Base légale : les enjeux pour la PME
Tout traitement doit reposer sur l’une des six bases prévues par le RGPD. Selon la CNIL, le choix intervient avant tout début de mise en œuvre et constitue une opération décisive. Si plusieurs bases semblent convenir, une seule doit être retenue, la plus adaptée au cas d’espèce, pour chaque finalité.
Ce choix a des conséquences concrètes. La portabilité ne joue que pour le consentement et le contrat. Le droit d’opposition vise les traitements fondés sur l’intérêt légitime ou l’intérêt public. Le consentement peut être retiré à tout moment. Une entreprise qui choisit la mauvaise base s’expose donc à des droits qu’elle n’a pas prévus, ou à des traitements qu’elle ne peut pas justifier.
Le contrat ne couvre que ce qui est objectivement nécessaire à son exécution : selon la CNIL, il ne suffit pas qu’un traitement soit mentionné dans les clauses, et prospecter des personnes qui n’ont rien demandé ne peut pas reposer sur cette base. L’intérêt légitime suppose trois conditions : un intérêt licite, clairement déterminé et réel ; un traitement nécessaire, sans moyen moins intrusif ; une mise en balance avec les attentes raisonnables des personnes. Le consentement, enfin, n’est pas systématiquement requis.
Pour chaque nouvel outil, notamment d’IA, nous conseillons une ligne écrite par traitement : la finalité, la base retenue, et pourquoi les autres ont été écartées. Ce raisonnement, consigné dans le registre, permet de répondre à une personne ou à la CNIL sans le reconstituer après coup. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Une société de maintenance de 70 salariés revoit les 12 traitements de son registre : 3 n’ont aucune base documentée. Les déclarations sociales relèvent de l’obligation légale, le suivi des interventions du contrat. Pour un nouvel outil d’IA qui résume les tickets clients afin d’améliorer le support, elle retient l’intérêt légitime après avoir vérifié les trois conditions, informe ses clients et leur permet de s’opposer. En un mois, les 12 traitements ont chacun une base écrite et justifiée.
Questions fréquentes
Combien y a-t-il de bases légales dans le RGPD ?
Six : le consentement, le contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et l’intérêt légitime.
Peut-on cumuler plusieurs bases légales pour un même traitement ?
Non. Selon la CNIL, même si plusieurs bases peuvent convenir, une seule doit être retenue pour une finalité donnée, avant le début du traitement.
Faut-il toujours demander le consentement ?
Non. Le consentement n’est qu’une des six bases. Un contrat, une obligation légale ou un intérêt légitime peuvent fonder un traitement, chacun à ses conditions.
Peut-on prospecter de nouveaux clients sur la base du contrat ?
Non. Selon la CNIL, les mesures précontractuelles doivent être prises à la demande de la personne : une prospection sans démarche de sa part ne peut pas reposer sur le contrat.
Sources
- Comment choisir la base légale d’un traitement ?, CNIL — consulté le 16 octobre 2026
- Les bases légales, CNIL — consulté le 16 octobre 2026
- Le contrat : dans quels cas fonder un traitement sur cette base légale ?, CNIL — consulté le 16 octobre 2026
- L’intérêt légitime : comment fonder un traitement sur cette base légale ?, CNIL — consulté le 16 octobre 2026
- Professionnels : comment répondre à une demande de droit à la portabilité ?, CNIL — consulté le 16 octobre 2026
- Le droit d’opposition : refuser l’utilisation de vos données, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.