Qu'est-ce que l'intérêt légitime ?
Contrairement au consentement, l'intérêt légitime n'exige pas que la personne concernée accepte activement le traitement. L'organisation doit toutefois être en mesure de justifier pourquoi le traitement est licite, nécessaire et proportionné.
Une évaluation de l'intérêt légitime (LIA) est couramment utilisée pour documenter cette analyse.
Important : L'intérêt légitime n'est pas une dispense générale des exigences de consentement. En particulier, le recours à l'intérêt légitime n'autorise pas automatiquement les cookies non essentiels, les traceurs publicitaires ou d'autres technologies lorsque les règles ePrivacy applicables exigent un consentement.
L'intérêt légitime en termes simples
L'intérêt légitime signifie qu'une organisation a une raison réelle et licite d'utiliser des données personnelles, que le traitement est nécessaire pour atteindre cette finalité et que les intérêts de la personne concernée en matière de vie privée ne prévalent pas sur l'intérêt de l'organisation.
Par exemple, une organisation peut avoir un intérêt légitime à :
- Prévenir la fraude
- Protéger la sécurité des réseaux et de l'information
- Détecter les abus
- Entretenir une relation client existante
- Certaines formes de marketing direct
- Recouvrer des créances
- Protéger des droits en justice
- Améliorer les opérations internes de l'entreprise
- Prévenir une utilisation abusive des services
Le fait que l'intérêt légitime s'applique ou non dépend des circonstances propres à chaque cas.
Le fait qu'une activité soit commercialement utile n'en fait pas automatiquement un intérêt légitime.
L'intérêt légitime est-il une base légale au titre du GDPR ?
Oui.
L'article 6(1)(f) du GDPR reconnaît les intérêts légitimes comme l'une des bases légales du traitement des données personnelles.
Il s'applique lorsque :
- L'organisation ou un tiers poursuit un intérêt légitime.
- Le traitement des données personnelles est nécessaire aux fins de cet intérêt.
- Les intérêts, droits ou libertés de la personne concernée ne prévalent pas sur l'intérêt légitime.
Ces conditions sont cumulatives. Les trois doivent être remplies.
Le test de l'intérêt légitime en trois volets
Le cœur de l'intérêt légitime est une évaluation en trois volets.
Test de finalité
Il faut d'abord identifier l'intérêt légitime.
Se demander :
- Que cherchons-nous à accomplir ?
- À qui profite le traitement ?
- L'intérêt est-il licite ?
- L'intérêt est-il clairement défini ?
- S'agit-il d'un intérêt réel et actuel ?
Les intérêts envisageables peuvent être de nature commerciale, individuelle, opérationnelle, sécuritaire ou sociétale au sens large.
L'intérêt doit être clairement formulé plutôt que décrit en termes vagues tels que « finalités commerciales ».
Test de nécessité
Il faut ensuite déterminer si le traitement de données personnelles est réellement nécessaire pour atteindre cet intérêt.
Se demander :
- Le traitement envisagé contribue-t-il à atteindre l'objectif identifié ?
- Le traitement est-il raisonnablement nécessaire ?
- Le même objectif pourrait-il être atteint autrement ?
- Existe-t-il une méthode moins intrusive ?
Si une méthode tout aussi efficace et moins intrusive pour la vie privée est raisonnablement disponible, l'intérêt légitime peut ne pas être une base appropriée.
Le test de nécessité ne signifie donc pas simplement que le traitement est commode.
Test de mise en balance
Enfin, il faut mettre en balance l'intérêt légitime de l'organisation et les intérêts, droits et libertés de la personne concernée.
À examiner :
- Quelles données personnelles sont traitées ?
- Quel est leur degré de sensibilité ?
- Quelle est l'incidence probable sur les personnes ?
- Les personnes s'attendraient-elles raisonnablement à ce traitement ?
- Quelle est la force de l'intérêt de l'organisation ?
- Le traitement est-il intrusif ?
