Intérêt Légitime RGPD : L'EDPB clarifie les règles du jeu

Focus — Intérêt Légitime RGPD : L'EDPB clarifie les règles du jeu via son nouveau recueil de cas

Le 26 mars 2026, le Comité Européen de la Protection des Données (EDPB) a publié un document très attendu par les professionnels de la conformité : un recueil de décisions synthétisant la jurisprudence des autorités de contrôle sur l'utilisation de l''intérêt légitime' comme base légale pour le traitement des données personnelles. Ce document, issu du mécanisme de guichet unique (One-Stop-Shop), compile des cas concrets traités par les différentes autorités de protection des données (APD) de l'Union Européenne, offrant une vision panoramique de leur interprétation de l'article 6(1)(f) du RGPD.

Cette publication n'est pas anodine. Elle s'adresse directement aux Délégués à la Protection des Données (DPO), aux Compliance Officers et aux équipes juridiques qui naviguent quotidiennement dans les zones grises de cette base légale, la plus flexible mais aussi la plus risquée du RGPD. L'enjeu principal est de taille : fournir un guide pratique pour sécuriser les traitements de données fondés sur l'intérêt légitime et éviter les sanctions, en s'appuyant sur des précédents établis à travers l'Europe.

💡 Sujet/Concept clé : de quoi parle-t-on ?

L'intérêt légitime, défini à l'article 6(1)(f) du RGPD, est l'une des six bases légales autorisant le traitement de données à caractère personnel. Contrairement au consentement, il ne requiert pas d'action positive de la personne concernée, mais impose au responsable de traitement une analyse approfondie pour justifier sa légitimité. Cette analyse, souvent formalisée dans une 'Legitimate Interest Assessment' (LIA), repose sur un test en trois étapes : la vérification de la légitimité de l'intérêt poursuivi (ex: prévention de la fraude, marketing direct, sécurité des réseaux), la nécessité du traitement pour atteindre cet objectif, et enfin, la mise en balance de cet intérêt avec les droits et libertés fondamentaux de la personne concernée.

C'est cette dernière étape, le 'balancing test', qui concentre toutes les complexités. Elle exige une évaluation objective et documentée, tenant compte de la nature des données, des attentes raisonnables des personnes et de l'impact potentiel du traitement sur leur vie privée. Le champ d'application est universel, touchant tous les secteurs, de la banque à l'e-commerce en passant par les services B2B, dès lors qu'un traitement est envisagé sans reposer sur le consentement, un contrat ou une obligation légale. Le RGPD a renforcé les exigences par rapport à l'ancienne Directive 95/46/CE, faisant de la LIA un prérequis non négociable.

La base légale et réglementaire

Le cadre juridique est principalement défini par le Règlement (UE) 2016/679 (RGPD). L'article 6(1)(f) stipule que le traitement est licite s'il 'est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant'. Cet article doit être lu à la lumière des considérants 47, 48 et 49 du RGPD, qui fournissent des exemples et des lignes directrices. Le considérant 47, par exemple, indique que le marketing direct peut être considéré comme un intérêt légitime.

L'article 21 du RGPD est intrinsèquement lié à l'intérêt légitime, car il consacre un droit d'opposition absolu pour la personne concernée lorsque ses données sont traitées à des fins de prospection, et un droit d'opposition pour des raisons tenant à sa situation particulière pour les autres cas. Le responsable de traitement doit alors cesser le traitement, à moins de démontrer des motifs légitimes et impérieux qui prévalent sur les intérêts de la personne.

Le non-respect de ces dispositions expose à des sanctions sévères. Une base légale invalide constitue une violation des principes fondamentaux du traitement des données (article 5) et des conditions de licéité (article 6). Conformément à l'article 83(5) du RGPD, de telles infractions sont passibles des amendes administratives les plus élevées, pouvant atteindre 20 millions d'euros ou, dans le cas d'une entreprise, 4 % de son chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Ce que le recueil de l'EDPB change (ou pas)

Ce recueil de cas n'est pas une nouvelle loi, mais un puissant outil d'harmonisation et de clarification. En agrégeant les décisions prises dans le cadre du guichet unique, l'EDPB offre une visibilité sans précédent sur la manière dont les APD nationales (CNIL, DPC irlandaise, AEPD espagnole, etc.) interprètent concrètement la notion d'intérêt légitime. Il en ressort une convergence sur plusieurs points clés, même si des nuances subsistent.

