’intérêt légitime pour un même traitement ne respecte ni l’un ni l’autre.

Il faut également distinguer l’article 6 de l’article 9, qui traite des catégories particulières de données. Pour les données sensibles — santé, origine ethnique, convictions religieuses, données biométriques — l’article 6 est une condition nécessaire mais non suffisante. Une exception prévue à l’article 9(2) doit également être établie. Pour approfondir ce point, la question des données sensibles et leur régime dérogatoire mérite un examen distinct.

Les paragraphes 6(2), 6(3) et 6(4) : marges nationales et changement de finalité

Les paragraphes 6(2) et 6(3) habilitent les États membres à préciser les conditions d’application des bases « obligation légale » et « mission d’intérêt public ». En France, cela se traduit par le maintien de régimes spécifiques dans la loi Informatique et Libertés modifiée : traitement du numéro d’inscription au répertoire (NIR), traitements à risque dans le domaine de la santé, données relatives aux infractions et condamnations. Pour ces catégories, la conformité au RGPD est nécessaire mais non suffisante — les exigences additionnelles du droit national s’appliquent conjointement.

Le paragraphe 6(4) encadre les changements de finalité. Lorsqu’un responsable de traitement envisage d’utiliser des données collectées pour une finalité A à des fins B, il doit démontrer soit la compatibilité entre les deux finalités, soit l’existence d’un nouveau fondement juridique. Cinq critères d’appréciation sont listés : le lien entre les finalités, le contexte de la collecte, la nature des données, les conséquences probables pour la personne, et l’existence de garanties appropriées (pseudonymisation, chiffrement).

Prenons un exemple concret. Une enseigne de distribution collecte l’adresse email d’un client pour confirmer sa commande en ligne. Six mois plus tard, le service marketing souhaite l’intégrer dans une campagne de prospection. Le lien entre les finalités existe (relation commerciale), mais le contexte de la collecte ne laissait pas prévoir cet usage. La CNIL considère généralement que cette réutilisation exige un nouveau fondement — soit le consentement explicite, soit, pour les clients existants, le dispositif du « soft opt-in » prévu à l’article L. 34-5 du Code des postes et communications électroniques, à condition que la prospection porte sur des produits ou services analogues.

Analyse détaillée des bases légales : du consentement à l’obligation légale

Le consentement, prévu à l’article 6(1)(a), est la base la plus visible dans les interfaces numériques et la plus exigeante en termes de conditions de validité. L’article 7 du RGPD et le considérant 32 précisent qu’il doit être libre, spécifique, éclairé et univoque, résultant d’un acte positif clair. Une case pré-cochée, un silence ou l’inaction sont explicitement exclus. L’obligation probatoire est posée à l’article 7(1) : le responsable de traitement doit être en mesure de produire la preuve que le consentement a été obtenu, à quelle date, pour quelle finalité précise et sur la base de quelle information.

Trois configurations problématiques reviennent systématiquement dans les audits. Le consentement « bundle » — un opt-in unique couvrant cinq finalités hétérogènes — est invalidé par la CNIL, qui exige une granularité par finalité. Le consentement conditionné à l’accès à un service qui n’en a pas besoin (art. 7(4)) est également invalide : un site e-commerce ne peut pas subordonner la finalisation d’un achat à un consentement marketing. Enfin, l’absence de mécanisme de retrait aussi aisé que le recueil initial constitue un manquement autonome à l’article 7(3).

La base « exécution du contrat », prévue à l’article 6(1)(b), est la plus utilisée en contexte B2C transactionnel. Elle couvre deux situations : l’exécution d’un contrat conclu (livraison, facturation, service après-vente) et les mesures précontractuelles prises à la demande de la personne (simulation de prêt, envoi d’un devis). Le terme clé est nécessaire — le traitement doit être objectivement indispensable à l’exécution du contrat, pas simplement utile au responsable. La CJUE, dans l’arrêt Meta Platforms (C-252/21, 4 juillet 2023), a appliqué cette exigence strictement : le ciblage publicitaire personnalisé n’est pas nécessaire à l’exécution d’un contrat de réseau social, même si le service est financé par la publicité.

