Le consentement n’est pas obligatoire pour tout traitement de données personnelles. Le RGPD prévoit six bases légales. Pour chaque finalité, le responsable du traitement doit choisir la base adaptée avant de commencer le traitement et en informer les personnes concernées.

Les six bases légales du RGPD

• Le consentement de la personne concernée.
• L’exécution d’un contrat avec cette personne, ou de mesures précontractuelles prises à sa demande.
• Le respect d’une obligation légale.
• La sauvegarde des intérêts vitaux d’une personne.
• L’exécution d’une mission d’intérêt public ou relevant de l’autorité publique.
• La poursuite d’intérêts légitimes, lorsque les conditions de cette base légale sont réunies.

Le consentement n’a pas de priorité sur les autres bases. Le choix dépend de l’objectif et du contexte du traitement ; il ne doit pas servir à contourner les conditions d’une autre base.

Quand retenir l’intérêt légitime ?

Cette base nécessite trois vérifications : un intérêt réel, licite et clairement défini ; un traitement nécessaire à sa réalisation ; et une mise en balance avec les droits et libertés des personnes, en tenant compte de leurs attentes raisonnables. L’analyse doit être documentée. L’intérêt légitime ne constitue donc pas une autorisation générale de traiter les données.

Ce que précise la décision du 10 décembre 2020

Dans l’affaire Cdiscount (n° 429571), le Conseil d’État a rejeté le recours contre la recommandation de la CNIL relative aux données de carte bancaire. Pour les clients sans abonnement, il a considéré que l’intérêt commercial de faciliter de futurs achats ne suffisait pas à justifier leur conservation sans consentement. Cette décision porte sur ce contexte précis.

Pour examiner les traitements et les bases légales de votre organisation, contactez RIMA Conseils et Services.

Article publié le 15 décembre 2020 ; contenu actualisé le 18 octobre 2026.

Sources

• CNIL : l’essentiel sur les bases légales.
• CNIL : l’intérêt légitime.
• Conseil d’État, 10 décembre 2020, n° 429571.