Pour une entreprise, l’intérêt légitime peut justifier certains traitements de données personnelles sans recueillir le consentement préalable. Cette base légale du RGPD suppose toutefois un objectif réel, une nécessité démontrée et le respect des droits des personnes.
Une caméra destinée à prévenir les vols ou l’analyse des connexions pour repérer une intrusion peuvent répondre à un besoin concret. Mais l’intérêt commercial, à lui seul, ne suffit pas : le responsable de traitement doit pouvoir expliquer son choix et en garder la trace.
À retenir :
- Base légale autonome, encadrée par l’article 6 du RGPD
- Objectif réel, traitement nécessaire et mise en balance documentée
- Information claire et droit d’opposition accessibles aux personnes
- Justification fragile en cas d’usage intrusif ou inattendu
Intérêt légitime de l’entreprise : définition et cadre RGPD
Une base légale parmi les six prévues par le RGPD
Pour comprendre cette base légale, il faut la replacer parmi les six fondements prévus par l’article 6 du RGPD. L’intérêt légitime dispense de demander un consentement, mais ne constitue pas une autorisation générale de collecter des données.
Selon le règlement, le traitement doit poursuivre un intérêt légitime du responsable ou d’un tiers, sauf si les droits et libertés de la personne prévalent. Les autorités publiques ne peuvent pas invoquer cette base dans l’exercice de leurs missions de service public.
Des usages concrets, sous conditions
Dans un cadre privé, une société peut étudier les connexions à son réseau pour détecter des tentatives de piratage. Une banque peut aussi examiner une transaction afin de repérer une fraude, à condition de limiter l’analyse aux données utiles.
La prospection directe peut relever d’un intérêt légitime dans certaines circonstances, notamment lorsqu’une relation pertinente existe déjà. Selon le RGPD, ce facteur compte dans l’évaluation, mais les règles applicables aux courriels commerciaux, notamment le consentement requis pour les particuliers, restent à respecter.
Les exemples montrent pourquoi la finalité annoncée ne suffit pas : il faut encore comparer les options disponibles et leur impact.
Repères pour choisir la base légale :
- Contrat : traitement nécessaire à l’exécution d’un accord demandé par la personne
- Obligation légale : traitement imposé au responsable par un texte applicable
- Consentement : accord libre, spécifique, éclairé et révocable
- Intérêt légitime : objectif justifié, nécessaire et compatible avec les droits individuels
| Situation | Intérêt possible | Point de vigilance |
|---|---|---|
| Surveillance d’accès aux locaux | Prévention des intrusions | Champ filmé et durée de conservation limités |
| Analyse du réseau informatique | Détection des incidents de sécurité | Surveillance proportionnée et information des salariés |
| Vérification d’une transaction | Prévention de la fraude | Données pertinentes et accès restreint |
| Offres à des clients existants | Prospection pour des produits similaires | Règles de prospection et opposition à respecter |
Test de mise en balance : vérifier la nécessité du traitement
Examiner l’objectif, les moyens et les effets
Une fois l’objectif défini, le responsable de traitement doit conduire une mise en balance propre au contexte. Il vérifie d’abord que l’intérêt est licite et réel, puis que le traitement est nécessaire pour l’atteindre.
La nécessité implique de rechercher une solution moins intrusive qui offrirait une efficacité comparable. Dans l’affaire Meta Platforms de 2023, la Cour de justice de l’Union européenne a rappelé que la personnalisation publicitaire n’est pas automatiquement nécessaire au fonctionnement d’un réseau social.
Éléments à examiner dans l’analyse :
- Finalité précise et bénéfice concret pour l’organisation ou un tiers
- Données réellement indispensables à l’objectif poursuivi
- Attentes raisonnables des personnes dans ce contexte
- Conséquences possibles et mesures de réduction des risques
Documenter la décision et informer les personnes
Pour rendre l’analyse vérifiable, l’entreprise peut consigner ces éléments dans une évaluation de l’intérêt légitime, souvent désignée par l’acronyme anglais LIA. Selon la CNIL, documenter le raisonnement aide à démontrer la conformité et à réexaminer le choix si le traitement évolue.
Le registre des traitements doit refléter les activités concernées, tandis que l’information fournie aux personnes précise la finalité, la base légale et leurs droits. Une politique de confidentialité vague ne permet pas de comprendre pourquoi les données sont utilisées.
| Étape | Question de contrôle | Trace utile |
|---|---|---|
| Intérêt | Quel besoin concret est poursuivi ? | Finalité et bénéfice attendus |
| Nécessité | Existe-t-il une méthode moins intrusive ? | Options examinées et justification du choix |
| Mise en balance | Quels effets pour les personnes concernées ? | Risques et garanties prévues |
| Information | La personne comprend-elle l’usage de ses données ? | Notice de confidentialité accessible |
La qualité de cette documentation devient décisive lorsque survient une opposition ou qu’un usage initialement limité prend de l’ampleur.
Droits des personnes et limites de l’intérêt légitime
Garantir un droit d’opposition effectif
Quand un traitement repose sur l’intérêt légitime, la personne peut s’y opposer pour des raisons liées à sa situation particulière. Pour la prospection directe, l’opposition peut être exercée à tout moment et sans justification.
Selon l’article 21 du RGPD, l’organisation doit alors cesser le traitement concerné, sauf motifs légitimes impérieux qui prévalent sur les intérêts et droits de la personne. En prospection directe, cette exception ne s’applique pas : les données ne doivent plus être utilisées à cette fin.
Garanties à rendre accessibles :
- Information compréhensible sur la finalité et la base légale
- Canal simple pour exercer le droit d’opposition
- Arrêt de la prospection après une opposition valide
- Réexamen du traitement si ses objectifs ou ses moyens changent
Écarter les justifications trop larges
Un intérêt économique peut contribuer à l’analyse, mais ne rend pas chaque traitement légitime. Une collecte inattendue, une surveillance excessive ou l’absence d’alternative examinée fragilisent la justification, même si l’objectif paraît utile à l’entreprise.
La CNIL peut contrôler la conformité et, selon les manquements, prononcer des mesures correctrices ou des sanctions prévues par le RGPD. Pour une petite structure comme pour un grand groupe, la règle pratique reste la même : limiter les données, expliquer l’usage et respecter les choix exprimés.
Source : Règlement (UE) 2016/679, articles 6 et 21, 27 avril 2016 ; Cour de justice de l’Union européenne, affaire C-252/21, Meta Platforms, 4 juillet 2023 ; CNIL, recommandation sur l’intérêt légitime pour le développement de systèmes d’intelligence artificielle, 19 juin 2025.