- Des enfants ou des personnes vulnérables sont-ils concernés ?
- Quelles garanties peuvent en réduire l'incidence ?
Si les intérêts, droits ou libertés de la personne concernée prévalent sur l'intérêt légitime de l'organisation, l'article 6(1)(f) ne peut pas être invoqué pour ce traitement.
Qu'est-ce qu'une évaluation de l'intérêt légitime (LIA) ?
Une évaluation de l'intérêt légitime (LIA) est une évaluation documentée qui sert à déterminer si l'intérêt légitime constitue une base légale appropriée pour une activité de traitement donnée.
Une bonne LIA devrait normalement documenter :
- La finalité du traitement
- L'intérêt légitime poursuivi
- Les parties qui en bénéficient
- Les données personnelles concernées
- Les raisons pour lesquelles le traitement est nécessaire
- Les méthodes alternatives envisagées
- L'incidence potentielle sur les personnes
- Les attentes raisonnables des personnes
- Les garanties pertinentes
- La conclusion de la mise en balance
- Les conditions ou limitations éventuelles applicables au traitement
L'évaluation doit être réalisée avant d'invoquer l'intérêt légitime pour le traitement.
L'ICO décrit la LIA comme une évaluation des risques allégée, fondée sur les circonstances propres au traitement envisagé, et recommande d'en documenter le résultat.
L'intérêt légitime peut-il remplacer le consentement ?
Non, pas en général.
L'intérêt légitime peut parfois constituer une base légale alternative au titre du GDPR pour une activité de traitement donnée, mais il ne prévaut pas sur les autres exigences légales.
Cette distinction est particulièrement importante pour les sites web.
Par exemple, une organisation peut avoir un intérêt légitime à assurer la sécurité de son site web. Cela ne signifie pas automatiquement qu'elle peut déposer tous les cookies d'analyse ou publicitaires sans consentement.
Les règles relatives aux cookies et aux communications électroniques peuvent imposer des exigences supplémentaires allant au-delà de l'analyse de la base légale au titre du GDPR.
Par conséquent :
Base légale au titre du GDPR ≠ autorisation automatique de déposer des cookies ou des technologies de traçage.
C'est l'une des distinctions les plus importantes à comprendre pour les équipes chargées de la protection de la vie privée.
L'intérêt légitime et les cookies
L'intérêt légitime ne doit pas servir de justification générale pour les cookies non essentiels.
Par exemple, un site web ne peut pas se contenter de qualifier un traceur publicitaire d'« intérêt légitime » et présumer que ce traceur peut se charger avant le consentement lorsque les règles applicables en matière de cookies ou d'ePrivacy exigent un consentement préalable.
Une analyse rigoureuse doit examiner séparément :
- Si le traitement des données personnelles repose sur une base légale valable au titre du GDPR.
- Si la technologie utilisée pour collecter des informations ou y accéder est soumise à des exigences supplémentaires en matière de cookies ou d'ePrivacy.
- Si un consentement est requis avant que la technologie ne fonctionne.
- Si le traitement est compatible avec les attentes et les droits de la personne concernée.
Cette distinction évite que les organisations confondent la base légale au titre du GDPR avec les exigences de stockage et d'accès applicables aux cookies.
L'intérêt légitime et les outils d'analyse
Les outils d'analyse peuvent impliquer plusieurs activités de traitement différentes.
Une organisation ne devrait pas classer automatiquement l'ensemble de l'analytique comme relevant de l'intérêt légitime.
À examiner :
- Quelles informations sont collectées ?
- Les données sont-elles agrégées ou identifiables ?
- Des identifiants persistants sont-ils utilisés ?
- Des informations sont-elles partagées avec des tiers ?
- Y a-t-il un suivi intersites ?
- Un profilage est-il réalisé ?
- Quelles sont les attentes de l'utilisateur ?
- Des cookies ou des technologies similaires sont-ils utilisés ?
