Pour être mis en œuvre, tout traitement de données personnelles doit reposer une des six bases légales définies par la Règlementation. Autrement dit, la base légale est ce qui autorise légalement la mise en œuvre du traitement et sans base légale, le traitement est interdit. Le choix de la base légale doit donc intervenir avant même la mise en œuvre du traitement de données.

Les bases légales prévues par le RGPD :

• Le consentement de la personne concernée : Consentement libre, spécifique, éclairé et univoque
• Le contrat  : Traitement nécessaire à l’exécution ou à la préparation d’un contrat avec la personne concernée : c’est le cas par exemple du traitement des données dans le cadre de la préparation du contrat de travail lors du recrutement d’un candidat
• L’obligation légale : Traitement imposé par des textes légaux : c’est le cas par exemple de certains traitements de gestion administrative du personnel
• La mission d’intérêt public : La CNIL rappelle que cette base légale concerne en premier lieu les traitements des autorités publiques. Les organismes privés ne seront concernés que s’ils disposent de prérogatives de puissance publique, ou poursuivent une mission d’intérêt public.
• L’intérêt légitime de l’organisme : A manier avec prudence, il faut pouvoir justifier le recours à cette base légale. La Commission européenne considère que le motif d’intérêt légitime est celui qui permet de justifier le traitement des données en lien avec les activités professionnelles d’un organisme, qui ne disposerait pas d’autre base légale.
• La sauvegarde des intérêts vitaux : Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’un tiers. Le RGPD précise dans le considérant 46 qu’il s’agit d’intérêt essentiel à la vie. On pense majoritairement au contexte médical dans ce cadre.

Il n’existe pas de hiérarchie entre ces différentes bases légales : aucune base légale ne prévaut pas sur les autres.

La base légale du traitement doit être précisée dans les éléments d’information apportés aux personnes concernées. En effet, toutes les bases légales n’ont pas les mêmes conséquences sur les droits des personnes concernées.

• Règlement général sur la protection des données – RGPD
• Commission européenne : Que signifie « motif d’intérêt légitime »