Quelle base légale pour votre traitement de données personnelles ?
Publié le :
Dernière modification le :
Vous avez besoin d’aide pour définir la base légale de votre traitement de données ?
« La base légale d’un traitement de données personnelles est ce qui autorise légalement sa mise en œuvre. » (RGPD)
Tout traitement de données personnelles doit être licite, et pour cela il doit reposer sur une base légale. On parle aussi de base juridique ou de fondement juridique du traitement.
La base légale est ce qui vous donne le droit de collecter des données personnelles sur votre site Web.
C’est la première chose à définir pour votre traitement, et ce n’est pas toujours évident…
Les 6 bases légales
Vous ne pouvez pas définir la base légale avec vos propres mots. Voici les 6 bases légales prévues par le RGPD et parmi lesquelles vous devrez choisir celle qui correspond le mieux à votre traitement de données :
Le choix de la base légale n’est pas toujours facile. La CNIL propose de nombreuses publications pour vous aider à définir la base légale d’un traitement de données personnelles.
Je vous propose de voir ensemble les 4 bases légales les plus fréquentes sur un site Web :
Le consentement est une base légale courante sur un site Web
Le consentement était déjà inscrit dans la loi Informatique et Libertés. Le RGPD vient préciser les conditions de son recueil et assurer aux personnes concernées un contrôle renforcé sur leurs données, en leur permettant :
Le consentement est une base légale qui concerne la majorité des sites Web. On va la retrouver lorsque :
Quels cookies sont concernés ?
Il peut s’agir de cookies propriétaires (first-party data) déposés par votre site et pour votre compte (comme les cookies de votre outil de mesure d’audience) ou de cookies tiers (third-party data) comme une Google Map ou une vidéo YouTube qui vont déposer des cookies pour le compte de la société Google.
Certains cookies sont exemptés de consentement. comme les cookies fonctionnels ou techniques ou les cookies de certains tiers mesureurs lorsqu’ils sont configurés en mode « suivi sans cookie », où les données collectées sont rendues anonymes (sans possibilité d’identifier la personne).
Il y aurait beaucoup à dire sur les cookies et le consentement lié à ceux-ci, ce qui donnera lieu à un prochain article.
L’obligation de recueil du consentement
Lorsque vous mettez en place un traitement de données personnelles avec le consentement comme base légale, vous devez recueillir ce consentement.
Le consentement recueilli doit être valable, facilement révocable, préalable au dépôt de cookies, et vous devez pouvoir apporter la preuve du consentement.
Voyons cela plus en détail…
La validité du consentement
« Le RGPD impose que le consentement soit libre, spécifique, éclairé et univoque. » (RGPD, Articles 4 et 7)
Sans le respect de ces 4 critères, le consentement n’est pas valable, même s’il est accordé par la personne concernée.
Le consentement doit être facilement révocable
« Il doit être aussi simple de retirer son consentement que de le donner. » (RGPD)
Le consentement doit être facilement révocable, et à tout moment.
Pour cela, vous devez maintenir la bannière de consentement aux cookies accessible pendant toute la navigation sur votre site.
Chacune de vos newsletters doit présenter un lien de désabonnement direct. Vous ne pouvez pas mettre un lien renvoyant vers une page qui expliquerait comment se désabonner.
Cas où le consentement doit aussi être explicite
Le consentement est explicite quand il ne peut faire l’objet d’aucune mauvaise interprétation, c’est-à-dire quand il est donné de manière incontestable.
C’est un critère supplémentaire à ceux énumérés ci-dessus (libre, spécifique, éclairé, univoque et facilement révocable). Le consentement explicite fait partie des exceptions qui permettent de lever l’interdiction de traitement des données sensibles. Il concerne aussi les décisions entièrement automatisées.
Le consentement doit être préalable au dépôt de cookies
Le consentement doit être recueilli avant le dépôt de cookies. Vous devez configurer vos extensions et outils en conséquence (bannière de consentement, CAPTCHA de vos formulaires de contact, outil de mesure statistique…).
