Le CEPD a adopté la version 2.0 de ses lignes directrices sur l'intérêt légitime, précisant que cette base n'est ni subsidiaire ni de second rang et qu'elle exige trois conditions cumulatives : intérêt légitime, nécessité du traitement et mise en balance avec les droits des personnes. La distinction entre intérêt et finalité est soulignée, un intérêt commercial pouvant être légitime, mais son poids varie selon la nature et le contexte. Les effets positifs et les garanties imposées par le RGPD doivent être pris en compte. La prospection peut être licite mais l'intrusivité et les règles ePrivacy restent déterminantes. Enfin, les autorités ne doivent pas substituer indûment leur appréciation à celle du responsable lorsque celui-ci a agi raisonnablement.
Le 10 novembre 2026, le Comité européen de la protection des données (CEPD/EDPB) a adopté la version 2.0 de ses lignes directrices sur l’intérêt légitime. Plusieurs évolutions : les intérêts commerciaux sont mieux reconnus, tous les intérêts légitimes n’ont pas nécessairement le même poids et les avantages d’un traitement, comme les garanties déjà imposées par le RGPD, doivent entrer dans la mise en balance. Mais une question demeure : lorsqu’un responsable du traitement dispose d’une marge d’appréciation, jusqu’où une autorité de contrôle peut-elle substituer sa propre analyse à la sienne ?
L’intérêt légitime n’est pas une base de licéité de second rang
L’intérêt légitime souffre depuis longtemps d’une réputation singulière : une base de licéité que l’on invoquerait faute de mieux, lorsqu’aucune autre ne permet de justifier le traitement envisagé.
Trop souvent, le responsable de traitement recherche le consentement. Sans trop savoir pourquoi d’ailleurs, presque par réflexe. Or, le consentement est difficile à obtenir : les conditions posées par le RGPD sont strictes. Et le consentement peut toujours être retiré …
Cette conception est erronée. Le RGPD n’établit aucune hiérarchie entre les six bases juridiques de l’article 6. L’intérêt légitime est une base de licéité à part entière, au même titre que le consentement ou la nécessité contractuelle.
Le CEPD le rappelle expressément : “It should neither be treated as a ‘last resort’ for rare or unexpected situations where other legal bases are deemed not to apply […]”
Cela ne signifie évidemment pas que l’intérêt légitime puisse être invoqué automatiquement. Trois conditions cumulatives doivent être satisfaites :
- poursuivre un intérêt légitime,
- démontrer la nécessité du traitement et
- vérifier que les intérêts ou les droits et libertés fondamentaux des personnes concernées ne prévalent pas.
Il y a donc une marge d’appréciation, surtout dans la proportionnalité, et c’est l’un des avantages de l’intérêt légitime. On observe la même chose, par exemple en matière contractuelle : il faut vérifier que le traitement est objectivement nécessaire à la prestation contractuelle, ce qui implique aussi une appréciation forcément subjective.
La particularité de l’intérêt légitime réside donc surtout dans la mise en balance qu’il impose, et non dans une quelconque subsidiarité par rapport aux autres bases de licéité.
Distinguer la légitimité de l’intérêt de la licéité du traitement
L’intérêt du responsable du traitement ne saurait être confondu avec la finalité du traitement.
Le CEPD le rappelle expressément : “The concept of ‘interest’ is closely related to, but distinct from, the concept of ‘purpose’.”
L’intérêt désigne l’avantage que le responsable du traitement cherche à obtenir ; la finalité correspond à l’objectif pour lequel les données sont traitées.
Le CEPD donne l’exemple d’une entreprise dont l’intérêt est de promouvoir ses produits et qui poursuit cet intérêt en traitant des données à des fins de prospection commerciale.
Cette distinction est importante pour l’application de l’article 6, § 1, f), du RGPD. La première étape consiste à vérifier la légitimité de l’intérêt poursuivi : la deuxième exige de vérifier que le traitement envisagé pour servir cet intérêt est nécessaire, tandis que la troisième amène à vérifier si ses conséquences pour les personnes concernées sont acceptables au regard de l’intérêt poursuivi.
Un intérêt commercial peut parfaitement être légitime
La version 2.0 des guidelines reprend l’arrêt Koninklijke Nederlandse Lawn Tennisbond (CJUE, 4 octobre 2024, C-621/22), dans lequel la Cour a confirmé qu’un intérêt purement commercial pouvait constituer un intérêt légitime.
Certaines autorités nationales, notamment l’autorité néerlandaise, ont longtemps défendu une conception restrictive, excluant par principe les intérêts exclusivement commerciaux ou financiers.
Cette approche ne peut plus être maintenue et les Guidelines le soulignent fort heureusement.
