En bref. Le traitement des données personnelles collectées en ligne nécessite une base légale applicable au titre de l’article 6 du RGPD, et le recours aux intérêts légitimes exige une évaluation documentée de la nécessité et des effets sur les personnes.

Définition : Une base légale du RGPD est une condition prévue à l’article 6 du règlement général sur la protection des données qui autorise le traitement de données personnelles pour une finalité donnée. La collecte de données personnelles sur des sites web nécessite une base légale applicable, y compris lorsque les informations sont accessibles au public.

Points clés

Au 17 octobre 2026, l’article 6 du RGPD prévoit six bases légales : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou exercice de l’autorité publique, et intérêts légitimes.
Le Comité européen de la protection des données (CEPD), dans son avis 28/2024, adopté le 17 décembre 2024, indique qu’aucune hiérarchie n’existe entre ces bases. Les responsables du traitement doivent déterminer la base appropriée à leurs traitements.
Les recommandations du 7 juin 2024 de la CNIL exigent une base légale pour les jeux de données d’entraînement de l’IA, que les données proviennent directement des personnes, de sources ouvertes sur Internet ou de la réutilisation de jeux de données existants.

Que permet l’article 6 ?

Les données personnelles sont des informations relatives à une personne identifiée ou identifiable. Le traitement comprend la collecte, la conservation et l’utilisation. Le responsable du traitement est l’organisme ou la personne qui détermine les finalités et les moyens du traitement. Ces définitions figurent à l’article 4 du RGPD.

L’article 6(1) dispose qu’un traitement n’est licite que si, et dans la mesure où, au moins une de ses six conditions s’applique.

Chaque base répond à des conditions précises :

Le consentement porte sur une ou plusieurs finalités spécifiques. L’article 7 impose au responsable du traitement de pouvoir prouver le consentement et permet son retrait.
Le contrat couvre les traitements nécessaires à l’exécution d’un contrat avec la personne ou à des mesures précontractuelles prises à sa demande.
L’obligation légale couvre les traitements nécessaires au respect d’une obligation à laquelle le responsable du traitement est soumis.
Les intérêts vitaux couvrent les traitements nécessaires à la sauvegarde des intérêts vitaux d’une personne.
La mission d’intérêt public ou l’exercice de l’autorité publique couvre les traitements nécessaires à cette mission ou à cet exercice.
Les intérêts légitimes couvrent les traitements nécessaires lorsque, après mise en balance, les intérêts et les droits fondamentaux de la personne ne prévalent pas sur ceux du responsable du traitement ou d’un tiers.

L’article 6(3) exige que les bases de l’obligation légale et de la mission d’intérêt public soient prévues par le droit de l’Union ou d’un État membre. Les autorités publiques ne peuvent pas invoquer les intérêts légitimes pour les traitements effectués dans l’exécution de leurs missions.

Comment les intérêts légitimes s’appliquent-ils à la collecte sur le web ?

L’avis 28/2024 du CEPD exige une évaluation documentée de trois conditions cumulatives pour le développement et le déploiement des modèles d’IA :

L’intérêt doit être licite, formulé de manière claire et précise, réel et actuel.
Le traitement doit être nécessaire. L’évaluation examine les moyens moins intrusifs de poursuivre cet intérêt et le caractère proportionné de la quantité de données personnelles.
La mise en balance doit établir que les intérêts et les libertés et droits fondamentaux des personnes ne prévalent pas sur l’intérêt poursuivi.

L’accessibilité au public fait partie de cette mise en balance. Les circonstances pertinentes comprennent les paramètres de confidentialité du site source, la relation avec le responsable du traitement, les utilisations possibles du modèle et le fait que les personnes sachent que leurs données sont en ligne.

Pour le moissonnage web (web scraping), c’est-à-dire la collecte automatisée à partir de sources en ligne, l’avis donne des exemples de mesures d’atténuation : exclure les sources particulièrement sensibles et respecter l’opposition des sites à la collecte destinée à l’entraînement de l’IA, notamment au moyen de robots.txt. Les autorités de contrôle évaluent ces mesures selon les circonstances de chaque cas.

Quelles autres obligations accompagnent la base légale ?

Pour les informations obtenues indirectement, l’article 14 du RGPD impose de communiquer la finalité, la base légale et la source, sous réserve des exceptions qu’il prévoit. Les sources publiques sont expressément visées. L’article 5 impose aussi la minimisation des données, qui consiste à limiter les données personnelles à ce qui est nécessaire à la finalité.

L’article 9 ajoute des restrictions pour les catégories particulières de données, notamment les données de santé et les opinions politiques. Le traitement nécessite une exception applicable à l’interdiction, en plus d’une base légale relevant de l’article 6. L’exception relative aux données publiques concerne les informations manifestement rendues publiques par la personne concernée.

Termes connexes

Questions fréquentes

La publication de données personnelles en ligne vaut-elle consentement à l’entraînement de l’IA ?

La publication seule ne vaut pas consentement à cette finalité. L’avis du CEPD exige que les responsables du traitement déterminent une base appropriée et évaluent les circonstances de la collecte et de la réutilisation.

Pouvez-vous retirer votre consentement après la collecte ?

Oui. L’article 7(3) du RGPD permet de retirer votre consentement à tout moment et exige que ce retrait soit aussi simple que son octroi ; les traitements antérieurs fondés sur un consentement valide restent licites.

Pouvez-vous vous opposer au traitement lorsque le responsable invoque les intérêts légitimes ?

L’article 21 permet de vous opposer au traitement pour des raisons tenant à votre situation particulière. Le responsable du traitement doit cesser le traitement, sauf s’il démontre l’existence de motifs légitimes et impérieux qui prévalent ou si le traitement sert à la constatation, à l’exercice ou à la défense de droits en justice.

Sources

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO

Base légale du RGPD pour les données du web