Chapitre 312 minIntermédiaire
Les 6 bases légales du RGPD et le consentement
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- choisir la base légale adaptée à un traitement ;
- vérifier qu'un consentement est libre, spécifique, éclairé et univoque ;
- enregistrer la preuve d'un consentement ;
- rédiger une mention d'information sous un formulaire.
3 exercices corrigés1 schéma
Une base légale est le fondement juridique qui autorise un traitement de données personnelles : l'article 6 du RGPD en prévoit six, et un traitement qui ne repose sur aucune d'elles est illicite. Ce chapitre explique chaque base avec des exemples, la façon de choisir la bonne, les conditions d'un consentement valable et l'information que tu dois donner aux personnes au moment de la collecte.
Les six bases de l'article 6
La liste est limitative : il n'en existe pas d'autre. Le responsable choisit la base avant de commencer le traitement, l'indique dans son registre et dans l'information donnée aux personnes, et ne peut pas en changer en cours de route pour se tirer d'affaire.
| Base légale | Le traitement est nécessaire… | Exemples chez Cèdre Habitat |
|---|---|---|
| a) Consentement | … parce que la personne a donné son accord pour une finalité précise | Lettre d'information sur les animations de quartier, cookies de mesure d'audience non exemptés, photo d'un locataire dans le journal de la résidence |
| b) Contrat | … à l'exécution d'un contrat avec la personne, ou à des mesures précontractuelles prises à sa demande | Gestion du bail, appel des loyers, traitement d'une demande d'intervention, étude d'un dossier de candidature à un logement |
| c) Obligation légale | … au respect d'une obligation légale du responsable | Bulletins de paie et déclarations sociales, conservation des factures, réponse à une réquisition judiciaire, enquêtes imposées aux bailleurs sociaux |
| d) Intérêts vitaux | … à la sauvegarde de la vie de la personne ou d'un tiers | Communiquer aux secours qu'un locataire âgé vit seul lors d'une inondation |
| e) Mission d'intérêt public | … à une mission d'intérêt public ou relevant de l'autorité publique | Traitements d'une mairie, d'une administration ; ne s'applique à Cèdre Habitat que pour les missions que la loi lui confie |
| f) Intérêt légitime | … aux intérêts légitimes du responsable ou d'un tiers, à condition de ne pas méconnaître les droits et libertés des personnes | Journalisation des accès pour la sécurité du système d'information, vidéoprotection des parkings, prévention de la fraude, prospection de ses propres clients par courrier |
Choisir la bonne base
Pose les questions dans l'ordre : une loi l'impose-t-elle ? Est-ce indispensable pour exécuter le contrat demandé par la personne ? L'intérêt de l'organisation est-il réel et proportionné ? Sinon, il faut le consentement, ou renoncer au traitement.
Le contrat ne couvre que ce qui est objectivement nécessaire au contrat. L'adresse de livraison est nécessaire à une commande ; le profilage publicitaire du client ne l'est pas, même s'il figure dans des conditions générales qu'il a acceptées.
L'intérêt légitime se vérifie en trois temps (mise en balance) :
- l'intérêt poursuivi est-il légitime, c'est-à-dire licite, précis et réel ? (sécuriser le réseau, prévenir la fraude, faire connaître ses offres à ses clients) ;
- le traitement est-il nécessaire pour l'atteindre, ou un moyen moins intrusif suffirait-il ?
- les droits et attentes raisonnables des personnes ne l'emportent-ils pas ? On regarde la nature des données, l'impact, la relation avec la personne, les garanties (information, droit d'opposition facile, minimisation).
Les autorités publiques ne peuvent pas fonder sur l'intérêt légitime les traitements qu'elles effectuent dans l'exécution de leurs missions.
