Bases légales : les six fondements possibles

Les obligations légales, elles, imposent un cadre plus rigide et parfois moins discuté par les équipes métier.

Situation	Base appropriée	Ce qui est permis	Ce qui dépasse
Livraison d’une commande	Contrat	Adresse, suivi, contact client	Publicité sans lien avec l’achat
Émission d’une facture	Obligation légale	Archivage et conservation requis	Réutilisation commerciale libre
Gestion d’un compte SaaS	Contrat	Authentification, support, sécurité	Profilage commercial non prévu
Prospection d’anciens clients	Intérêts légitimes	Analyse du contexte et opposition	Envoi massif sans mise en balance

Selon la CNIL, l’obligation légale ne doit jamais servir de prétexte pour étendre un traitement au-delà du texte qui la fonde. Cette discipline protège autant l’organisation que les personnes concernées, puis ouvre la porte au cas plus sensible des intérêts légitimes.

« Le jour où nous avons séparé facturation, support et marketing, les audits internes sont devenus bien plus simples. »

Julien R.

Les intérêts légitimes, utiles mais strictement encadrés

Les intérêts légitimes offrent une marge de manœuvre, mais seulement si le traitement reste proportionné et documenté. Selon la CNIL, il faut démontrer un intérêt réel, la nécessité du traitement et un équilibre acceptable avec les droits des personnes.

Cette base sert souvent pour la sécurité des systèmes, la prévention de la fraude ou certaines analyses internes limitées. Elle devient toutefois risquée dès qu’un traitement touche massivement des données sensibles, un suivi intrusif ou une surveillance des salariés.

Dans un réseau de distribution, la prospection d’anciens clients pour des produits proches peut parfois entrer dans ce cadre, à condition de respecter le droit d’opposition. La logique est pragmatique, mais elle réclame une trace écrite solide, car la responsabilité juridique ne se délègue pas.

Ce cadrage plus serré prépare le dernier volet, où la preuve, la documentation et le contrôle deviennent décisifs au quotidien.

Documenter la conformité RGPD et sécuriser la protection des données

Une fois la base choisie, le travail ne s’arrête pas, car la preuve devient aussi importante que la qualification elle-même. Pour une direction juridique ou un dirigeant de PME, la protection des données se mesure à la qualité des documents et à la cohérence des pratiques.

Registre, information et droits des personnes

Le registre des traitements, prévu par l’article 30, centralise les finalités, les durées, les destinataires et la base retenue. Selon la CNIL, c’est souvent le premier document demandé lors d’un contrôle, parce qu’il révèle immédiatement les angles morts.

Les mentions d’information prévues par les articles 13 et 14 doivent rester claires, finalité par finalité, sans formule vague. Une mention trop générale brouille la lecture des droits, alors qu’une rédaction nette renforce la confiance et la lisibilité des usages.

Les droits varient aussi selon la base légale retenue, ce qui oblige à bien articuler opposition, retrait du consentement et limitation du traitement. Dans un cas observé lors d’un audit, une entreprise avait prévu le retrait du consentement pour tout, alors qu’une partie des traitements relevait du contrat, ce qui créait des blocages inutiles.

« Notre registre semblait technique, mais il a surtout servi de preuve quand le contrôle est arrivé. »

Claire N.

Contrôles, sanctions et rôle du conseil juridique

Les contrôles récents rappellent que la qualification juridique est observée de près, notamment pour le marketing et les cookies. Selon la CNIL, un mauvais fondement peut suffire à rendre un traitement illicite, avec des conséquences financières et réputationnelles lourdes.

En pratique, le bon réflexe consiste à relier chaque finalité à une base, puis à vérifier la documentation, les contrats de sous-traitance et les mentions d’information. Ce travail réduit les ambiguïtés et renforce la maîtrise des flux, surtout quand plusieurs équipes manipulent les mêmes données.

Un cabinet spécialisé peut aider à cartographier les traitements, rédiger les clauses utiles et préparer les réponses en cas de contrôle. Quand la conformité RGPD devient un réflexe partagé, elle cesse d’être un frein et devient un cadre de confiance durable pour l’organisation.

