Base légale permettant de traiter des données sans consentement si l'intérêt de l'entreprise l'emporte sur les droits et libertés de la personne.
Définition complète
L'intérêt légitime est l'une des six bases légales prévues par l'article 6(1)(f) du RGPD pour justifier le traitement de données personnelles. Contrairement au consentement, il ne nécessite pas d'accord préalable de l'individu, mais impose à l'entreprise de démontrer que le traitement est nécessaire pour atteindre un objectif légitime (commercial, sécuritaire ou administratif) sans porter une atteinte disproportionnée à la vie privée des personnes concernées.
Pour utiliser cette base, le dirigeant doit réaliser un « test de mise en balance » composé de trois étapes : le test de finalité (l'objectif est-il licite et réel ?), le test de nécessité (le traitement est-il indispensable pour atteindre cet objectif ?) et le test de mise en balance (les droits et libertés de l'individu priment-ils sur l'intérêt de l'entreprise ?). Si le risque pour l'individu est trop élevé, l'intérêt légitime ne peut être invoqué.
Il est crucial de noter que l'intérêt légitime ne peut jamais être utilisé pour traiter des données sensibles (santé, opinions politiques, etc.) et qu'il doit être documenté dans le registre des activités de traitement. La personne concernée dispose, selon l'article 21 du RGPD, d'un droit d'opposition que l'entreprise doit respecter, sauf si elle peut démontrer des motifs impérieux et légitimes qui prévalent sur les intérêts de la personne.
Exemple concret en PME
Une PME B2B souhaite prospecter de nouveaux clients en envoyant des emails professionnels à des décideurs identifiés sur LinkedIn. L'entreprise invoque l'intérêt légitime pour le traitement des coordonnées professionnelles, car le contact est pertinent pour l'activité du destinataire et l'intrusion est jugée faible, à condition de proposer un lien de désinscription immédiat et clair.
L'erreur fréquente à éviter
L'erreur majeure est de considérer l'intérêt légitime comme un « joker » pour éviter de demander le consentement. Beaucoup de PME oublient de formaliser le test de mise en balance par écrit. En cas de contrôle de la CNIL, l'absence de documentation prouvant la réflexion sur les droits de l'individu rend le traitement illégal, même si l'intention était légitime.