RGPD : sur quelle base vos données sont-elles traitées ?

Le consentement ne justifie pas tous les usages de vos données. Un organisme doit rattacher chaque finalité à un fondement adapté et expliquer les droits qui en découlent.

Ce que ça veut dire

Le RGPD encadre les traitements de données personnelles : collecter une adresse, consulter un dossier ou organiser un fichier en sont des exemples. Une base légale est le fondement qui autorise un traitement. Elle ne dispense pas de respecter les autres exigences. Un usage excessif ne devient pas acceptable parce qu’un texte mentionne le contrat ou l’intérêt légitime.

Le consentement suppose un choix libre, éclairé, spécifique et exprimé sans ambiguïté. Son retrait doit rester possible. Le contrat concerne ce qui est nécessaire à la prestation demandée, et non tout ce que l’entreprise aimerait ajouter à son modèle économique. Une obligation légale peut imposer une conservation, même si la personne préférerait l’éviter. Une mission d’intérêt public ou la sauvegarde des intérêts vitaux peuvent aussi fonder un traitement dans les situations adaptées.

L’intérêt légitime demande une justification et une mise en balance avec les droits et libertés des personnes. Ce n’est pas une permission générale de collecter. La présentation des bases légales par la CNIL permet de distinguer ces fondements. Les règles concernant les données particulièrement protégées ou les traceurs peuvent ajouter des conditions : la base légale ne résume donc pas toute l’analyse.

Un exemple concret

Prenons une boutique fictive de matériel de randonnée. Elle utilise une adresse pour envoyer un sac commandé. Elle garde certaines pièces comptables pour respecter ses obligations. Elle propose également une lettre commerciale et souhaite transmettre des informations à des partenaires publicitaires. Ces opérations poursuivent des objectifs différents, même si elles concernent la même cliente et apparaissent pendant le même achat.

La cliente refuse la publicité. Cela ne devrait pas empêcher l’utilisation de son adresse pour livrer sa commande. Inversement, la boutique ne peut pas présenter toute exploitation commerciale comme indispensable à la livraison. Si la notice regroupe tout sous une formule vague, la cliente peut demander quel fondement correspond à la transmission aux partenaires, quelles données sont concernées et comment s’opposer ou retirer son consentement selon le cas.

Cet exemple aide à distinguer une interrogation documentée d’une accusation. Une formule imprécise appelle une clarification ; elle ne permet pas, seule, de qualifier juridiquement toute l’activité de la boutique. Vous pouvez noter ce que la notice affirme et ce qu’elle laisse indéterminé.

Comment lire une notice sans tout mélanger ?

Commencez par une action réelle : acheter, recevoir une lettre ou utiliser une localisation. Cherchez ensuite qui décide de son objectif et de ses moyens essentiels, le responsable de traitement. Relevez la finalité annoncée avec ses mots exacts, puis cherchez la base qui lui est associée. Une longue liste de fondements sans correspondance claire vous renseigne peu sur votre situation.

Examinez les données demandées. Le principe de minimisation des données invite à limiter la collecte à ce qui est nécessaire. Un commerce peut avoir besoin d’une adresse de livraison sans avoir besoin de votre situation familiale. Regardez aussi la durée de conservation ou les critères qui permettent de la déterminer. La nécessité d’une livraison n’explique pas automatiquement une conservation prolongée à des fins publicitaires.

Quel geste faire maintenant ?

Préparez une note avec les rubriques « usage », « données », « fondement », « durée », « destinataires » et « droit proposé ». Copiez seulement les passages pertinents et conservez l’adresse de la notice ainsi que votre date de consultation. Laissez une rubrique vide si vous ne trouvez pas la réponse. Un manque devient alors une question précise à adresser au service.

Pour agir sur un choix de suivi, utilisez la fiche refuser les cookies facultatifs. Si votre objectif est de faire supprimer des informations, préparez votre démarche avec demander l’effacement à un site. L’effacement comporte des limites ; une obligation de conservation peut subsister. Pour apprécier un cas personnel, adressez-vous à l’autorité compétente ou à un professionnel.

Pour aller plus loin

La prochaine leçon suit une donnée dans la publicité ciblée. Vous verrez comment des intermédiaires peuvent transformer une visite en signal commercial, puis rapprocher ce signal d’un profil.