Source : CNIL, délibérations SAN-2024-021, SAN-2025-001, SAN-2025-002, SAN-2025-004 et SAN-2025-017, CNIL, 2024-2025 ; Règlement (UE) 2016/679, articles 4, 5, 6, 7, 13, 17, 21, 28 et 30, Union européenne, 2016 ; Loi n° 78-17 du 6 janvier 1978 modifiée, France, 1978.

Ce cadrage du consentement conduit logiquement à examiner les bases plus opérationnelles, là où le contrat et l’obligation légale prennent souvent le relais.

Choisir entre contrat, obligation légale et intérêts légitimes

Une fois le consentement écarté ou validé, le choix se déplace vers les bases les plus fréquentes en entreprise. C’est ici que la conformité RGPD devient concrète, parce qu’un contrat ou une obligation légale peuvent parfois suffire sans demander d’accord supplémentaire.

Le contrat et l’obligation légale dans les activités courantes

Cette logique est particulièrement visible dans le commerce électronique et les services numériques. Selon le RGPD, l’exécution d’un contrat couvre ce qui est nécessaire à la prestation promise, pas les usages annexes de marketing ou de profilage.

Dans un SaaS, la création du compte, l’accès au service et le support technique relèvent souvent du contrat. À l’inverse, l’envoi d’offres promotionnelles doit être rattaché à une autre base, sinon la qualification juridique devient fragile.

Les obligations légales, elles, imposent un cadre plus rigide et parfois moins discuté par les équipes métier.

Situation	Base appropriée	Ce qui est permis	Ce qui dépasse
Livraison d’une commande	Contrat	Adresse, suivi, contact client	Publicité sans lien avec l’achat
Émission d’une facture	Obligation légale	Archivage et conservation requis	Réutilisation commerciale libre
Gestion d’un compte SaaS	Contrat	Authentification, support, sécurité	Profilage commercial non prévu
Prospection d’anciens clients	Intérêts légitimes	Analyse du contexte et opposition	Envoi massif sans mise en balance

Selon la CNIL, l’obligation légale ne doit jamais servir de prétexte pour étendre un traitement au-delà du texte qui la fonde. Cette discipline protège autant l’organisation que les personnes concernées, puis ouvre la porte au cas plus sensible des intérêts légitimes.

« Le jour où nous avons séparé facturation, support et marketing, les audits internes sont devenus bien plus simples. »

Julien R.

Les intérêts légitimes, utiles mais strictement encadrés

Les intérêts légitimes offrent une marge de manœuvre, mais seulement si le traitement reste proportionné et documenté. Selon la CNIL, il faut démontrer un intérêt réel, la nécessité du traitement et un équilibre acceptable avec les droits des personnes.

Cette base sert souvent pour la sécurité des systèmes, la prévention de la fraude ou certaines analyses internes limitées. Elle devient toutefois risquée dès qu’un traitement touche massivement des données sensibles, un suivi intrusif ou une surveillance des salariés.

Dans un réseau de distribution, la prospection d’anciens clients pour des produits proches peut parfois entrer dans ce cadre, à condition de respecter le droit d’opposition. La logique est pragmatique, mais elle réclame une trace écrite solide, car la responsabilité juridique ne se délègue pas.

Ce cadrage plus serré prépare le dernier volet, où la preuve, la documentation et le contrôle deviennent décisifs au quotidien.

Documenter la conformité RGPD et sécuriser la protection des données

Une fois la base choisie, le travail ne s’arrête pas, car la preuve devient aussi importante que la qualification elle-même. Pour une direction juridique ou un dirigeant de PME, la protection des données se mesure à la qualité des documents et à la cohérence des pratiques.

Registre, information et droits des personnes

Le registre des traitements, prévu par l’article 30, centralise les finalités, les durées, les destinataires et la base retenue. Selon la CNIL, c’est souvent le premier document demandé lors d’un contrôle, parce qu’il révèle immédiatement les angles morts.