- Une autre méthode d'analyse moins intrusive est-elle disponible ?
Une activité d'analyse interne à faible incidence peut faire l'objet d'une analyse juridique différente de celle d'un suivi comportemental à travers des sites web et des services.
La base légale doit donc être appréciée en fonction de la mise en œuvre réelle.
L'intérêt légitime et la prévention de la fraude
La prévention de la fraude est un intérêt légitime couramment envisagé.
Une organisation peut avoir un intérêt important à détecter :
- Les prises de contrôle de comptes
- La fraude au paiement
- Les faux comptes
- L'utilisation abusive d'identifiants
- Les attaques automatisées
- Les transactions suspectes
- L'utilisation abusive du service
Toutefois, la prévention de la fraude n'est pas automatiquement licite au seul motif que l'organisation la présente comme relevant de la sécurité.
L'organisation doit toujours apprécier la nécessité, la proportionnalité, l'incidence, les attentes raisonnables et les garanties applicables.
L'intérêt légitime et le marketing direct
Le marketing direct peut parfois reposer sur l'intérêt légitime au titre du GDPR/UK GDPR, mais cela requiert une analyse propre au contexte et peut être soumis à des règles supplémentaires en matière de marketing électronique.
L'ICO indique que l'intérêt légitime peut s'appliquer au marketing direct lorsque les règles applicables en matière de communications électroniques n'exigent pas de consentement, à condition que le traitement soit proportionné, ait une incidence minimale sur la vie privée et ne soit ni inattendu ni susceptible de provoquer une opposition injustifiée.
C'est pourquoi une entreprise ne doit pas considérer :
« Nous avons un intérêt légitime à faire du marketing »
comme une justification suffisante en soi.
Elle doit examiner séparément :
- La nature de la relation
- Le statut de client existant
- Ce à quoi les personnes s'attendent raisonnablement
- Le type de marketing
- Le canal de communication
- Les règles applicables en matière d'ePrivacy et de marketing direct
- Le droit d'opposition de la personne concernée
L'intérêt légitime et le profilage
Le profilage peut parfois être fondé sur l'intérêt légitime, mais l'analyse gagne en importance à mesure que l'incidence sur les personnes augmente.
À examiner :
- Quelles informations sont utilisées ?
- Quelles caractéristiques sont déduites ?
- Le profilage est-il utilisé à des fins publicitaires ?
- Affecte-t-il l'accès à des produits ou à des services ?
- A-t-il un effet significatif sur les personnes ?
- Les personnes s'attendraient-elles raisonnablement à ce profilage ?
- Peuvent-elles s'y opposer ?
- Quelles garanties sont disponibles ?
Une évaluation de l'intérêt légitime doit refléter les conséquences réelles du profilage plutôt que de traiter le profilage comme un traitement ordinaire.
L'intérêt légitime et les droits des personnes concernées
Les personnes conservent des droits importants même lorsque le traitement est fondé sur l'intérêt légitime.
Au titre du GDPR, une personne peut s'opposer à un traitement fondé sur l'article 6(1)(e) ou 6(1)(f) pour des raisons tenant à sa situation particulière.
Si l'opposition porte sur le marketing direct, le droit d'opposition est plus fort : les données personnelles ne doivent plus être traitées à des fins de marketing direct.
Cela signifie que les organisations qui invoquent l'intérêt légitime doivent disposer de procédures pour :
- Recevoir les oppositions
- Évaluer les oppositions
- Consigner les oppositions
- Mettre à jour les préférences de traitement
- Cesser le traitement lorsque cela est requis
- Documenter tout motif légal de poursuivre le traitement lorsque cela est permis
L'intérêt légitime et les enfants
Les enfants exigent une attention particulière.
Au titre de l'article 6(1)(f) du GDPR, les droits et libertés de la personne concernée, en particulier lorsque celle-ci est un enfant, sont expressément pertinents pour l'analyse de l'intérêt légitime.