Tous les intérêts légitimes se valent-ils dans la mise en balance ?
Les Guidelines expliquent que : “Legitimate interests can range from trivial to significant or consequential depending on, among other things, their nature and source.” (§ 18)
Autrement dit, tous les intérêts reconnus comme légitimes n’ont pas nécessairement le même poids lorsqu’il s’agit de les mettre en balance avec les droits et intérêts des personnes concernées.
Les Guidelines évoquent l’idée selon laquelle des intérêts de nature différente peuvent avoir un poids différent. Une banque peut légitimement chercher à développer son chiffre d’affaires et à prévenir les fraudes. Les deux intérêts satisfont potentiellement à la première condition ; ils sont légitimes. Mais ils ne pèseront pas nécessairement le même poids lorsqu’il faudra justifier les conséquences d’un traitement pour les personnes concernées.
Ensuite, au sein d’une même catégorie d’intérêts, leur importance peut varier. La prévention d’une fraude mineure et celle d’une fraude susceptible d’entraîner des pertes considérables ne pèsent pas nécessairement du même poids.
Les guidelines invitent également à élargir le spectre de l’analyse au-delà de la seule situation du responsable de traitement et de la personne concernée : un intérêt de prévention des fraudes peut servir les intérêts de la banque et de ses clients, mais aussi ceux des tiers ou la collectivité, ce qui renforce son poids dans la balance. C’est une confirmation intéressante.
Le CEPD reconnaît également plus explicitement que les effets positifs du traitement doivent être pris en considération, et pas uniquement ses conséquences négatives (§ 30 et 35). Ainsi, un traitement destiné à prévenir des fraudes peut présenter des avantages directs pour les clients concernés. Ces avantages doivent entrer dans l’appréciation globale.
L’évolution est bienvenue : la mise en balance ne consiste pas à examiner uniquement les risques du traitement, mais à apprécier l’ensemble de ses conséquences au regard de l’intérêt poursuivi.
Les garanties obligatoires comptent aussi dans la mise en balance
Un certain nombre d’autorités sont d’avis que les garanties obligatoires, c’est-à-dire celles qui découlent directement du RGPD, ne doivent pas être prises en compte dans la mise en balance lors de l’analyse de l’intérêt légitime et de sa pondération avec les conséquences pour les droits et libertés des personnes concernées.
Cette vision, très étroite, est critiquable : ce n’est pas parce qu’une mesure est mise en place parce qu’elle est obligatoire, que ses effets devraient être négligés ou amoindris dans l’analyse de proportionnalité.
La version 2.0 clarifie heureusement ce point : “[…] any measures limiting the impact of the processing on the data subject, including those which are legally required to ensure compliance with the GDPR […]” (§ 52)
Autrement dit, toutes les mesures qui réduisent effectivement les conséquences du traitement doivent être prises en considération, même lorsqu’elles sont déjà obligatoires.
Lorsque la mise en balance demeure malgré tout défavorable, des garanties supplémentaires peuvent être envisagées : transparence renforcée, droit d’opposition inconditionnel, possibilités d’effacement élargies ou délai avant l’utilisation des données, etc. Le responsable doit toutefois démontrer leur efficacité concrète. L’accumulation de garanties théoriques ne suffit pas à rendre un traitement licite.
Prospection commerciale : la mal-aimée
Dans la foulée du considérant 47 du RGPD la version 2.0 des Guidelines confirme que : “Controllers may have a legitimate interest in getting to know their customers’ preferences so as to better personalise their offers.” (§ 119)
Une entreprise peut donc poursuivre un intérêt légitime en cherchant à connaître les préférences de ses clients pour personnaliser ses offres.
Le CEPD précise toutefois : “the level of intrusiveness of the envisaged marketing practices can be a particularly relevant factor to be taken into account when carrying out the balancing test under Article 6(1)(f) GDPR.” (§ 119)
Cette distinction est essentielle.
Une entreprise qui adresse des offres à ses clients existants ne se trouve pas dans la même situation qu’une entreprise qui constitue des profils détaillés à partir de données collectées sur de nombreux sites, appareils et services. Dans les deux cas, l’objectif commercial peut être légitime mais le contexte, la source et les moyens diffèrent, tout comme les conséquences pour les personnes concernées et leurs attentes raisonnables.
Enfin, la légitimité de l’objectif commercial ne dispense pas de respecter les règles particulières applicables à la prospection, notamment la directive ePrivacy, qui peut imposer le consentement pour certaines communications électroniques. La version 2.0 intègre la jurisprudence (arrêt Inteligo Media, CJUE, 13 novembre 2025, C-654/23), selon laquelle, lorsque les conditions de l’article 13, § 2, de cette directive sont réunies, aucune base juridique distincte au titre de l’article 6 du RGPD n’est nécessaire pour l’envoi de la communication lui-même (§ 115). Les autres traitements éventuellement réalisés, notamment le profilage, restent soumis à leurs propres exigences de licéité.