Les mentions d’information prévues par les articles 13 et 14 doivent rester claires, finalité par finalité, sans formule vague. Une mention trop générale brouille la lecture des droits, alors qu’une rédaction nette renforce la confiance et la lisibilité des usages.

Les droits varient aussi selon la base légale retenue, ce qui oblige à bien articuler opposition, retrait du consentement et limitation du traitement. Dans un cas observé lors d’un audit, une entreprise avait prévu le retrait du consentement pour tout, alors qu’une partie des traitements relevait du contrat, ce qui créait des blocages inutiles.

« Notre registre semblait technique, mais il a surtout servi de preuve quand le contrôle est arrivé. »

Claire N.

Contrôles, sanctions et rôle du conseil juridique

Les contrôles récents rappellent que la qualification juridique est observée de près, notamment pour le marketing et les cookies. Selon la CNIL, un mauvais fondement peut suffire à rendre un traitement illicite, avec des conséquences financières et réputationnelles lourdes.

En pratique, le bon réflexe consiste à relier chaque finalité à une base, puis à vérifier la documentation, les contrats de sous-traitance et les mentions d’information. Ce travail réduit les ambiguïtés et renforce la maîtrise des flux, surtout quand plusieurs équipes manipulent les mêmes données.

Un cabinet spécialisé peut aider à cartographier les traitements, rédiger les clauses utiles et préparer les réponses en cas de contrôle. Quand la conformité RGPD devient un réflexe partagé, elle cesse d’être un frein et devient un cadre de confiance durable pour l’organisation.

Source : CNIL, délibérations SAN-2024-021, SAN-2025-001, SAN-2025-002, SAN-2025-004 et SAN-2025-017, CNIL, 2024-2025 ; Règlement (UE) 2016/679, articles 4, 5, 6, 7, 13, 17, 21, 28 et 30, Union européenne, 2016 ; Loi n° 78-17 du 6 janvier 1978 modifiée, France, 1978.

« Nous avons réduit nos formulaires à l’essentiel, et les refus sont devenus plus lisibles, mais aussi plus honnêtes. »

Sophie L.

Ce cadrage du consentement conduit logiquement à examiner les bases plus opérationnelles, là où le contrat et l’obligation légale prennent souvent le relais.

Choisir entre contrat, obligation légale et intérêts légitimes

Une fois le consentement écarté ou validé, le choix se déplace vers les bases les plus fréquentes en entreprise. C’est ici que la conformité RGPD devient concrète, parce qu’un contrat ou une obligation légale peuvent parfois suffire sans demander d’accord supplémentaire.

Le contrat et l’obligation légale dans les activités courantes

Cette logique est particulièrement visible dans le commerce électronique et les services numériques. Selon le RGPD, l’exécution d’un contrat couvre ce qui est nécessaire à la prestation promise, pas les usages annexes de marketing ou de profilage.

Dans un SaaS, la création du compte, l’accès au service et le support technique relèvent souvent du contrat. À l’inverse, l’envoi d’offres promotionnelles doit être rattaché à une autre base, sinon la qualification juridique devient fragile.

Les obligations légales, elles, imposent un cadre plus rigide et parfois moins discuté par les équipes métier.

Situation	Base appropriée	Ce qui est permis	Ce qui dépasse
Livraison d’une commande	Contrat	Adresse, suivi, contact client	Publicité sans lien avec l’achat
Émission d’une facture	Obligation légale	Archivage et conservation requis	Réutilisation commerciale libre
Gestion d’un compte SaaS	Contrat	Authentification, support, sécurité	Profilage commercial non prévu
Prospection d’anciens clients	Intérêts légitimes	Analyse du contexte et opposition	Envoi massif sans mise en balance

Selon la CNIL, l’obligation légale ne doit jamais servir de prétexte pour étendre un traitement au-delà du texte qui la fonde. Cette discipline protège autant l’organisation que les personnes concernées, puis ouvre la porte au cas plus sensible des intérêts légitimes.

« Le jour où nous avons séparé facturation, support et marketing, les audits internes sont devenus bien plus simples. »

Julien R.