La complexité du consentement des mineurs
L’âge de la majorité numérique, fixé à 15 ans en France (RGPD, Article 8), diffère selon les pays européens. Pour que le consentement d’un mineur soit valable (on parle de mineur au sens de la majorité numérique, soit âgé de moins de 15 ans révolus en France), vous devez recueillir à la fois le consentement du mineur et celui de la personne titulaire de l’autorité parentale (avec la difficulté de s’assurer de la fonction effective de cette personne).
Vous proposez des séjours linguistiques pour des collégiens via votre site Web ?
En cas de recueil de consentement, vous vous exposez à une complexité technique et juridique :
Le plus simple est de vous adresser aux parents via une rédaction sans équivoque (indiquez « votre enfant a entre 12 et 15 ans ? » et non « tu as entre 12 et 15 ans ? »).
En cas de doute, n’hésitez pas à prendre conseil auprès d’un avocat spécialisé dans les questions RGPD.
Comment établir la preuve du consentement ?
Vous pouvez, pour démontrer qu’une personne a donné son consentement sur votre site Web :
Vous changez d’extension WordPress pour le recueil du consentement aux cookies ?
Il est prudent de conserver les preuves de consentement de l’ancienne extension utilisée.
En savoir plus sur le consentement
Je vous recommande cet article de la CNIL qui détaille le consentement comme base légale.
Le contrat comme base légale
La nécessité contractuelle dite aussi « le contrat » est bien souvent la base légale des formulaires de contact présents sur un site Web, la démarche étant prise à l’initiative de la personne :
On va distinguer 2 cas de figure :
Vous recueillez des leads sur votre site Web en vue de vendre vos produits ou votre expertise ?
Le contrat est certainement la base légale de votre traitement de données personnelles.
En savoir plus sur le contrat comme base légale.
L’intérêt légitime comme base légale
L’intérêt légitime est une base légale qui peut vous concerner si vous utilisez votre CRM pour de la vente additionnelle sur votre fichier client. Ce traitement n’a pas lieu sur votre site Web, mais j’en parle car c’est souvent la suite d’une récolte de leads sur votre site, une fois que vous les avez convertis en clients.
Concrètement, si vous avez vendu un produit ou un service, cette base légale vous autorise à ensuite solliciter vos clients – mais pas vos prospects ! – pour un produit ou un service analogue, c’est-à-dire similaire ou en lien avec celui-ci.
Vous êtes une concession automobile et vous avez vendu un véhicule à une personne ?
Vous pouvez, sur la base de l’intérêt légitime, proposer à ce client des accessoires pour équiper son véhicule, ou un contrat d’assurance pour celui-ci, à condition que ce soit vous qui vendiez ces produits ou services (pas une entreprise partenaire).
Pour être légitime, l’intérêt doit bien évidemment être en rapport avec votre objet social. De plus, sachez que l’intérêt légitime du responsable de traitement ne doit jamais prévaloir sur les droits et intérêts des personnes concernées.
L’internaute doit pouvoir faire valoir à tout moment son droit d’opposition. Un moyen (email, formulaire…) doit figurer au sein de votre politique de confidentialité afin qu’il puisse tendre facilement à l’exercice de ce droit.
En savoir plus sur l’intérêt légitime comme base légale.
Le respect d’une obligation légale comme base légale
Certains traitements de données sur votre site Web peuvent être fondés sur le respect d’une obligation légale :
Est-ce à dire qu’il y a une obligation légale à avoir un formulaire d’exercice des droits ?
Non, vous avec obligation de proposer un moyen (ou plusieurs) qui permette aux personnes d’exercer leurs droits RGPD, mais ça peut être, par exemple, une adresse e-mail.
Vous avez défini la base légale de votre traitement ?
Bravo ! Je vous invite maintenant à déterminer sa finalité.
Vous avez besoin d’aide pour définir la base légale de votre traitement de données ?
