📕 Une entité ne peut traiter des données personnelles que dans certaines hypothèses impliquant toutes une nécessité (base légale du traitement) :
- La nécessité à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures pré-contractuelles prises à la demande de celle-ci (exemple : l’adresse pour une livraison) ;
- La nécessité au respect d'une obligation légale (exemple : le numéro de sécurité sociale pour la fiche de paie et les déclarations sociales obligatoires) ;
- La nécessité à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique (exemple : le nom pour une hospitalisation) ;
- La nécessité à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement (exemple : situation fiscale par le service des impôts) ;
- La nécessité aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée (exemple : données de connexion à des fins statistiques).
À défaut d’une telle nécessité, la personne concernée doit consentir de façon expresse (acte positif).