Premièrement, le recueil confirme que l'intérêt purement commercial, bien que potentiellement légitime, est souvent considéré comme de faible poids lors de la mise en balance, surtout face à des traitements intrusifs. Les cas cités montrent que les APD examinent avec une extrême rigueur les LIA relatives à la prospection commerciale non sollicitée, rappelant que les attentes des individus et la facilité de s'opposer (opt-out) sont des critères déterminants. Pour la prospection électronique B2C, le principe reste le consentement préalable (ePrivacy), l'intérêt légitime étant une exception très limitée.

Deuxièmement, le document met en lumière les scénarios où l'intérêt légitime est plus solidement admis. La prévention de la fraude, la sécurité des systèmes d'information (ex: conservation temporaire de logs de connexion pour prévenir les cyberattaques) ou encore la transmission de données au sein d'un groupe d'entreprises à des fins administratives internes sont des exemples où les APD reconnaissent un intérêt légitime fort, souvent aligné avec l'intérêt des personnes concernées elles-mêmes.

Enfin, et c'est peut-être l'enseignement le plus important, le recueil agit comme un avertissement : l'absence d'une Analyse d'Intérêt Légitime (LIA) formelle, détaillée et préalable au traitement est quasi-systématiquement sanctionnée. Les décisions montrent que les régulateurs ne se contentent pas d'une simple mention de l'article 6(1)(f) dans le registre des traitements. Ils exigent une démonstration écrite et argumentée du test en trois étapes, en particulier de la mise en balance. Une LIA bâclée ou inexistante est une porte ouverte à la requalification du traitement comme étant illicite.

Ce que ça change opérationnellement (Plan d'action)

Pour un Compliance Officer ou un DPO, ce recueil impose une revue immédiate des pratiques. Voici un plan d'action en 5 points :

1. Auditer les Analyses d'Intérêt Légitime (LIA) existantes : Lancez une campagne de révision de tous les traitements fondés sur l'article 6(1)(f). Comparez vos LIA actuelles avec les exemples et les raisonnements présentés dans le recueil de l'EDPB. Portez une attention particulière aux traitements de marketing, de profilage et à ceux impliquant des données d'enfants ou d'autres personnes vulnérables.

2. Renforcer la procédure de création des LIA : Mettez à jour ou créez un modèle de LIA standardisé et une procédure interne stricte pour tout nouveau traitement. Cette procédure doit imposer une validation formelle par le DPO et documenter chaque étape du test en trois points, avec une justification détaillée de la mise en balance. La LIA doit être un document vivant, réévalué périodiquement.

3. Améliorer la transparence de l'information : Revoyez vos politiques de confidentialité (articles 13 et 14 du RGPD). Ne vous contentez plus de mentionner vaguement 'nos intérêts légitimes'. Spécifiez précisément quel intérêt est poursuivi pour quel traitement (ex: 'Notre intérêt légitime à traiter votre adresse IP est de sécuriser notre site web contre les attaques par déni de service').

4. Fluidifier l'exercice du droit d'opposition : Assurez-vous que les mécanismes permettant aux personnes de s'opposer au traitement (article 21 du RGPD) sont non seulement existants, mais aussi simples d'accès, visibles et faciles à utiliser. Un lien de désinscription caché ou un processus complexe sont des signaux d'alerte pour les régulateurs.

5. Former les équipes métiers : Organisez des sessions de sensibilisation pour les équipes marketing, commerciales, RH et IT. Elles doivent comprendre que l'intérêt légitime n'est pas une solution de facilité et que l'implication du DPO en amont de tout projet est indispensable pour valider la base légale et réaliser la LIA.

• 📎 EDPB — One-Stop-Shop case digest on the legal basis of 'legitimate interest'