La version 2.0 insiste également sur l’arrêt NTH Haustechnik du 18 juin 2026 (C-484/24), dans lequel la Cour considère qu’un responsable ne peut invoquer son intérêt légitime pour collecter des données dont il savait, ou aurait dû savoir, qu’elles avaient été obtenues ou conservées illicitement par le tiers qui les lui transmet. Cette précision concerne notamment les entreprises qui achètent des fichiers de prospection ou acquièrent des jeux de données auprès de fournisseurs. La légitimité de l’objectif poursuivi ne suffit pas à neutraliser une irrégularité affectant l’origine des données.
Le CEPD restreint-il trop fortement la marge d’appréciation qui doit être laissée au responsable de traitement ?
L’application de l’article 6, § 1, f), du RGPD suppose plusieurs appréciations, notamment quant à la nécessité du traitement et à la mise en balance des intérêts. Ce n’est d’ailleurs pas une particularité de cette base juridique : la nécessité d’un traitement pour l’exécution d’un contrat implique également une appréciation des moyens nécessaires à la prestation.
Or, qui dit appréciation dit nécessairement qu’il existe une marge d’appréciation et donc une forme de subjectivité.
Les Guidelines évoquent souvent cette question, mais d’une façon ambiguë.
Cela soulève une question importante dans les procédures devant les autorités de contrôle : suffit-il que l’autorité porte une appréciation différente de celle du responsable du traitement pour considérer que celui-ci a violé le RGPD ?
Nous ne le pensons pas.
Cette question dépasse l’intérêt légitime. Elle se retrouve dans l’application de nombreuses dispositions du RGPD qui reposent sur des notions telles que la nécessité, la proportionnalité, le caractère approprié ou le risque.
Prenons un exemple en dehors du RGPD. Je dois me rendre d’un point A à un point B, avec l’obligation de limiter mes émissions de CO₂ à ce qui est strictement nécessaire pour effectuer ce trajet et en tenant compte de l’intérêt collectif qui consiste à consommer le moins possible.
Je peux choisir mon moyen de transport, mon itinéraire, mon horaire, combiner plusieurs modes de déplacement, etc. Chacun de ces choix implique une appréciation de différents paramètres, et plusieurs solutions peuvent être raisonnablement défendables.
Si l’on démontre ensuite qu’une autre combinaison aurait permis de réduire les émissions de CO₂ de quelques pour cent, cela signifie-t-il nécessairement que j’ai méconnu mes obligations ? Pas forcément.
La question est donc de savoir si l’on peut reprocher à quelqu’un de ne pas avoir retenu la meilleure solution possible, alors qu’il a exercé raisonnablement la marge d’appréciation dont il disposait.
Transposée au RGPD, cette question est essentielle. Lorsqu’une disposition impose au responsable du traitement de procéder à une appréciation, l’autorité de contrôle peut évidemment vérifier que celle-ci respecte les exigences légales. Mais peut-elle conclure à une violation au seul motif qu’elle aurait elle-même apprécié différemment les circonstances ?
Nous pensons que non. À notre sens, lorsque la norme laisse une marge d’appréciation, l’autorité ne peut se contenter de démontrer qu’une autre solution aurait été possible, ni qu’elle aurait choisit une autre solution si elle avait été à la place du responsable de traitement. L’autorité doit établir en quoi l’analyse du responsable du traitement méconnaissait les exigences du RGPD. La seule divergence d’appréciation ne devrait pas suffire à caractériser une violation, et moins encore à justifier une sanction.
Conclusion
La version 2.0 ne bouleverse pas le régime de l’intérêt légitime, mais elle en affine sensiblement la méthode d’application.
Le CEPD reconnaît davantage l’importance concrète des intérêts poursuivis, les avantages éventuels des traitements et l’efficacité des garanties déjà imposées par le RGPD.
L’analyse demeure exigeante : elle doit être préalable, documentée et adaptée aux circonstances de chaque traitement.
Cette exigence doit fonctionner dans les deux sens. Le responsable ne peut se contenter d’invoquer abstraitement un intérêt légitime. Inversement, les autorités de contrôle ne devraient pas traiter cette base juridique comme une exception dont l’utilisation devrait rester marginale.
Annexes
Version 2.0 des guidelines
file_download Télécharger l'annexeschéma décisionnel
file_download Télécharger l'annexeresumé officiel
file_download Télécharger l'annexerapport de la consultation publique
file_download Télécharger l'annexe
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
