Partie 4 — Les bases légales

⏱️ TL;DR — Aucun traitement de données personnelles n’est licite « par défaut ». Chacun doit reposer sur une des six bases légales de l’article 6 : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public, intérêt légitime. On choisit cette base par finalité, avant de traiter, et on ne la change pas après coup pour se rattraper. Cette partie t’apprend à choisir la bonne base du premier coup, à documenter ce choix, et à ne plus tomber dans le piège du « consentement partout ».

Le problème qu’on résout

C’est l’erreur numéro un des équipes tech : demander le consentement pour tout, y compris pour créer un compte ou tenir une comptabilité — là où le consentement n’a aucun sens (il serait révocable, donc le service s’effondrerait au premier « non »). À l’inverse, beaucoup de traitements tournent sans aucune base identifiée, ce qui est tout simplement illicite (art. 5, principe de licéité). Le vrai travail, c’est de raisonner finalité par finalité : pour quoi je traite ces données, et quelle base justifie ce pour quoi. Une fois cette grille en tête, la conformité devient une décision claire, pas une angoisse.

Ce que tu sauras faire à la fin de cette partie

• Réciter les six bases légales de l’article 6 et savoir que le consentement n’est pas le défaut.
• Choisir la base adaptée à une finalité donnée, avant de coder le traitement.
• Recueillir un consentement valable (libre, spécifique, éclairé, univoque) et en garder la preuve.
• Distinguer « nécessaire au contrat » de « pratique pour l’entreprise ».
• Conduire et documenter un test de mise en balance pour l’intérêt légitime.
• Refuser le changement de base opportuniste et remplir un tableau finalité → base.

Les chapitres

On commence : Une base par finalité.