Les intérêts légitimes, utiles mais strictement encadrés

Les intérêts légitimes offrent une marge de manœuvre, mais seulement si le traitement reste proportionné et documenté. Selon la CNIL, il faut démontrer un intérêt réel, la nécessité du traitement et un équilibre acceptable avec les droits des personnes.

Cette base sert souvent pour la sécurité des systèmes, la prévention de la fraude ou certaines analyses internes limitées. Elle devient toutefois risquée dès qu’un traitement touche massivement des données sensibles, un suivi intrusif ou une surveillance des salariés.

Dans un réseau de distribution, la prospection d’anciens clients pour des produits proches peut parfois entrer dans ce cadre, à condition de respecter le droit d’opposition. La logique est pragmatique, mais elle réclame une trace écrite solide, car la responsabilité juridique ne se délègue pas.

Ce cadrage plus serré prépare le dernier volet, où la preuve, la documentation et le contrôle deviennent décisifs au quotidien.

Documenter la conformité RGPD et sécuriser la protection des données

Une fois la base choisie, le travail ne s’arrête pas, car la preuve devient aussi importante que la qualification elle-même. Pour une direction juridique ou un dirigeant de PME, la protection des données se mesure à la qualité des documents et à la cohérence des pratiques.

Registre, information et droits des personnes

Le registre des traitements, prévu par l’article 30, centralise les finalités, les durées, les destinataires et la base retenue. Selon la CNIL, c’est souvent le premier document demandé lors d’un contrôle, parce qu’il révèle immédiatement les angles morts.

Les mentions d’information prévues par les articles 13 et 14 doivent rester claires, finalité par finalité, sans formule vague. Une mention trop générale brouille la lecture des droits, alors qu’une rédaction nette renforce la confiance et la lisibilité des usages.

Les droits varient aussi selon la base légale retenue, ce qui oblige à bien articuler opposition, retrait du consentement et limitation du traitement. Dans un cas observé lors d’un audit, une entreprise avait prévu le retrait du consentement pour tout, alors qu’une partie des traitements relevait du contrat, ce qui créait des blocages inutiles.

« Notre registre semblait technique, mais il a surtout servi de preuve quand le contrôle est arrivé. »

Claire N.

Contrôles, sanctions et rôle du conseil juridique

Les contrôles récents rappellent que la qualification juridique est observée de près, notamment pour le marketing et les cookies. Selon la CNIL, un mauvais fondement peut suffire à rendre un traitement illicite, avec des conséquences financières et réputationnelles lourdes.

En pratique, le bon réflexe consiste à relier chaque finalité à une base, puis à vérifier la documentation, les contrats de sous-traitance et les mentions d’information. Ce travail réduit les ambiguïtés et renforce la maîtrise des flux, surtout quand plusieurs équipes manipulent les mêmes données.

Un cabinet spécialisé peut aider à cartographier les traitements, rédiger les clauses utiles et préparer les réponses en cas de contrôle. Quand la conformité RGPD devient un réflexe partagé, elle cesse d’être un frein et devient un cadre de confiance durable pour l’organisation.

Source : CNIL, délibérations SAN-2024-021, SAN-2025-001, SAN-2025-002, SAN-2025-004 et SAN-2025-017, CNIL, 2024-2025 ; Règlement (UE) 2016/679, articles 4, 5, 6, 7, 13, 17, 21, 28 et 30, Union européenne, 2016 ; Loi n° 78-17 du 6 janvier 1978 modifiée, France, 1978.

Base et usage : voici les correspondances les plus fréquentes dans la pratique.

Base légale	Usage typique	Point de vigilance	Exemple concret
Consentement	Prospection, cookies, newsletter	Libre, spécifique, révocable	Inscription volontaire à une lettre d’information
Contrat	Commande, livraison, compte client	Nécessité stricte	Traitement d’adresse pour expédier un colis
Obligation légale	Facturation, conservation comptable	Limitation au texte applicable	Archivage d’une facture pendant la durée requise
Intérêts légitimes	Sécurité, fraude, certains usages marketing	Mise en balance documentée	Détection d’anomalies de connexion

Selon la CNIL, l’erreur classique consiste à choisir la base la plus commode au lieu de celle qui correspond au traitement réel. Cette rigueur évite les incohérences internes et prépare le terrain pour les usages plus délicats, notamment quand le marketing rencontre la donnée personnelle.