L’obligation légale, visée à l’article 6(1)(c), couvre les traitements imposés par une norme contraignante identifiable : conservation des factures (art. L. 102 B du Livre des procédures fiscales), déclarations sociales URSSAF, obligations LCB-FT issues du Code monétaire et financier, conservation des données de connexion par les opérateurs. Pour cette base, l’obligation doit être prévue par le droit de l’Union ou le droit national (art. 6(3)), et le considérant 41 rappelle qu’elle doit être claire, précise et prévisible. Une politique interne, une recommandation sectorielle ou une pratique d’usage ne constituent pas une obligation légale au sens de cet article.

Tableau comparatif des six bases légales de l’article 6 du RGPD

Base légale	Article	Condition principale	Droit d’opposition	Consentement requis
Consentement	6(1)(a)	Acte positif, libre, spécifique, éclairé, univoque	Retrait possible à tout moment (art. 7(3))	Oui
Exécution du contrat	6(1)(b)	Nécessité objective à l’exécution ou aux mesures précontractuelles	Non applicable	Non
Obligation légale	6(1)(c)	Norme contraignante de l’UE ou nationale, claire et précise	Non applicable	Non
Intérêts vitaux	6(1)(d)	Urgence vitale, aucune autre base disponible (cons. 46)	Non applicable	Non
Mission d’intérêt public	6(1)(e)	Mission définie par le droit de l’UE ou national	Opposition possible (art. 21(1)), écartable	Non
Intérêt légitime	6(1)(f)	Triple test cumulatif ; exclu pour les autorités publiques	Opposition possible (art. 21(1) et (2))	Non

Intérêts vitaux, mission d’intérêt public et intérêt légitime : les bases les plus complexes

La sauvegarde des intérêts vitaux, visée à l’article 6(1)(d), est une base d’application exceptionnelle et strictement interprétée. Le considérant 46 précise qu’elle ne doit être invoquée que si manifestement aucune autre base juridique ne peut l’être. Elle se limite aux situations où la vie ou l’intégrité physique d’une personne est directement menacée : urgence médicale pour un patient inconscient, identification d’une victime dans un contexte de catastrophe, transmission d’informations à des services de secours. Les traitements de santé routiniers — médecine du travail, soins programmés, dossier patient en cabinet — ne relèvent pas de cette base. Ils s’appuient sur l’obligation légale, l’exécution du contrat médical ou les exceptions de l’article 9(2) pour les données de santé.

La mission d’intérêt public, prévue à l’article 6(1)(e), est principalement utilisée par le secteur public. Une mairie pour la gestion de l’état civil et des listes électorales, un ordre professionnel pour la tenue de son tableau, un organisme de sécurité sociale pour le versement de prestations — autant de situations où cette base est pertinente, à condition que la mission soit définie précisément par un texte juridique identifiable. Le secteur privé peut y recourir lorsqu’il est délégataire d’une mission de service public, sous réserve de justifier l’acte juridique qui l’investit de cette mission. L’avantage opérationnel est réel : pas de consentement requis, et la personne ne peut s’opposer au traitement que dans les conditions strictes de l’article 21(1).

L’intérêt légitime, prévu à l’article 6(1)(f), est la base la plus flexible et la plus piégée. Elle s’apprécie au moyen d’un triple test cumulatif : l’existence d’un intérêt légitime du responsable ou d’un tiers, la nécessité du traitement pour atteindre cet intérêt, et un équilibre favorable entre cet intérêt et les droits et libertés fondamentaux de la personne concernée. Les trois conditions sont indissociables — satisfaire les deux premières sans démontrer la troisième est insuffisant.

Les cas d’usage validés par la CNIL et le CEPD incluent la prospection commerciale B2B sur fichier interne, la prévention de la fraude, la sécurité informatique, la vidéosurveillance proportionnée d’un site privé, la transmission intra-groupe à des fins administratives. À l’inverse, la CJUE a écarté cette base pour le ciblage publicitaire de masse non consenti (Meta Platforms, C-252/21) et pour la transmission de données à des courtiers en données. Une précision importante : l’intérêt légitime ne peut jamais être invoqué par une autorité publique dans l’exercice de ses missions (art. 6(1), dernier alinéa). Pour une analyse complète des fondements juridiques applicables, la documentation de la CNIL sur les bases légales constitue une référence méthodologique utile.