Le consentement : quatre conditions
Selon l'article 4 du RGPD, le consentement est une manifestation de volonté libre, spécifique, éclairée et univoque. L'article 7 ajoute qu'il doit pouvoir être prouvé et retiré à tout moment.
| Condition | Ce que ça veut dire | Exemple non conforme |
|---|---|---|
| Libre | Pas de contrainte, pas de conséquence négative en cas de refus, pas de déséquilibre manifeste ; pas de service conditionné à un consentement inutile à ce service | « Pour accéder au portail locataires, acceptez de recevoir les offres de nos partenaires » |
| Spécifique | Un consentement par finalité | Une case unique « J'accepte les CGU, la newsletter et le partage avec nos partenaires » |
| Éclairé | La personne sait qui collecte, pour quoi faire, et qu'elle peut retirer son accord | « Vos données peuvent être utilisées pour améliorer nos services » sans autre précision |
| Univoque | Un acte positif clair : cocher une case, cliquer sur un bouton | Une case précochée, le silence, la poursuite de la navigation |
La case précochée n'est pas un consentement valable : la Cour de justice de l'Union européenne l'a jugé le 1er octobre 2019 dans l'affaire Planet49. Pour les données sensibles, le consentement doit en plus être explicite : une déclaration expresse, par exemple une case spécifique accompagnée d'un texte qui nomme la donnée.
Retirer son consentement doit être aussi simple que le donner : un lien de désinscription dans chaque courriel, un interrupteur dans les paramètres du compte. Le retrait ne rend pas illicites les traitements faits avant, mais le traitement doit cesser pour la suite.
Prouver le consentement est à la charge du responsable. Concrètement, on enregistre qui a consenti, quand, à quoi (la version du texte affiché), par quel moyen, et les retraits éventuels :
CREATE TABLE consentement (
id_consentement INT AUTO_INCREMENT PRIMARY KEY,
id_locataire INT NOT NULL,
finalite VARCHAR(50) NOT NULL, -- 'lettre_information', 'photo_journal'
version_texte VARCHAR(20) NOT NULL, -- version du texte affiché au moment du choix
accorde BOOLEAN NOT NULL,
date_choix DATETIME NOT NULL,
canal VARCHAR(20) NOT NULL, -- 'portail', 'formulaire_papier'
FOREIGN KEY (id_locataire) REFERENCES locataire(id_locataire)
);
On ajoute une ligne à chaque choix au lieu d'écraser l'ancienne : l'historique est la preuve.
Le consentement des mineurs
Pour les services en ligne proposés directement à un enfant (réseau social, jeu, application) et fondés sur le consentement, la France a fixé l'âge à 15 ans (article 45 de la loi Informatique et libertés). En dessous, il faut le consentement conjoint du mineur et du titulaire de l'autorité parentale.
Informer les personnes
Le principe de transparence impose d'informer la personne au moment de la collecte (article 13), ou dans un délai raisonnable, au plus tard un mois, si les données sont obtenues auprès d'un tiers (article 14). L'information doit être concise, compréhensible et facile d'accès.
| Mention obligatoire | Exemple pour le formulaire de demande d'intervention |
|---|---|
| Identité et coordonnées du responsable de traitement | Cèdre Habitat, adresse du siège |
| Coordonnées du délégué à la protection des données, s'il y en a un | dpo@cedre-habitat.fr |
| Finalités et base légale | Traiter votre demande d'intervention, en exécution de votre bail |
| Intérêt légitime poursuivi, si c'est la base | — |
| Destinataires | Services techniques, entreprise intervenante |
| Transfert hors de l'Union, le cas échéant | Aucun |
| Durée de conservation | 3 ans après la clôture de la demande |
| Droits de la personne et moyen de les exercer | Accès, rectification, effacement, limitation, opposition, portabilité, en écrivant au DPO |
| Droit de retirer son consentement, si c'est la base | — |
| Droit d'introduire une réclamation auprès de la CNIL | www.cnil.fr |
| Caractère obligatoire ou facultatif des réponses | Les champs marqués d'un astérisque sont obligatoires |
En pratique, on procède en deux niveaux : une mention courte sous le formulaire (responsable, finalité, droits, lien) et une politique de confidentialité complète accessible depuis toutes les pages. Le cours HTML et CSS montre comment l'intégrer à un site.
Les informations recueillies sont utilisées par Cèdre Habitat pour traiter votre demande
d'intervention, en exécution de votre bail. Elles sont transmises à nos services techniques
et à l'entreprise chargée de l'intervention, et conservées 3 ans après la clôture de la
demande. Vous pouvez accéder à vos données, les rectifier ou demander leur effacement en
écrivant à dpo@cedre-habitat.fr. Vous pouvez aussi adresser une réclamation à la CNIL.
