L'intérêt légitime au titre du RGPD : quand pouvez-vous l'invoquer et comment le documenter

L'article 6, paragraphe 1, point f), autorise le traitement nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée, notamment lorsque la personne concernée est un enfant.

Le test en trois étapes

• Finalité : existe-t-il un intérêt légitime ? Il doit être licite, clairement défini et réel, comme la prévention de la fraude, la sécurité du réseau ou la prospection directe auprès des clients existants.
• Nécessité : le traitement est-il nécessaire à cette finalité, ou pourriez-vous l'atteindre avec moins de données ou de manière moins intrusive ?
• Mise en balance : les intérêts, les droits et les attentes raisonnables de la personne prévalent-ils sur les vôtres ? Tenez compte de la nature des données, de l'utilisation à laquelle la personne s'attendrait et des garanties que vous appliquez.

Consignez-le par écrit

Le principe de responsabilité du RGPD (art. 5, paragraphe 2) signifie que vous devez être en mesure de démontrer que vous avez effectué le test. Une courte analyse de l'intérêt légitime par activité suffit : l'intérêt, la raison pour laquelle le traitement est nécessaire, la mise en balance et les garanties.

Informer les personnes et leur permettre de s'opposer

Votre politique de confidentialité doit indiquer les intérêts légitimes que vous invoquez (art. 13, paragraphe 1, point d)). Les personnes concernées ont le droit de s'opposer ; pour la prospection directe, l'opposition est absolue et le traitement doit cesser (art. 21, paragraphes 2 et 3).

Quand il ne convient pas

Notre évaluation RGPD vous demande quelles activités reposent sur l'intérêt légitime et produit pour chacune un modèle d'analyse pré-rempli.

• Les autorités publiques ne peuvent pas l'invoquer dans l'exécution de leurs missions.
• Les cookies et traceurs similaires à des fins d'analyse ou de publicité requièrent en général un consentement en vertu des règles ePrivacy, quelle que soit la base juridique RGPD.
• Les catégories particulières de données nécessitent une condition au titre de l'article 9 en plus d'une base juridique.