Un traitement impliquant des enfants peut donc exiger des garanties renforcées et une mise en balance plus prudente.
Une organisation ne doit pas présumer qu'un intérêt légitime acceptable pour des adultes reste automatiquement approprié pour des enfants.
L'intérêt légitime et les données sensibles
L'intérêt légitime au titre de l'article 6(1)(f) ne suffit pas à lui seul à traiter des données relevant de catégories particulières au titre du GDPR.
Lorsque des données relevant de catégories particulières sont en jeu, une organisation a généralement besoin :
- D'une base légale au titre de l'article 6 ; et
- D'une condition applicable au titre de l'article 9.
L'analyse peut donc exiger des garanties juridiques supplémentaires.
De même, les données relatives aux infractions pénales sont soumises à des exigences supplémentaires.
L'intérêt légitime et le contrat
L'intérêt légitime et la nécessité contractuelle sont deux bases légales distinctes.
Nécessité contractuelle
Le traitement est nécessaire à l'exécution d'un contrat conclu avec la personne concernée ou à l'exécution de mesures précontractuelles prises à sa demande.
Intérêt légitime
Le traitement est nécessaire aux fins d'un intérêt légitime, sous réserve du test de mise en balance en trois volets.
Une organisation ne doit pas retenir le contrat comme base au seul motif que le traitement est utile à son activité.
De même, l'intérêt légitime ne doit pas être utilisé lorsque la nécessité contractuelle constitue la base la plus appropriée.
La base légale doit refléter la finalité et la nécessité réelles du traitement.
L'intérêt légitime et l'obligation légale
Une obligation légale s'applique lorsque le traitement est nécessaire pour se conformer à une exigence légale imposée à l'organisation.
L'intérêt légitime est différent.
Par exemple :
Obligation légale :
traitement exigé par la loi applicable.
Intérêt légitime :
traitement nécessaire aux fins d'un intérêt commercial, sécuritaire, opérationnel ou d'un intérêt de tiers qui résiste au test de mise en balance.
Le choix de la bonne base légale est important, car les droits et les obligations de conformité associés peuvent différer.
L'intérêt légitime et les politiques de confidentialité
Lorsqu'elles invoquent l'intérêt légitime, les organisations doivent expliquer les intérêts légitimes concernés dans leur information sur la confidentialité.
La politique de confidentialité ne doit pas se contenter d'indiquer :
« Nous traitons vos informations sur la base de l'intérêt légitime. »
Elle doit fournir une information utile sur l'intérêt légitime poursuivi.
Cela aide les personnes à comprendre :
- Pourquoi leurs données sont traitées
- Ce que l'organisation cherche à accomplir
- En quoi le traitement les affecte
- Quels droits elles possèdent
- Comment elles peuvent s'opposer
Les lignes directrices de l'EDPB précisent que les responsables du traitement qui invoquent l'article 6(1)(f) doivent informer les personnes concernées des intérêts légitimes poursuivis.
L'intérêt légitime au titre de la DPDPA
La loi indienne Digital Personal Data Protection Act, 2023 (DPDP Act) repose sur une structure différente de celle du GDPR.
La loi prévoit que les données personnelles peuvent être traitées pour une finalité licite sur la base :
- Du consentement ; ou
- De certains usages légitimes.
La Section 7 définit ces « certains usages légitimes » et énumère les circonstances précises dans lesquelles un Data Fiduciary peut traiter des données personnelles.
C'est une distinction importante.
La notion d'intérêt légitime au sens de l'article 6(1)(f) du GDPR ne doit pas être simplement transposée telle quelle dans un cadre de conformité indien à la DPDPA.
Au contraire :
GDPR :
l'intérêt légitime est une base légale spécifique prévue à l'article 6(1)(f).
DPDPA :
les « certains usages légitimes » sont des fondements légaux spécifiques prévus par la Section 7.
ConsentX doit préserver cette distinction dans l'ensemble de ses contenus consacrés à l'Inde.