En savoir plus : politique de confidentialité.
Exercices
Exercice 1 sur 3 Quelle base légale ? Réussi À revoir
Indique la base légale la plus adaptée pour chaque traitement de Cèdre Habitat.
- L'envoi des avis d'échéance de loyer.
- La déclaration des salaires aux organismes sociaux.
- La journalisation des connexions au serveur de fichiers.
- La publication de la photo d'un locataire primé au concours des balcons fleuris dans le journal de la résidence.
- La lettre d'information mensuelle envoyée aux locataires sur les animations de quartier.
- La vidéoprotection du parking souterrain, où des véhicules ont été dégradés.
Voir la réponseMasquer la réponse de l'exercice 1
- Contrat : appeler le loyer est l'exécution du bail.
- Obligation légale.
- Intérêt légitime : sécuriser le système d'information, avec une durée de conservation limitée et l'information des salariés. On peut aussi y voir l'exécution de l'obligation de sécurité de l'article 32 du RGPD.
- Consentement du locataire, qui doit pouvoir refuser sans conséquence. Le droit à l'image l'exige de toute façon.
- Consentement, ou intérêt légitime si la lettre ne contient que des informations liées au bail et à la vie de la résidence, avec un lien de désinscription. Dès qu'elle fait la promotion d'offres commerciales de tiers, il faut le consentement.
- Intérêt légitime : protéger les biens et les personnes après des dégradations, avec des caméras limitées aux zones à risque, une information par panneaux et une conservation courte des images.
Tu avais trouvé ?
Exercice 2 sur 3 Ce consentement est-il valable ? Réussi À revoir
Sur la page de création de compte du portail locataires, on trouve une seule case, déjà cochée : « J'accepte les conditions d'utilisation du portail et je souhaite recevoir les offres de nos partenaires. » Le compte ne peut pas être créé si la case est décochée. Analyse.
Voir la réponseMasquer la réponse de l'exercice 2
Le consentement aux offres des partenaires n'est pas valable, pour quatre raisons :
- Univoque : la case est précochée ; aucun acte positif (CJUE, Planet49, 1er octobre 2019).
- Spécifique : une seule case couvre deux choses différentes, l'acceptation des conditions d'utilisation et la prospection.
- Libre : la création du compte est conditionnée à un consentement qui n'est pas nécessaire au service.
- Éclairé : « nos partenaires » ne permet pas de savoir qui recevra les données.
Correction : la gestion du compte repose sur le contrat et n'a pas besoin de case ; on ajoute une case distincte, décochée et facultative pour les offres, en nommant les partenaires (ou en renvoyant vers leur liste), et un lien de désinscription dans chaque message.
Tu avais trouvé ?
Exercice 3 sur 3 Rédiger une mention d'information Réussi À revoir
Nadia crée le formulaire « Candidature à un logement » du site. Il collecte : nom, prénom, adresse, téléphone, courriel, composition du foyer, revenus, pièces justificatives. Les données sont transmises à la commission d'attribution et conservées un an si la demande n'aboutit pas. Rédige la mention courte placée sous le formulaire.
Voir la réponseMasquer la réponse de l'exercice 3
« Les informations recueillies sont traitées par Cèdre Habitat pour étudier votre demande de logement, à votre demande et en application des règles d'attribution des logements sociaux. Elles sont destinées au service des attributions et à la commission d'attribution. Si votre demande n'aboutit pas, elles sont supprimées un an après son dépôt. Vous pouvez accéder à vos données, les rectifier, demander leur effacement ou la limitation de leur traitement en écrivant à dpo@cedre-habitat.fr. Vous pouvez adresser une réclamation à la CNIL. Les champs marqués d'un astérisque sont obligatoires : sans eux, nous ne pouvons pas étudier votre demande. En savoir plus : politique de confidentialité. »
Les éléments attendus : le responsable, la finalité, la base légale (mesures précontractuelles et obligations légales du bailleur), les destinataires, la durée, les droits, la CNIL, le caractère obligatoire des réponses et le lien vers l'information complète.
Tu avais trouvé ?