« J’avais tout mis sous consentement par réflexe, puis j’ai découvert que la facturation relevait du contrat. »

Marc D.

Quand le consentement devient indispensable ou inadapté

Ce premier tri mène naturellement à la question du consentement, parce qu’il est souvent surutilisé. Il doit pourtant rester libre, éclairé, univoque et spécifique, sinon il perd toute valeur juridique.

Concrètement, une case pré-cochée, un refus difficile ou une information floue ne suffisent pas. Selon la CNIL, le retrait doit rester aussi simple que l’accord initial, ce qui oblige les équipes à prévoir des parcours nets et des preuves fiables.

Un e-commerçant peut l’utiliser pour une newsletter adressée à des prospects, mais pas pour une livraison liée à une commande déjà passée. Dans une relation employeur-salarié, la liberté est souvent trop limitée pour fonder un consentement robuste, ce qui explique les contrôles renforcés sur les usages RH.

« Nous avons réduit nos formulaires à l’essentiel, et les refus sont devenus plus lisibles, mais aussi plus honnêtes. »

Sophie L.

Ce cadrage du consentement conduit logiquement à examiner les bases plus opérationnelles, là où le contrat et l’obligation légale prennent souvent le relais.

Choisir entre contrat, obligation légale et intérêts légitimes

Une fois le consentement écarté ou validé, le choix se déplace vers les bases les plus fréquentes en entreprise. C’est ici que la conformité RGPD devient concrète, parce qu’un contrat ou une obligation légale peuvent parfois suffire sans demander d’accord supplémentaire.

Le contrat et l’obligation légale dans les activités courantes

Cette logique est particulièrement visible dans le commerce électronique et les services numériques. Selon le RGPD, l’exécution d’un contrat couvre ce qui est nécessaire à la prestation promise, pas les usages annexes de marketing ou de profilage.

Dans un SaaS, la création du compte, l’accès au service et le support technique relèvent souvent du contrat. À l’inverse, l’envoi d’offres promotionnelles doit être rattaché à une autre base, sinon la qualification juridique devient fragile.

Les obligations légales, elles, imposent un cadre plus rigide et parfois moins discuté par les équipes métier.

Situation	Base appropriée	Ce qui est permis	Ce qui dépasse
Livraison d’une commande	Contrat	Adresse, suivi, contact client	Publicité sans lien avec l’achat
Émission d’une facture	Obligation légale	Archivage et conservation requis	Réutilisation commerciale libre
Gestion d’un compte SaaS	Contrat	Authentification, support, sécurité	Profilage commercial non prévu
Prospection d’anciens clients	Intérêts légitimes	Analyse du contexte et opposition	Envoi massif sans mise en balance

Selon la CNIL, l’obligation légale ne doit jamais servir de prétexte pour étendre un traitement au-delà du texte qui la fonde. Cette discipline protège autant l’organisation que les personnes concernées, puis ouvre la porte au cas plus sensible des intérêts légitimes.

« Le jour où nous avons séparé facturation, support et marketing, les audits internes sont devenus bien plus simples. »

Julien R.

Les intérêts légitimes, utiles mais strictement encadrés

Les intérêts légitimes offrent une marge de manœuvre, mais seulement si le traitement reste proportionné et documenté. Selon la CNIL, il faut démontrer un intérêt réel, la nécessité du traitement et un équilibre acceptable avec les droits des personnes.

Cette base sert souvent pour la sécurité des systèmes, la prévention de la fraude ou certaines analyses internes limitées. Elle devient toutefois risquée dès qu’un traitement touche massivement des données sensibles, un suivi intrusif ou une surveillance des salariés.

Dans un réseau de distribution, la prospection d’anciens clients pour des produits proches peut parfois entrer dans ce cadre, à condition de respecter le droit d’opposition. La logique est pragmatique, mais elle réclame une trace écrite solide, car la responsabilité juridique ne se délègue pas.

