Intérêt légitime : mener et documenter le test en 3 étapes

Invoquer l'intérêt légitime RGPD ne se résume pas à une ligne dans le registre. Cette base légale impose au responsable du traitement de démontrer trois conditions cumulatives, avant le traitement, et d'en garder la trace. Cet article détaille la méthode du test, la grille à remplir et trois cas fréquents en entreprise. Pour une vue d'ensemble des six bases légales, voyez notre article sur les principes du RGPD.

Quand l'intérêt légitime peut-il servir de base légale ?

Lorsque le traitement est nécessaire à un intérêt réel du responsable ou d'un tiers, et que les droits des personnes ne prévalent pas. Ce n'est pas une base « par défaut » : la CNIL le rappelle, et le CEPD demande une interprétation restrictive.

Le texte est l'article 6, paragraphe 1, point f) du RGPD. Le même article ajoute que ce point « ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions ». Une collectivité ou un établissement public se fonde donc, pour ses missions, sur la mission d'intérêt public ou l'obligation légale. Selon la CNIL, des cas particuliers restent possibles pour les activités qui sortent de ces missions.

Où en sont les lignes directrices 1/2024 du CEPD ?

Le CEPD a adopté le 8 octobre 2024 la version 1.0 de ses lignes directrices 1/2024 sur l'article 6, paragraphe 1, point f), soumise à consultation publique jusqu'au 20 novembre 2024. À la date de cet article, nous n'avons pas identifié de version définitive publiée : ce texte exprime la position du CEPD, sous réserve de sa version finale. Il structure le test en trois étapes, reprises par la Cour de justice.

Étape 1 : identifier un intérêt licite, précis et actuel

L'intérêt doit être licite, formulé de façon claire et précise, réel et présent, et non hypothétique (lignes directrices, point 17).

La CJUE a précisé ce premier filtre de l'intérêt légitime RGPD dans son arrêt du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond (C-621/22). Une fédération sportive avait vendu les données de ses membres à des sponsors. La Cour juge qu'un intérêt commercial peut être légitime : la loi n'a pas à le prévoir, mais il doit être licite. Le traitement doit ensuite être strictement nécessaire et passer la mise en balance.

Étape 2 : prouver la nécessité du traitement

Nécessaire ne veut pas dire utile. S'il existe un moyen raisonnable, aussi efficace et moins intrusif, le traitement n'est pas nécessaire. Le principe de minimisation s'applique : seules les données indispensables à l'objectif sont retenues.

Dans l'affaire C-621/22, la Cour suggère qu'informer les membres au préalable et leur demander s'ils acceptent la transmission aurait pu atteindre le même but de façon moins intrusive. Le réflexe : documenter les alternatives écartées et la raison de leur rejet.

Étape 3 : mettre en balance et vérifier les attentes raisonnables

Vous comparez votre intérêt à l'impact du traitement sur les personnes concernées. C'est souvent à cette étape que l'intérêt légitime RGPD se joue, car un traitement qui surprend les personnes a peu de chances de l'emporter.

Le considérant 47 invite à vérifier si la personne « peut raisonnablement s'attendre, au moment et dans le cadre de la collecte », à ce que ses données servent à cette fin. Le CEPD rappelle qu'une pratique répandue dans un secteur ne crée pas, à elle seule, d'attente raisonnable. Les facteurs à peser :

• la nature des données (sensibles, financières, données de mineurs) ;
• le contexte : volume, relation avec la personne, vulnérabilité ;
• les conséquences concrètes (exclusion, discrimination, perte financière) ;
• les garanties ajoutées, qui ne comptent que si elles vont au-delà des obligations du RGPD (opposition sans motif, pseudonymisation).

La grille du test à compléter

Une analyse d'intérêt légitime RGPD bien tenue répond à chaque question ci-dessous et conserve la preuve. Le RGPD n'impose pas de formulaire, mais le CEPD demande de documenter le test et la CNIL recommande de formaliser la méthode.

Trois cas fréquents : prospection B2B, sécurité, fraude

• Prospection B2B : selon la CNIL, un courriel de prospection commerciale adressé à un professionnel peut se passer de consentement lorsque l'objet est en rapport avec sa profession, à condition de l'informer et de lui permettre de s'opposer simplement. Vers un particulier, la règle est le consentement préalable, et le CEPD exclut alors l'intérêt légitime (points 113 et 114).
• Sécurité des systèmes : le considérant 49 reconnaît comme intérêt légitime le traitement « dans la mesure strictement nécessaire et proportionnée » à la sécurité du réseau et des informations.
• Prévention de la fraude : le considérant 47 la cite, sous réserve d'une stricte nécessité. Le CEPD demande de préciser le type de fraude visé : une finalité générique de « lutte contre la fraude » ne suffit pas.

Que change le droit d'opposition ?

Toute base fondée sur l'intérêt légitime RGPD ouvre un droit d'opposition. Pour cesser le traitement, la personne invoque sa situation particulière, et c'est alors à vous de démontrer des motifs légitimes et impérieux.

L'article 21 du RGPD distingue deux régimes. En prospection, l'opposition est absolue : les données ne sont plus traitées à cette fin, sans justification à fournir. Ce droit doit être porté à l'attention de la personne au plus tard lors de la première communication, clairement et séparément de toute autre information. Une opposition fondée sur une situation particulière appelle, elle, un examen au cas par cas, qui reprend la logique de la mise en balance.

À retenir

• Trois conditions cumulatives : intérêt licite et réel, nécessité, mise en balance favorable.
• Les autorités publiques ne peuvent pas s'en prévaloir pour l'exécution de leurs missions.
• Un intérêt commercial peut être légitime (CJUE, C-621/22), sans dispenser des deux autres étapes.
• Le test se mène avant le traitement, se documente et se révise quand le traitement change.
• L'intérêt poursuivi figure dans l'information, et l'opposition à la prospection est sans condition.