Pour la prospection commerciale, le droit d’opposition à l’intérêt légitime est inconditionnnel (art. 21(2)) : la personne n’a pas à motiver sa demande, et le responsable ne peut pas l’écarter. Ce point distingue fondamentalement l’intérêt légitime du consentement dans le contexte marketing : la personne qui retire son consentement produit le même effet qu’une opposition, mais le responsable ne peut pas davantage s’y opposer.

Documentation et accountability : ce que l’article 6 exige en pratique

L’identification de la base légale ne suffit pas — elle doit être documentée dans le registre des activités de traitement (art. 30 du RGPD), au titre du principe d’accountability posé à l’article 5(2). Cette documentation doit inclure non seulement la base retenue mais le raisonnement qui a conduit à ce choix, notamment lorsque plusieurs bases étaient envisageables. Un traitement pour lequel le consentement et l’intérêt légitime ont tous deux été considérés doit retracer pourquoi l’un a été écarté au profit de l’autre.

Le CEPD a rappelé dans ses lignes directrices 05/2020 qu’un changement de base en cours de traitement est interdit. Un responsable qui a démarré un traitement sous le consentement ne peut pas basculer vers l’intérêt légitime parce que les taux de retrait sont trop élevés. Ce type de substitution opportuniste est qualifié de manquement à la transparence et à la loyauté — indépendamment de la validité intrinsèque de la nouvelle base invoquée. Pour les entreprises qui souhaitent fiabiliser cette documentation, des outils de gestion de la conformité RGPD permettent d’associer chaque traitement à sa base légale et de tracer les analyses d’intérêt légitime.

Trois principes opérationnels sont structurants pour tout audit de conformité :

• Désigner avant de traiter : la base légale doit être identifiée avant le démarrage du traitement, pas construite a posteriori pour justifier une pratique existante.
• Ne pas changer de base en cours de route : toute substitution de fondement est susceptible d’être qualifiée de manquement par une autorité de contrôle.
• Documenter le raisonnement : la trace écrite du choix — et des alternatives écartées — est exigible au titre de l’accountability, et constitue le premier élément produit lors d’un contrôle CNIL.

Jurisprudence structurante sur l’article 6 du RGPD : décisions CNIL et CJUE

La délibération SAN-2023-009 de la CNIL du 15 juin 2023, sanctionnant Criteo à hauteur de 40 millions d’euros, illustre les conséquences d’une identification défaillante de la base légale. La société invoquait le consentement (art. 6(1)(a)) pour ses traitements de ciblage publicitaire, mais ne pouvait produire ni preuve de recueil, ni démonstration de granularité, ni justification de l’information délivrée. À titre subsidiaire, Criteo invoquait l’intérêt légitime — base que la formation restreinte a écartée en relevant que le traitement portait sur des dizaines de millions de personnes sans transparence suffisante. La décision souligne qu’invoquer une base légale sans être en mesure de la démontrer in concreto équivaut à l’absence de base.

L’arrêt Meta Platforms de la CJUE (C-252/21, 4 juillet 2023) est la décision la plus structurante de ces dernières années sur l’article 6. La Cour y opère trois clarifications majeures. D’abord, le ciblage publicitaire personnalisé n’est pas nécessaire à l’exécution d’un contrat de réseau social, même gratuit : la nécessité s’apprécie à l’aune de l’exécution effective du contrat, pas du modèle économique du prestataire. Ensuite, l’intérêt légitime doit être démontré in concreto et n’exonère pas du test de mise en balance. Enfin, le consentement conditionné à l’usage du service ne satisfait pas l’exigence de liberté posée à l’article 7(4).