Ce cadrage plus serré prépare le dernier volet, où la preuve, la documentation et le contrôle deviennent décisifs au quotidien.

Documenter la conformité RGPD et sécuriser la protection des données

Une fois la base choisie, le travail ne s’arrête pas, car la preuve devient aussi importante que la qualification elle-même. Pour une direction juridique ou un dirigeant de PME, la protection des données se mesure à la qualité des documents et à la cohérence des pratiques.

Registre, information et droits des personnes

Le registre des traitements, prévu par l’article 30, centralise les finalités, les durées, les destinataires et la base retenue. Selon la CNIL, c’est souvent le premier document demandé lors d’un contrôle, parce qu’il révèle immédiatement les angles morts.

Les mentions d’information prévues par les articles 13 et 14 doivent rester claires, finalité par finalité, sans formule vague. Une mention trop générale brouille la lecture des droits, alors qu’une rédaction nette renforce la confiance et la lisibilité des usages.

Les droits varient aussi selon la base légale retenue, ce qui oblige à bien articuler opposition, retrait du consentement et limitation du traitement. Dans un cas observé lors d’un audit, une entreprise avait prévu le retrait du consentement pour tout, alors qu’une partie des traitements relevait du contrat, ce qui créait des blocages inutiles.

« Notre registre semblait technique, mais il a surtout servi de preuve quand le contrôle est arrivé. »

Claire N.

Contrôles, sanctions et rôle du conseil juridique

Les contrôles récents rappellent que la qualification juridique est observée de près, notamment pour le marketing et les cookies. Selon la CNIL, un mauvais fondement peut suffire à rendre un traitement illicite, avec des conséquences financières et réputationnelles lourdes.

En pratique, le bon réflexe consiste à relier chaque finalité à une base, puis à vérifier la documentation, les contrats de sous-traitance et les mentions d’information. Ce travail réduit les ambiguïtés et renforce la maîtrise des flux, surtout quand plusieurs équipes manipulent les mêmes données.

Un cabinet spécialisé peut aider à cartographier les traitements, rédiger les clauses utiles et préparer les réponses en cas de contrôle. Quand la conformité RGPD devient un réflexe partagé, elle cesse d’être un frein et devient un cadre de confiance durable pour l’organisation.

Source : CNIL, délibérations SAN-2024-021, SAN-2025-001, SAN-2025-002, SAN-2025-004 et SAN-2025-017, CNIL, 2024-2025 ; Règlement (UE) 2016/679, articles 4, 5, 6, 7, 13, 17, 21, 28 et 30, Union européenne, 2016 ; Loi n° 78-17 du 6 janvier 1978 modifiée, France, 1978.

Choisir des bases légales n’est jamais une formalité, car chaque traitement de données doit reposer sur des fondements juridiques clairement défendables. En pratique, le bon choix conditionne le consentement, la portée du contrat, le respect d’une obligation légale et la place des intérêts légitimes.

Une entreprise qui confond exécution d’un contrat et prospection, ou qui invoque trop vite la protection des données sans analyser sa responsabilité juridique, s’expose à des erreurs coûteuses. Selon la CNIL, la conformité RGPD dépend d’une qualification précise, et le passage d’une base à l’autre doit rester cohérent avec la réalité du traitement, d’où l’intérêt de clarifier les bases légales dès le départ.

A retenir :

• Six fondements à distinguer selon la finalité
• Choix documenté, preuve opposable, contrôle CNIL
• Consentement réservé aux usages réellement libres
• Contrat, obligation et intérêt légitime encadrés
• Risque financier et réputationnel en cas d’erreur

Comprendre les bases légales RGPD et leurs fondements juridiques

Après ce premier repère, il faut entrer dans la mécanique du RGPD, où chaque traitement trouve sa place dans une logique juridique précise. Pour une PME comme pour une plateforme numérique, le choix des fondements juridiques structure la collecte, la conservation et l’information des personnes.

Les six bases légales du RGPD expliquées clairement

La règle centrale est simple : un traitement n’est licite que s’il repose sur au moins une base parmi les six prévues par le règlement. Selon la CNIL, cette exigence n’est pas décorative, car elle détermine la licéité même du traitement et la portée des droits associés.

