Le RGPD, ou Règlement général sur la protection des données, est le règlement européen qui encadre le traitement des données personnelles dans l'Union européenne. En vigueur depuis le 25 mai 2018, il vise à protéger les droits des citoyens sur l'usage de leurs données. En son cœur, l'article 6 définit la licéité du traitement : il fixe les conditions qui rendent un traitement de données légal.
Une précision s'impose d'emblée, car une idée reçue circule : l'article 6 n'exige pas systématiquement le consentement de la personne concernée. Le consentement n'est que l'une des six bases légales possibles. Cet article fait le point sur le champ d'application du RGPD, le contenu réel de l'article 6 et les sanctions encourues.
Je précise mon rôle : je vulgarise ici une réglementation technique. Pour une mise en conformité précise, le site de la CNIL ou un professionnel spécialisé sont vos interlocuteurs.
Le RGPD s'applique à tout organisme qui traite des données personnelles, qu'il soit public ou privé : entreprise, administration, collectivité, association, ministère. Il s'applique dès lors que l'organisme est établi dans l'Union européenne, ou qu'il traite les données de personnes situées dans l'Union, même depuis l'étranger.
Les particuliers peuvent également être concernés, sauf lorsqu'ils traitent des données dans un cadre strictement personnel ou domestique (un carnet d'adresses privé, par exemple), qui échappe au RGPD. Tous ces acteurs doivent respecter la licéité du traitement définie à l'article 6.
L'article 6 pose un principe simple : un traitement de données n'est licite que s'il repose sur au moins une base légale. Sans base légale, le traitement est illégal. Le règlement en prévoit six, et une seule suffit à justifier un traitement donné. Il n'existe aucune hiérarchie entre elles : c'est la plus adaptée au contexte qui doit être choisie.
Les six bases légales sont les suivantes :
Concrètement, cela signifie qu'un même fichier peut reposer sur plusieurs bases selon les finalités : le contrat pour gérer une commande, l'obligation légale pour la comptabilité, le consentement pour la prospection commerciale.
Une confusion fréquente mérite d'être levée. L'article 6 concerne la licéité du traitement, c'est-à-dire ce qui rend un traitement légal du côté de l'organisme. Il ne faut pas le confondre avec les droits des personnes, qui sont garantis par d'autres articles du RGPD (les articles 15 à 22).
Ces droits, qui s'exercent indépendamment, sont notamment :
Un point important : la base légale choisie au titre de l'article 6 conditionne les droits applicables. Par exemple, le droit d'opposition ne joue que pour les traitements fondés sur l'intérêt légitime ou la mission d'intérêt public, tandis que le retrait du consentement ne concerne que les traitements fondés sur le consentement. C'est en cela que l'article 6 et les droits des personnes s'articulent, sans pour autant se confondre.
L'application de l'article 6 suppose une démarche rigoureuse, finalité par finalité. Pour chaque traitement, l'organisme doit identifier la finalité poursuivie (pourquoi collecte-t-il ces données ?), puis déterminer la base légale la plus adaptée, et enfin documenter ce choix.
Cette documentation s'inscrit dans le registre des traitements, obligatoire au titre de l'article 30 du RGPD. Choisir une base inadaptée (par exemple invoquer le consentement alors que le traitement repose en réalité sur un contrat) constitue en soi un manquement. L'article 6 doit par ailleurs se combiner avec les principes généraux de l'article 5 (loyauté, transparence, minimisation des données, limitation de la durée de conservation).
Le non-respect de l'article 6 expose à des sanctions, principalement administratives, prononcées par la CNIL. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'organisme, le montant le plus élevé étant retenu. La CNIL peut aussi ordonner la limitation ou l'arrêt d'un traitement, et rendre ses décisions publiques.
À ces sanctions administratives peuvent s'ajouter des sanctions pénales prévues par le Code pénal pour certaines atteintes graves aux données (jusqu'à cinq ans d'emprisonnement et 300 000 € d'amende). Enfin, une personne victime d'un traitement illicite peut agir devant le tribunal judiciaire pour obtenir réparation de son préjudice.
L'article 6 du RGPD définit la licéité du traitement : un traitement n'est légal que s'il repose sur l'une des six bases légales (consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public, intérêt légitime). Le consentement n'est que l'une d'elles, et non une exigence systématique. Cet article ne doit pas être confondu avec les droits des personnes (accès, rectification, effacement…), qui relèvent d'autres articles. La non-conformité expose à des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
La réglementation étant technique et évolutive, il reste conseillé de consulter le site de la CNIL ou un professionnel pour toute mise en conformité. Cet article a une vocation purement informative.
Pour aller plus loin : vous pouvez consulter nos articles sur le rôle de la CNIL, le consentement au sens du RGPD, et le droit à l'effacement des données.
Article rédigé par