Exemples de certains usages légitimes au titre de la DPDPA
La Section 7 vise des circonstances précises, comme le traitement de données personnelles pour une finalité déterminée pour laquelle le Data Principal a volontairement fourni ses données sans avoir manifesté son refus.
La loi prévoit également d'autres catégories d'usages légitimes portant sur des domaines tels que :
- Les prestations et services de l'État
- Les fonctions de l'État
- Les obligations légales et les divulgations
- Les urgences médicales
- Certaines finalités liées à l'emploi
- Les données personnelles accessibles au public dans des circonstances déterminées
Les conditions exactes dépendent de la disposition applicable et des circonstances.
ConsentX doit donc éviter de présenter la DPDPA comme prévoyant simplement une base légale d'« intérêt légitime » de type GDPR.
Cette distinction est particulièrement importante pour les organisations qui opèrent à la fois en Europe et en Inde.
L'intérêt légitime et les plateformes de gestion du consentement
Une plateforme de gestion du consentement (CMP) gère avant tout les signaux de consentement et de préférences.
Elle ne détermine pas automatiquement si une organisation peut invoquer l'intérêt légitime.
Une CMP peut aider à :
- Enregistrer les consentements
- Enregistrer les refus
- Gérer les changements de préférences
- Faire appliquer les choix de consentement
- Présenter les choix de confidentialité
- Alimenter les preuves d'audit
Mais l'organisation doit documenter séparément son analyse de la base légale.
Pour l'intérêt légitime, cela peut consister à tenir une LIA à jour aux côtés des registres de confidentialité et de traitement pertinents.
L'intérêt légitime doit-il être documenté ?
Oui.
Une LIA documentée aide à démontrer pourquoi l'intérêt légitime a été retenu et comment l'organisation a apprécié le traitement.
Le document ne doit pas être un modèle générique recopié pour des activités de traitement sans rapport entre elles.
Une LIA utile doit être propre à :
- La finalité du traitement
- Les données concernées
- Les personnes affectées
- La technologie utilisée
- L'incidence attendue
- Les garanties appliquées
- La conclusion
L'ICO recommande de documenter le résultat de l'évaluation en trois volets et de le faire avant le début du traitement.
Liste de contrôle de l'évaluation de l'intérêt légitime
Avant d'invoquer l'intérêt légitime, se demander :
Finalité
- Quel intérêt légitime poursuivons-nous ?
- Est-il licite et clairement défini ?
- À qui profite-t-il ?
Nécessité
- Le traitement de données personnelles est-il réellement nécessaire ?
- Contribue-t-il de manière substantielle à la finalité ?
- Existe-t-il une alternative moins intrusive ?
Mise en balance
- Quelle incidence le traitement aura-t-il ?
- À quoi les personnes s'attendraient-elles raisonnablement ?
- Les données sont-elles sensibles ou relèvent-elles de la vie privée ?
- Le traitement pourrait-il causer un préjudice ?
- Des enfants sont-ils concernés ?
- Les droits des personnes prévalent-ils sur l'intérêt de l'organisation ?
Garanties
- Pouvons-nous minimiser les données ?
- Pouvons-nous réduire la durée de conservation ?
- Pouvons-nous pseudonymiser les informations ?
- Pouvons-nous restreindre les accès ?
- Pouvons-nous réduire la portée du profilage ?
- Pouvons-nous offrir aux personnes des contrôles utiles ?
Responsabilité
- La LIA a-t-elle été documentée ?
- La politique de confidentialité a-t-elle été mise à jour ?
- L'intérêt légitime est-il clairement décrit ?
- Existe-t-il une procédure de traitement des oppositions ?
- L'organisation peut-elle démontrer pourquoi cette base légale a été retenue ?
Erreurs courantes en matière d'intérêt légitime
Considérer l'intérêt légitime comme une absence d'obligation de consentement
L'intérêt légitime peut constituer une base légale au titre du GDPR, mais d'autres lois peuvent néanmoins exiger un consentement pour certaines technologies ou communications.