Le consentement convient aux newsletters ou aux cookies non essentiels, tandis que l’exécution d’un contrat sert à livrer un produit, facturer ou gérer un compte client. L’obligation légale couvre, par exemple, certaines obligations comptables ou fiscales, alors que les intérêts légitimes exigent un test de proportionnalité réel.

La sauvegarde des intérêts vitaux reste exceptionnelle, surtout en contexte médical ou d’urgence. La mission d’intérêt public vise surtout les acteurs publics, ce qui laisse aux entreprises privées un champ d’application très limité, comme le rappellent plusieurs analyses de la CNIL en 2025.

Base et usage : voici les correspondances les plus fréquentes dans la pratique.

Base légale	Usage typique	Point de vigilance	Exemple concret
Consentement	Prospection, cookies, newsletter	Libre, spécifique, révocable	Inscription volontaire à une lettre d’information
Contrat	Commande, livraison, compte client	Nécessité stricte	Traitement d’adresse pour expédier un colis
Obligation légale	Facturation, conservation comptable	Limitation au texte applicable	Archivage d’une facture pendant la durée requise
Intérêts légitimes	Sécurité, fraude, certains usages marketing	Mise en balance documentée	Détection d’anomalies de connexion

Selon la CNIL, l’erreur classique consiste à choisir la base la plus commode au lieu de celle qui correspond au traitement réel. Cette rigueur évite les incohérences internes et prépare le terrain pour les usages plus délicats, notamment quand le marketing rencontre la donnée personnelle.

« J’avais tout mis sous consentement par réflexe, puis j’ai découvert que la facturation relevait du contrat. »

Marc D.

Quand le consentement devient indispensable ou inadapté

Ce premier tri mène naturellement à la question du consentement, parce qu’il est souvent surutilisé. Il doit pourtant rester libre, éclairé, univoque et spécifique, sinon il perd toute valeur juridique.

Concrètement, une case pré-cochée, un refus difficile ou une information floue ne suffisent pas. Selon la CNIL, le retrait doit rester aussi simple que l’accord initial, ce qui oblige les équipes à prévoir des parcours nets et des preuves fiables.

Un e-commerçant peut l’utiliser pour une newsletter adressée à des prospects, mais pas pour une livraison liée à une commande déjà passée. Dans une relation employeur-salarié, la liberté est souvent trop limitée pour fonder un consentement robuste, ce qui explique les contrôles renforcés sur les usages RH.

« Nous avons réduit nos formulaires à l’essentiel, et les refus sont devenus plus lisibles, mais aussi plus honnêtes. »

Sophie L.

Ce cadrage du consentement conduit logiquement à examiner les bases plus opérationnelles, là où le contrat et l’obligation légale prennent souvent le relais.

Choisir entre contrat, obligation légale et intérêts légitimes

Une fois le consentement écarté ou validé, le choix se déplace vers les bases les plus fréquentes en entreprise. C’est ici que la conformité RGPD devient concrète, parce qu’un contrat ou une obligation légale peuvent parfois suffire sans demander d’accord supplémentaire.

Le contrat et l’obligation légale dans les activités courantes

Cette logique est particulièrement visible dans le commerce électronique et les services numériques. Selon le RGPD, l’exécution d’un contrat couvre ce qui est nécessaire à la prestation promise, pas les usages annexes de marketing ou de profilage.

Dans un SaaS, la création du compte, l’accès au service et le support technique relèvent souvent du contrat. À l’inverse, l’envoi d’offres promotionnelles doit être rattaché à une autre base, sinon la qualification juridique devient fragile.

Les obligations légales, elles, imposent un cadre plus rigide et parfois moins discuté par les équipes métier.

