Intérêts légitimes : bien comprendre cette base juridique du RGPD

Lorsqu’une organisation traite des données personnelles, elle doit toujours s’appuyer sur une base légale prévue par le RGPD pour assurer la protection des données : consentement, contrat, obligation légale, mission d’intérêt public, sauvegarde d’intérêts vitaux, ou intérêts légitimes.

Cette dernière, les intérêts légitimes, suscite souvent des questions quant à sa définition précise. La notion d’intérêt légitime nécessite une compréhension approfondie. Elle est souple et utile pour de nombreux traitements, mais comporte des conditions strictes. Voici comment la comprendre et l’utiliser correctement, avec rigueur.

1. Qu’est-ce que la base juridique des intérêts légitimes ?

Dans le cadre du RGPD, tout traitement de données personnelles doit reposer sur une base légale. Parmi les six prévues par la réglementation, l’intérêt légitime est sans doute l’une des plus utilisées par les organismes privés.

Concrètement, cette base permet à une organisation de traiter des données si elle poursuit un objectif légitime (par exemple : renforcer la sécurité de son réseau, prévenir la fraude, gérer efficacement ses activités), que ce traitement est nécessaire pour atteindre cet objectif, et que les droits et libertés des personnes concernées ne sont pas lésés.

L’intérêt légitime joue donc un rôle d’équilibre : il autorise un traitement au service des besoins de l’organisation, tout en exigeant une vigilance particulière pour ne pas porter atteinte à la vie privée des individus.

2. À qui s’applique cette base légale ?

La base juridique de l’intérêt légitime concerne avant tout les organismes privés, responsable du traitement – entreprises, associations ou encore groupes – qui peuvent y recourir dès lors que les trois conditions définies par la CNIL sont respectées et que les risques pour les personnes sont correctement évalués.

À l’inverse, les autorités publiques, lorsqu’elles agissent dans l’exercice de leurs missions de service public, ne peuvent en principe pas fonder leurs traitements sur cette base. Elles doivent privilégier l’obligation légale ou la mission d’intérêt public. Cette exclusion constitue un principe important du RGPD.

Toutefois, la CNIL rappelle que, dans certains cas très spécifiques – par exemple le développement d’un outil ou d’un système d’IA n’ayant pas de lien direct avec leurs missions principales –, l’usage de l’intérêt légitime par une autorité publique peut être envisagé, mais sous conditions strictes et après une analyse approfondie.

3. Les trois conditions incontournables selon la CNIL

Avant de pouvoir invoquer l’intérêt légitime comme base juridique, la CNIL rappelle qu’il est indispensable de vérifier trois conditions précises. Elles permettent de s’assurer que le traitement repose sur un fondement solide et qu’il respecte l’équilibre entre les besoins de l’organisation et les droits des personnes concernées.

1. L’intérêt poursuivi doit être légitime

Cet intérêt n’est pas librement défini, son caractère légitime devant être démontré, mais quelques exemples typiques sont considérés comme légitimes :

• garantir la sécurité informatique ou assurer la sécurité du réseau,
• prévenir la fraude,
• effectuer des opérations de prospection commerciale auprès de clients à des fins de prospection,
• assurer la gestion administrative interne au sein d’un groupe, quelle que soit sa taille.

La CNIL précise qu’un intérêt est présumé légitime s’il est :

• manifestement licite au regard du droit (ex : une entreprise qui sécurise l’accès à ses locaux avec un contrôle d’identité pour protéger ses salariés et ses biens.)
• suffisamment clair et précis (ex : une association qui collecte l’adresse email de ses adhérents afin de leur envoyer sa newsletter mensuelle. L’objectif est clairement défini et facilement compréhensible.)
• réel et présent, et non fictif (ex: un site e-commerce qui conserve l’historique d’achats récents afin d’améliorer la gestion des retours. L’intérêt est concret et immédiat, contrairement à un objectif vague ou hypothétique.)

2. Le traitement doit être nécessaire

La nécessité du traitement doit être établie et celui-ci doit permettre d’atteindre l’objectif poursuivi, sans alternative moins intrusive pour les personnes concernées.

Il faut également pouvoir démontrer ce choix ; si les modalités de traitement évoluent (les finalités du traitement, données, durée de conservation…), la justification par intérêts légitimes doit être renouvelée.