Faire l'impasse sur la LIA
Écrire simplement « intérêt légitime » dans une politique de confidentialité ne revient pas à réaliser le test en trois volets.
Utiliser une LIA générique
Une évaluation de l'intérêt légitime doit refléter le traitement et le contexte réels.
Ignorer les attentes raisonnables
Savoir si les personnes s'attendraient raisonnablement au traitement est un élément important de la mise en balance.
Ignorer les alternatives moins intrusives
Si le même objectif peut raisonnablement être atteint avec un traitement de données personnelles moindre, la nécessité peut faire défaut.
Considérer l'avantage commercial comme suffisant
Un avantage pour l'entreprise ne prévaut pas automatiquement sur les droits et libertés de la personne concernée.
Utiliser l'intérêt légitime pour contourner le consentement aux cookies
Une base légale au titre du GDPR ne prévaut pas automatiquement sur les exigences applicables en matière de cookies ou d'ePrivacy.
Traiter l'intérêt légitime du GDPR et les usages légitimes de la DPDPA comme identiques
Les deux cadres reposent sur des structures juridiques différentes et doivent être analysés séparément.
L'intérêt légitime et ConsentX
ConsentX aide les organisations à gérer le consentement, les préférences de confidentialité, les enregistrements de consentement et les preuves d'audit à travers les différents cadres de confidentialité.
Pour les processus fondés sur l'intérêt légitime, ConsentX peut compléter la gestion du consentement en aidant les organisations à distinguer :
- Les traitements qui exigent un consentement
- Les traitements fondés sur une autre base légale
- Les préférences de consentement
- Les oppositions et les changements de préférences
- Les preuves de consentement
- La documentation de conformité en matière de confidentialité
Cette distinction est particulièrement importante pour les sites web qui utilisent des outils d'analyse, de la publicité, de la personnalisation et d'autres technologies tierces.
ConsentX ne doit pas être présenté comme déterminant automatiquement qu'une activité de traitement relève de l'intérêt légitime. L'organisation reste responsable de la détermination et de la documentation de sa base légale.
L'intérêt légitime : points clés à retenir
- L'intérêt légitime est une base légale du GDPR et du UK GDPR prévue à l'article 6(1)(f).
- Il exige une évaluation en trois volets : finalité, nécessité et mise en balance.
- Une évaluation de l'intérêt légitime (LIA) doit normalement être documentée avant le début du traitement.
- L'intérêt légitime n'exige pas un consentement affirmatif, mais il exige bien une responsabilité et la protection des droits des personnes.
- Les personnes ont le droit de s'opposer à un traitement fondé sur l'intérêt légitime dans les circonstances applicables.
- Le marketing direct impose de prendre en compte en outre les règles applicables en matière de marketing électronique.
- L'intérêt légitime n'autorise pas automatiquement les cookies non essentiels ni les technologies de traçage.
- Les données relevant de catégories particulières et les données relatives aux infractions pénales sont soumises à des exigences supplémentaires.
- Au titre de la DPDPA indienne, certains usages légitimes prévus par la Section 7 sont distincts de l'article 6(1)(f) du GDPR.
- Une CMP gère le consentement et les préférences ; elle n'établit pas à elle seule que l'intérêt légitime s'applique.
- Les programmes de confidentialité solides documentent la base légale de chaque activité de traitement plutôt que de considérer qu'une seule base légale convient à tout.
Sachez quels traitements exigent un consentement, et prouvez-le
ConsentX aide les organisations à gérer le consentement, les préférences de confidentialité, les enregistrements de consentement et les preuves d'audit à travers les différents cadres de confidentialité, afin que les équipes puissent distinguer les traitements qui exigent un consentement de ceux qui reposent sur une autre base légale. L'organisation reste responsable de la détermination et de la documentation de sa base légale.