Situation	Base appropriée	Ce qui est permis	Ce qui dépasse
Livraison d’une commande	Contrat	Adresse, suivi, contact client	Publicité sans lien avec l’achat
Émission d’une facture	Obligation légale	Archivage et conservation requis	Réutilisation commerciale libre
Gestion d’un compte SaaS	Contrat	Authentification, support, sécurité	Profilage commercial non prévu
Prospection d’anciens clients	Intérêts légitimes	Analyse du contexte et opposition	Envoi massif sans mise en balance

Selon la CNIL, l’obligation légale ne doit jamais servir de prétexte pour étendre un traitement au-delà du texte qui la fonde. Cette discipline protège autant l’organisation que les personnes concernées, puis ouvre la porte au cas plus sensible des intérêts légitimes.

« Le jour où nous avons séparé facturation, support et marketing, les audits internes sont devenus bien plus simples. »

Julien R.

Les intérêts légitimes, utiles mais strictement encadrés

Les intérêts légitimes offrent une marge de manœuvre, mais seulement si le traitement reste proportionné et documenté. Selon la CNIL, il faut démontrer un intérêt réel, la nécessité du traitement et un équilibre acceptable avec les droits des personnes.

Cette base sert souvent pour la sécurité des systèmes, la prévention de la fraude ou certaines analyses internes limitées. Elle devient toutefois risquée dès qu’un traitement touche massivement des données sensibles, un suivi intrusif ou une surveillance des salariés.

Dans un réseau de distribution, la prospection d’anciens clients pour des produits proches peut parfois entrer dans ce cadre, à condition de respecter le droit d’opposition. La logique est pragmatique, mais elle réclame une trace écrite solide, car la responsabilité juridique ne se délègue pas.

Ce cadrage plus serré prépare le dernier volet, où la preuve, la documentation et le contrôle deviennent décisifs au quotidien.

Documenter la conformité RGPD et sécuriser la protection des données

Une fois la base choisie, le travail ne s’arrête pas, car la preuve devient aussi importante que la qualification elle-même. Pour une direction juridique ou un dirigeant de PME, la protection des données se mesure à la qualité des documents et à la cohérence des pratiques.

Registre, information et droits des personnes

Le registre des traitements, prévu par l’article 30, centralise les finalités, les durées, les destinataires et la base retenue. Selon la CNIL, c’est souvent le premier document demandé lors d’un contrôle, parce qu’il révèle immédiatement les angles morts.

Les mentions d’information prévues par les articles 13 et 14 doivent rester claires, finalité par finalité, sans formule vague. Une mention trop générale brouille la lecture des droits, alors qu’une rédaction nette renforce la confiance et la lisibilité des usages.

Les droits varient aussi selon la base légale retenue, ce qui oblige à bien articuler opposition, retrait du consentement et limitation du traitement. Dans un cas observé lors d’un audit, une entreprise avait prévu le retrait du consentement pour tout, alors qu’une partie des traitements relevait du contrat, ce qui créait des blocages inutiles.

« Notre registre semblait technique, mais il a surtout servi de preuve quand le contrôle est arrivé. »

Claire N.

Contrôles, sanctions et rôle du conseil juridique

Les contrôles récents rappellent que la qualification juridique est observée de près, notamment pour le marketing et les cookies. Selon la CNIL, un mauvais fondement peut suffire à rendre un traitement illicite, avec des conséquences financières et réputationnelles lourdes.

En pratique, le bon réflexe consiste à relier chaque finalité à une base, puis à vérifier la documentation, les contrats de sous-traitance et les mentions d’information. Ce travail réduit les ambiguïtés et renforce la maîtrise des flux, surtout quand plusieurs équipes manipulent les mêmes données.

Un cabinet spécialisé peut aider à cartographier les traitements, rédiger les clauses utiles et préparer les réponses en cas de contrôle. Quand la conformité RGPD devient un réflexe partagé, elle cesse d’être un frein et devient un cadre de confiance durable pour l’organisation.

Source : CNIL, délibérations SAN-2024-021, SAN-2025-001, SAN-2025-002, SAN-2025-004 et SAN-2025-017, CNIL, 2024-2025 ; Règlement (UE) 2016/679, articles 4, 5, 6, 7, 13, 17, 21, 28 et 30, Union européenne, 2016 ; Loi n° 78-17 du 6 janvier 1978 modifiée, France, 1978.