3. Équilibre entre intérêts et droits des personnes

Le traitement ne doit pas créer un déséquilibre au détriment des droits des personnes, notamment en tenant compte de leurs attentes raisonnables.

La CNIL exige de :

• identifier l’intrusion possible dans la vie privée et toute atteinte potentielle (profilage, données sensibles, personnes vulnérables…),
• évaluer les impacts sur les droits fondamentaux des personnes (liberté d’expression, de conscience, etc.),
• vérifier que le traitement ne surprend pas les personnes, c’est‑à‑dire qu’il est conforme à ce qu’elles peuvent anticiper raisonnablement.

Par exemple :

• un dispositif de fidélisation des clients existants peut correspondre à des attentes raisonnables,
• alors qu’un profilage massif à des fins publicitaires, sans transparence, pourrait les dépasser.

4. Quels droits pour les personnes selon la base légale choisie ?

La base juridique retenue influe directement sur les droits que peuvent exercer les personnes concernées :

Voici un tableau récapitulatif, basé sur la CNIL :

Base légale	Droit d’opposition	Portabilité
Consentement	Non (1)	Oui
Obligation légale	Non	Parfois
Mission d’intérêt public	Oui	Non
Intérêt légitime	Oui	Non

(1) Le retrait du consentement est possible, mais l’opposition n’est pas applicable.

5. Les 6 bonnes pratiques à adopter avant tout traitement fondé sur les intérêts légitimes

• Documenter le choix (dans le registre des traitements ou zones internes de conformité).
• Réaliser un test de mise en balance, tenant compte des trois conditions.
• Prévoir des mesures de sauvegarde (pseudonymisation, anonymisation, limitation d’accès…), leur mise en œuvre étant essentielle pour maintenir l’équilibre.
• Être transparent dans la politique de confidentialité sur la page dédiée, soulignant l’importance de cette information, notamment en indiquant la base légale retenue.
• Permettre aux personnes concernées d’exercer leur droit d’opposition, dans des conditions simples.
• En cas de modification du traitement (nouvelle finalité, type de données, durée…), réévaluer la validité de la base juridique.

6. Exemple concret : prospection B2B

Prenons le cas d’une entreprise qui souhaite contacter ses propres clients sur leur lieu de travail à des fins de relance commerciale sans faire appel à des tiers :

• L’intérêt (fidéliser les clients) est légitime, clair, licite et réel.
• Le traitement (envoi d’emails, relances) est nécessaire pour atteindre l’objectif, et aucun moyen moins intrusif n’existe.
• On estime que les clients peuvent raisonnablement s’y attendre, les conséquences du traitement étant prévisibles. Le traitement ne pose donc pas de déséquilibre majeur.

Résultat : en réponse à cette analyse, la base juridique des intérêts légitimes peut être retenue, à condition de documenter l’analyse et d’offrir un droit d’opposition simple.

Conclusion : Les points à retenir

Les intérêts légitimes sont une des six bases légales du RGPD permettant la licéité d’un traitement.

Trois conditions cumulatives doivent être satisfaites :

• L’intérêt est légitime, licite, clair et réel.
• Le traitement est nécessaire, avec aucune alternative moins intrusive.
• Il existe un équilibre avec les droits des personnes, en accord avec leurs attentes raisonnables.

Ce fondement ne doit pas être utilisé par défaut, la possibilité de recourir à d’autres bases devant être examinée, et ne s’applique généralement pas aux autorités publiques en mission de service public.

Il implique des obligations de transparence, de documentation, et garantit certains droits comme l’opposition, contrairement au consentement préalable des personnes qui peut être retiré.

En cas de doute ou selon les besoins spécifiques de votre organisation, l’accompagnement d’un expert est souvent précieux pour sécuriser votre conformité, en particulier dans des secteurs sensibles comme la santé et la recherche médicale. Chez Dipeeo, en tant que DPO externe déclaré auprès de la CNIL, c’est notre cœur de métier : nous vous aidons à interpréter correctement les obligations du RGPD, à documenter vos choix (notamment en matière d’intérêts légitimes) et à mettre en place des pratiques concrètes et adaptées à votre activité.