TL;DR pour le DPO
L'intérêt légitime est la base juridique que les responsables choisissent quand ils n'ont pas de consentement et rien de mieux sous la main. C'est aussi la seule qui exige d'écrire un raisonnement avant de s'en servir. Si ce raisonnement n'existe pas sur le papier, devant une autorité la base juridique n'existe tout simplement pas.
Ce que la Cour a jugé
Dans l'affaire C-621/22, tranchée le 4 octobre 2024, la fédération néerlandaise de tennis avait cédé à deux sponsors les données de ses membres à des fins de marketing. La question posée à la Cour était directe : un intérêt purement commercial peut-il être qualifié d'intérêt légitime au sens de l'article 6, paragraphe 1, sous f) ? La réponse a été affirmative, à condition que l'intérêt ne soit pas contraire au droit. C'est la partie de l'arrêt qui a fait le tour des colloques.
La partie que presque personne n'a lue
Reconnaître que l'intérêt est légitime, c'est avoir franchi la première des trois conditions. Restent les deux autres, et c'est là que tout se joue : le traitement doit être nécessaire à cet intérêt - autrement dit il ne doit pas exister de moyen moins intrusif d'atteindre le même résultat - et l'intérêt du responsable ne doit pas être supplanté par les intérêts ou les libertés et droits fondamentaux de la personne concernée. La Cour a renvoyé la mise en balance au juge national, mais a désigné clairement le critère qui pèse le plus : les attentes raisonnables de celui qui a fourni les données.
Le critère qui fait tomber la plupart des dossiers
Un adhérent qui s'inscrit à une fédération sportive s'attend à ce que ses données servent à gérer sa licence. Il ne s'attend pas à recevoir des offres commerciales d'une entreprise avec laquelle il n'a aucune relation. Dès que le traitement sort du périmètre de ce que la personne pouvait raisonnablement attendre au moment de la collecte, la balance penche, et aucune quantité d'intérêt économique ne la redresse.
Pourquoi cela concerne vos clients même s'ils ne vendent pas de fichiers
L'intérêt légitime soutient des traitements que personne ne juge controversés : la vidéosurveillance en entreprise, la prévention de la fraude, la sécurité informatique, le recouvrement, les communications aux clients déjà acquis. Dans tous ces cas la base juridique est probablement correcte, et dans presque tous il manque le document qui le démontre. La différence entre les deux situations n'apparaît qu'au moment où arrive une demande d'accès ou une réclamation.
Ce que doit contenir l'analyse
Il ne faut pas un document long : il faut un document qui réponde à trois questions et qui soit daté. Les lignes directrices 1/2024 du CEPD sur l'intérêt légitime suivent la même structure en trois étapes, et constituent la référence à l'aune de laquelle une autorité jugera votre travail.
- Quel intérêt poursuit le responsable, décrit concrètement et non sous forme de formule : non pas « finalités commerciales » mais « recontacter les clients ayant acheté au cours des vingt-quatre derniers mois pour proposer un renouvellement ».
- Pourquoi le traitement est nécessaire à cet intérêt, et quelle alternative moins intrusive a été envisagée puis écartée : c'est l'étape que presque personne ne consigne, et c'est celle qui prouve qu'un choix a bien été fait.
- Ce que la personne concernée pouvait raisonnablement attendre au moment de la collecte, et quelles garanties réduisent l'impact sur elle : information claire, durées de conservation courtes, opposition facile à exercer.
Deux obligations qui suivent le choix, et qu'on oublie
La première est l'article 13, paragraphe 1, sous d) : lorsque la base est l'intérêt légitime, l'information doit préciser LEQUEL. Écrire « l'intérêt légitime du responsable » et s'arrêter là ne satisfait pas l'obligation, et c'est un manquement facile à relever en lisant le seul site web. La seconde est l'article 21 : l'intérêt légitime est la seule base juridique assortie d'un droit d'opposition, et pour la prospection directe cette opposition est absolue - sans mise en balance et sans exception.
L'épreuve de vérité
Demandez au client de vous montrer, pour un traitement fondé sur l'intérêt légitime, le document dans lequel les trois conditions ont été analysées. S'il n'existe pas, ce n'est pas une formalité à régler quand il y aura le temps : c'est la seule chose qui, en cas de réclamation, distingue un choix réfléchi d'une base juridique retenue par élimination.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
