La sauvegarde des intérêts vitaux figure parmi les six bases légales du RGPD, mais elle reste la moins mobilisée de toutes. Elle autorise un traitement de données quand la vie ou l’intégrité physique d’une personne est en jeu, sans attendre son accord. Voici quand cette base s’applique réellement, et pourquoi elle ne remplace jamais le consentement dans la vie courante d’une organisation.
Que dit l’article 6 du RGPD sur les intérêts vitaux ?
L’article 6-1-d autorise un traitement nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique. Le mot central est « nécessaire ».
Ce terme impose une lecture stricte. Le traitement doit être indispensable, sans alternative moins intrusive, pour écarter un danger immédiat.
Cette base vise les urgences où recueillir un accord est impossible. Pensez à une personne inconsciente admise aux urgences, ou à un blessé transporté par les secours.
Le considérant 46 du règlement en précise le cadre. Il cite le suivi d’épidémies, les catastrophes naturelles et les urgences humanitaires. Notre guide sur l’article 6 du RGPD détaille chaque fondement.
Quand peut-on vraiment invoquer les intérêts vitaux ?
La condition est stricte. La personne doit se trouver dans l’incapacité physique ou légale de donner son consentement.
Si elle peut exprimer un choix, une autre base s’impose. Les intérêts vitaux ne sont pas un raccourci pour contourner le consentement.
Trois conditions se cumulent avant de mobiliser ce fondement.
- La personne ne peut pas consentir, physiquement ou légalement.
- Le traitement est strictement nécessaire pour protéger sa vie ou son intégrité.
- Aucune autre base légale ne peut raisonnablement être utilisée.
Le considérant 46 ajoute une limite pour les tiers. Traiter les données d’une autre personne sur ce motif ne se justifie qu’en dernier recours.
| Situation | Intérêts vitaux applicables ? |
|---|---|
| Patient inconscient aux urgences | Oui |
| Alerte d’un proche après un accident grave | Oui |
| Suivi d’une épidémie par une autorité de santé | Oui, souvent avec l’intérêt public |
| Envoi d’une newsletter commerciale | Non |
| Gestion classique de la paie | Non |
Les intérêts vitaux couvrent-ils les données de santé ?
Oui, mais un second verrou s’ajoute. Les données de santé relèvent de l’article 9, qui interdit par principe leur traitement. La CNIL en donne une définition large.
L’article 9-2-c lève cette interdiction quand la vie de la personne est menacée et qu’elle ne peut consentir. Notre analyse de l’article 9 du RGPD détaille ces exceptions.
Il faut alors réunir deux fondements. Une base à l’article 6 et une exception à l’article 9. L’un ne suffit jamais seul pour ces données sensibles.
Identifier la bonne base légale pour chaque traitement demande de la méthode et du recul. Un DPO externalisé sécurise vos choix de conformité et documente chaque décision dans votre registre.
Pourquoi cette base reste-t-elle si rare en entreprise ?
La plupart des traitements courants reposent sur le contrat, l’obligation légale ou l’intérêt légitime.
Un service RH ou marketing n’a presque jamais à protéger une vie dans l’urgence. La base ne correspond pas à ses finalités habituelles.
L’invoquer pour de la prospection serait un détournement, exposé à une sanction. Chaque base doit rester alignée avec la finalité réelle du traitement, et documentée comme telle.
FAQ
Les intérêts vitaux concernent-ils uniquement la personne concernée ?
Non. L’article 6-1-d vise aussi les intérêts vitaux d’une autre personne physique. Un traitement peut protéger un tiers, par exemple un proche à alerter après un accident, dès lors qu’aucune autre base ne s’applique raisonnablement à la situation.
Faut-il documenter ce choix dans le registre ?
Oui. Comme toute base légale, la sauvegarde des intérêts vitaux doit figurer dans votre registre des traitements. Vous y précisez la finalité, la situation d’urgence visée et pourquoi le consentement ne pouvait pas être recueilli à temps.
Peut-on basculer vers cette base après coup ?
Non. La base légale se choisit avant le traitement et ne se change pas librement ensuite. L’invoquer pour régulariser un traitement déjà lancé sur un autre fondement est irrégulier et fragilise durablement votre conformité.
Une entreprise privée peut-elle l’utiliser ?
Oui, si une vie est réellement en jeu et que la personne ne peut consentir. Un employeur peut transmettre des informations aux secours lors d’un malaise sur site. L’usage reste strictement limité aux véritables situations d’urgence.
