Il existe 6 bases légales possibles pour fonder un traitement de données.
Consentement
Le consentement doit répondre à quatre critères pour le traitement soit licite : il doit être
- libre,
- spécifique,
- éclairé et
- univoque.
Il doit être aussi simple à donner qu’à retirer. Vous devez documenter la preuve que le consentement est valablement recueilli. Pour cela, vous pouvez ajouter la description du processus de recueil du consentement en pièce jointe au traitement (étape 11).
Contrat ou mesures précontractuelles
La base légale du contrat doit répondre à trois critères pour être valide : il doit
- exister une relation contractuelle ou précontractuelle entre le responsable du traitement et la personne concernée ;
- le contrat doit être valide au regard du droit applicable et
- le traitement doit être objectivement nécessaire à l’exécution du contrat.
Le droit d'opposition ne peut pas s’exercer sur ce traitement fondé sur cette base légale et le droit à la portabilité des données peut quant à lui s’exercer sur ce traitement. Vous pouvez ajouter le contrat sur lequel vous fondez le traitement dans les pièces jointes à l’étape 11.
Obligation légale
L’obligation légale doit
- être impérative,
- suffisamment claire et précise pour fonder valablement un traitement.
Les textes créant cette obligation doivent au moins définir la finalité de ce traitement.
L'obligation doit s'imposer au responsable du traitement et non aux personnes concernées. Vous devrez détailler le texte qui impose le traitement (par exemple, un article de loi).
Sauvegarde des intérêts vitaux
La sauvegarde des intérêts vitaux est limitée aux situations qui menacent la vie de la personne concernée ou d'une autre personne physique. L'application la plus évidente est la situation où une personne est victime d'un accident et, étant gravement blessée, elle est admise dans un hôpital alors qu'elle est inconsciente et qu'elle n'est pas en état de donner son consentement pour le traitement de ses données en vue de son traitement. Cette base doit être interprétée de manière stricte et utilisée seulement si le consentement ne peut pas être recherché.
Mission d'intérêt public
L'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. Le recours à cette base légale se justifie en particulier pour les traitements mis en œuvre par les autorités publiques aux fins d’exécuter leurs missions.
Deux conditions sont nécessaires :
- Le traitement doit permettre d’exercer, de manière pertinente et appropriée, la mission dont est investie l’autorité publique et ne doit pas viser un autre objectif, sans rapport particulier ou trop éloigné des spécificités de la mission d’intérêt public en cause.
- L'intérêt public doit être défini dans le droit et ne peut pas être présumé.
Vous devrez détailler la missions d'intérêt public qui impose le traitement.
Intérêts légitimes
Les intérêts légitimes du responsable du traitement ou d'un tiers.
Cette base légale ne pas peut être invoquée par les organismes publics dans le cadre de leur mission et doit répondre à 3 conditions :
- l'intérêt poursuivi doit être légitime, c'est à dire, licite (légal), clair et précis et réel (non fictif) ;
- le traitement doit être nécessaire pour atteindre l'objectif et donc que c'est le moyen le moins intrusif ;
- et enfin, le traitement ne doit pas outrepasser les droits et libertés des personnes concernées, compte tenu de leurs attentes raisonnables.
Une mise en balance doit être effectuée par exemple avec un test de proportionnalité.
Vous pouvez conserver les résultats de ce test en document à l'étape 11. Vous devrez également détailler les intérêts légitimes invoqués (par exemple, la sécurité du réseau informatique ou la lutte contre la fraude).