Base légale : la question qu'on se pose trop tard, et le consentement qu'on choisit par défaut

Dans la plupart des organisations, la base légale d'un traitement est déterminée le jour où l'on remplit le registre — c'est-à-dire des mois ou des années après que le traitement a commencé. On regarde ce qu'on fait déjà, et on cherche laquelle des six cases coche le mieux. La CNIL dit exactement l'inverse : le choix de la base légale est une opération décisive, qui doit intervenir avant tout début de mise en œuvre du traitement des données.

L'ordre compte parce que la base légale ne décrit pas le traitement : elle le contraint. Elle détermine quels droits s'appliquent, ce qu'il faut annoncer aux personnes, et ce qu'il faudra faire si quelqu'un s'y oppose. Choisie après coup, elle devient une justification. Choisie avant, elle est une décision de conception.

Le consentement n'est pas la base par défaut

C'est le réflexe le plus répandu : dans le doute, demander l'accord. Or le consentement est la base la plus exigeante et la plus fragile des six. La CNIL en pose quatre conditions cumulatives — il doit être libre, spécifique, éclairé et univoque — et chacune écarte des situations courantes.

Libre signifie que la personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus. Spécifique signifie qu'un consentement correspond à un seul traitement, pour une finalité déterminée : une case unique couvrant l'ensemble de vos usages n'en est pas un. Univoque signifie qu'il résulte d'une déclaration ou d'un acte positif clair — donc jamais d'une case pré-cochée ni d'un silence.

S'y ajoute une contrainte de conception que l'on découvre souvent trop tard : la personne doit pouvoir retirer son consentement à tout moment, par une modalité simple et équivalente à celle utilisée pour le recueillir. Si l'accord se donne en un clic dans un formulaire, le retrait ne peut pas exiger un courrier recommandé. Une base qui se retire aussi facilement qu'elle se donne est une base instable pour un traitement dont vous avez réellement besoin.

Fonder sur le consentement un traitement indispensable au fonctionnement du service, c'est se donner l'obligation d'arrêter ce traitement à la première demande — pour un usage dont on n'avait pas le choix.

L'intérêt légitime n'est pas la case fourre-tout

À l'autre extrémité, l'intérêt légitime sert souvent de refuge quand aucune autre base ne semble convenir. C'est un contresens : c'est la seule base qui exige un travail écrit avant de pouvoir s'en prévaloir.

La CNIL en décrit trois conditions. L'intérêt poursuivi doit être légitime, c'est-à-dire licite, clairement déterminé et réel. Le traitement doit être nécessaire, au sens où il n'existe pas de moyen moins intrusif d'atteindre la même finalité. Et il ne doit pas porter atteinte aux droits et intérêts des personnes, en tenant compte de leurs attentes raisonnables.

Ces trois conditions se vérifient par une mise en balance, en trois temps : identifier l'intérêt et vérifier la nécessité, évaluer les conséquences pour les personnes, puis peser les deux et prévoir des mesures compensatoires si l'équilibre ne penche pas du bon côté. La CNIL recommande que cette méthodologie soit documentée — ce qui est la seule façon de la produire le jour où on vous la demande. Une mise en balance faite de tête ne se distingue pas d'une mise en balance jamais faite.

Une limite mérite d'être connue : l'intérêt légitime ne peut pas fonder les traitements effectués par les autorités publiques dans l'exercice de leurs missions. Et lorsque les données sont sensibles ou concernent des enfants, l'examen est nettement plus strict.

Les attentes raisonnables sont un critère, pas une figure de style

Le point le plus utile de la mise en balance est aussi le plus facile à négliger : les attentes raisonnables des personnes. La question n'est pas de savoir si votre intérêt est défendable, mais si la personne, au moment où elle vous a confié ses données, pouvait raisonnablement s'attendre à cet usage.

C'est ce critère qui distingue deux traitements pourtant identiques sur le papier. Utiliser l'adresse d'un client pour lui livrer sa commande entre dans ses attentes ; utiliser la même adresse pour la transmettre à un partenaire n'y entre pas, quelle que soit la solidité de votre intérêt commercial. Poser la question dans ces termes tranche la plupart des cas sans expertise juridique.

Comment reprendre les traitements existants

• Reprenez vos traitements un par un et écrivez la finalité en une phrase avant de chercher la base. Une finalité floue rend le choix de base arbitraire.
• Pour chaque traitement fondé sur le consentement, demandez-vous ce qui se passe si la personne le retire. Si la réponse est « on continuerait quand même », la base est probablement mauvaise.
• Pour chaque intérêt légitime invoqué, écrivez la mise en balance — quelques lignes suffisent, mais elles doivent exister.
• Vérifiez que la base annoncée aux personnes est bien celle qui figure dans votre registre : l'écart entre les deux est fréquent et se voit immédiatement.
• Pour tout nouveau traitement, tranchez la base avant la première ligne de code ou le premier formulaire. C'est le seul moment où le choix est encore libre.

Reprendre les bases légales d'un existant est ingrat : cela ne produit aucune fonctionnalité visible et met souvent au jour des traitements qu'on avait oubliés. C'est aussi le travail qui rend tout le reste cohérent — l'information des personnes, les durées de conservation et la réponse à leur donner quand elles s'y opposent découlent toutes de ce choix.