La décision Cityscoot (SAN-2023-003) apporte un éclairage complémentaire sur la base « exécution du contrat ». La CNIL y a sanctionné l’opérateur de scooters en libre-service pour avoir fondé la géolocalisation continue des utilisateurs sur l’article 6(1)(b), alors que ce niveau de surveillance n’était pas objectivement nécessaire à la fourniture du service. La formation restreinte a appliqué le critère de nécessité stricte : ce qui est utile au responsable, voire ce qui améliore le service, ne satisfait pas cette exigence. Pour une lecture approfondie de la jurisprudence applicable, l’analyse commentée de l’article 6 du RGPD offre un recensement structuré des décisions pertinentes.

L’arrêt Schufa de la CJUE (C-634/21, 7 décembre 2023) a des implications indirectes sur l’article 6. La Cour y juge qu’un score de solvabilité utilisé seul pour décider d’octroyer un crédit constitue une décision automatisée au sens de l’article 22. Ce constat influe sur la base légale applicable : un tel traitement nécessite généralement soit un consentement explicite, soit une autorisation légale spécifique — ce qui exclut l’intérêt légitime comme fondement autonome pour ce type de traitement. La question du droit à l’effacement et ses interactions avec les bases légales illustre également la cohérence systémique qu’impose le RGPD.

Erreurs les plus fréquentes dans l’identification de la base légale

L’erreur la plus documentée dans les contrôles est l’invocation d’une obligation légale qui n’en est pas une. Une politique interne de conservation des données, une exigence d’un partenaire commercial, une recommandation de fédération professionnelle — aucun de ces éléments ne constitue une obligation légale au sens de l’article 6(1)(c). Pour valider cette base, il faut pouvoir citer le texte précis qui impose le traitement : article, alinéa, source normative.

La seconde erreur fréquente consiste à invoquer la base « contrat » pour des traitements de profilage, d’enrichissement de données ou de revente à des partenaires. Aucune de ces opérations n’est objectivement nécessaire à l’exécution d’un contrat de vente ou de service — la base est ailleurs, et l’invoquer sans démonstration constitue un manquement à l’article 6. La troisième erreur, enfin, est l’absence totale de documentation : des traitements actifs depuis plusieurs années sans qu’aucune base légale n’ait jamais été identifiée ni tracée dans le registre. Ce constat, qui n’est pas rare dans les PME, expose directement au plafond de sanction prévu à l’article 83(5)(a).

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Combien de bases lu00e9gales l’article 6 du RGPD pru00e9voit-il ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’article 6(1) du RGPD pru00e9voit six bases lu00e9gales limitativement u00e9numu00e9ru00e9es : (a) le consentement, (b) l’exu00e9cution d’un contrat, (c) le respect d’une obligation lu00e9gale, (d) la sauvegarde d’intu00e9ru00eats vitaux, (e) l’exu00e9cution d’une mission d’intu00e9ru00eat public, (f) l’intu00e9ru00eat lu00e9gitime. Aucune autre base ne peut u00eatre invoquu00e9e pour fonder lu00e9galement un traitement de donnu00e9es u00e0 caractu00e8re personnel. »}},{« @type »: »Question », »name »: »Peut-on cumuler plusieurs bases lu00e9gales pour un mu00eame traitement ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Le RGPD impose de du00e9signer une seule base lu00e9gale par traitement, identifiu00e9e avant son du00e9marrage et documentu00e9e dans le registre des activitu00e9s de traitement. Le CEPD a pru00e9cisu00e9 dans ses lignes directrices 05/2020 que pru00e9senter plusieurs bases comme alternatives ou cumulatives induit la personne concernu00e9e en erreur sur l’u00e9tendue de ses droits u2014 notamment le droit de retrait pour le consentement et le droit d’opposition pour l’intu00e9ru00eat lu00e9gitime. »}},{« @type »: »Question », »name »: »L’intu00e9ru00eat lu00e9gitime peut-il u00eatre invoquu00e9 par une administration publique ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. L’article 6(1), dernier alinu00e9a, exclut explicitement l’intu00e9ru00eat lu00e9gitime pour les autoritu00e9s publiques agissant dans l’exercice de leurs missions. Une mairie, un ministu00e8re ou un organisme de su00e9curitu00e9 sociale doit fonder ses traitements sur l’obligation lu00e9gale (6(1)(c)) ou la mission d’intu00e9ru00eat public (6(1)(e)). Une autoritu00e9 publique agissant en dehors de ses pru00e9rogatives u2014 gestion de son personnel, outils internes hors mission de service public u2014 peut en revanche invoquer cette base comme tout employeur privu00e9. »}},{« @type »: »Question », »name »: »Que se passe-t-il si la base lu00e9gale choisie n’est plus adaptu00e9e en cours de traitement ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Il n’est en principe pas possible de changer la base lu00e9gale d’un traitement en cours. Si la base initialement choisie n’est plus adaptu00e9e, le responsable doit soit arru00eater le traitement, soit redu00e9marrer une nouvelle opu00e9ration sur la nouvelle base u2014 avec une nouvelle information des personnes concernu00e9es et le respect des conditions propres u00e0 cette base. Le CEPD considu00e8re que le changement opportuniste de base (par exemple du consentement vers l’intu00e9ru00eat lu00e9gitime pour contourner des retraits massifs) constitue un manquement u00e0 la transparence et u00e0 la loyautu00e9. »}},{« @type »: »Question », »name »: »Quelle est la sanction maximale pour un manquement u00e0 l’article 6 du RGPD ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les manquements u00e0 l’article 6 relu00e8vent du plafond d’amende le plus u00e9levu00e9 pru00e9vu par le RGPD, du00e9fini u00e0 l’article 83(5)(a) : jusqu’u00e0 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus u00e9levu00e9 u00e9tant retenu. La du00e9cision CNIL contre Criteo (40 millions d’euros, du00e9libu00e9ration SAN-2023-009) et la condamnation de Cityscoot illustrent concru00e8tement l’application de ce plafond. »}}]}

Combien de bases légales l’article 6 du RGPD prévoit-il ?

L’article 6(1) du RGPD prévoit six bases légales limitativement énumérées : (a) le consentement, (b) l’exécution d’un contrat, (c) le respect d’une obligation légale, (d) la sauvegarde d’intérêts vitaux, (e) l’exécution d’une mission d’intérêt public, (f) l’intérêt légitime. Aucune autre base ne peut être invoquée pour fonder légalement un traitement de données à caractère personnel.

Peut-on cumuler plusieurs bases légales pour un même traitement ?

Non. Le RGPD impose de désigner une seule base légale par traitement, identifiée avant son démarrage et documentée dans le registre des activités de traitement. Le CEPD a précisé dans ses lignes directrices 05/2020 que présenter plusieurs bases comme alternatives ou cumulatives induit la personne concernée en erreur sur l’étendue de ses droits — notamment le droit de retrait pour le consentement et le droit d’opposition pour l’intérêt légitime.

L’intérêt légitime peut-il être invoqué par une administration publique ?

Non. L’article 6(1), dernier alinéa, exclut explicitement l’intérêt légitime pour les autorités publiques agissant dans l’exercice de leurs missions. Une mairie, un ministère ou un organisme de sécurité sociale doit fonder ses traitements sur l’obligation légale (6(1)(c)) ou la mission d’intérêt public (6(1)(e)). Une autorité publique agissant en dehors de ses prérogatives — gestion de son personnel, outils internes hors mission de service public — peut en revanche invoquer cette base comme tout employeur privé.

Que se passe-t-il si la base légale choisie n’est plus adaptée en cours de traitement ?

Il n’est en principe pas possible de changer la base légale d’un traitement en cours. Si la base initialement choisie n’est plus adaptée, le responsable doit soit arrêter le traitement, soit redémarrer une nouvelle opération sur la nouvelle base — avec une nouvelle information des personnes concernées et le respect des conditions propres à cette base. Le CEPD considère que le changement opportuniste de base (par exemple du consentement vers l’intérêt légitime pour contourner des retraits massifs) constitue un manquement à la transparence et à la loyauté.

Quelle est la sanction maximale pour un manquement à l’article 6 du RGPD ?

Les manquements à l’article 6 relèvent du plafond d’amende le plus élevé prévu par le RGPD, défini à l’article 83(5)(a) : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La décision CNIL contre Criteo (40 millions d’euros, délibération SAN-2023-009) et la condamnation de Cityscoot illustrent concrètement l’application de ce plafond.