Droit · 7 novembre 2026 · 6 min de lecture
Intérêt légitime selon le RGPD : les 3 étapes de l'examen
L'art. 6, par. 1, point f RGPD expliqué : examen en trois étapes, exemples de marketing et de vente, documentation et droit d'opposition selon l'art. 21.
L'intérêt légitime est la base juridique sur laquelle s'appuient de nombreuses entreprises en marketing et en vente. Elle paraît commode, car elle ne nécessite ni bannière ni signature. Mais c'est aussi la base qui demande le plus de travail propre : vous devez examiner vous-même, mettre en balance vous-même et pouvoir prouver le résultat. Cet article explique la règle, les trois étapes de l'examen et les pièges habituels.
Ce que dit la règle
L'art. 6, par. 1, point f RGPD autorise un traitement de données à caractère personnel lorsqu'il est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ». Cela ne vaut que si les intérêts ou les libertés et droits fondamentaux de la personne concernée, qui exigent une protection de ses données, ne prévalent pas. Les autorités publiques ne peuvent pas s'en prévaloir dans l'exécution de leurs missions. Vous trouverez le texte dans le RGPD sur EUR-Lex.
Cette base est l'une de six bases de même rang. Elle n'a pas la priorité sur le consentement et n'est pas un filet de sécurité quand le consentement manque. Là où la loi exige un consentement pour une opération, le point f ne peut pas le remplacer. Cela vaut surtout pour l'accès à l'équipement terminal, plus de détails dans Consentement ou intérêt légitime : comment décider.
Les trois étapes de l'examen
La Cour de justice de l'Union européenne examine la règle en trois étapes, qui doivent toutes être remplies. Elle l'a formulé ainsi notamment dans l'arrêt du 4 octobre 2024 (CJUE, C-621/22, Koninklijke Nederlandse Lawn Tennisbond).
| Étape | Question | Erreur typique |
|---|---|---|
| 1. Intérêt | Poursuivez-vous un intérêt légitime ? | Intérêt simplement affirmé de façon générale (« marketing ») |
| 2. Nécessité | Le traitement est-il nécessaire pour cela ? | Plus de données que nécessaire, alors que moins suffirait |
| 3. Mise en balance | Les intérêts des personnes concernées ne prévalent-ils pas ? | Attentes des personnes concernées non prises en compte |
Étape 1 : l'intérêt. Il doit être licite, clairement nommé et réellement existant. Dans l'arrêt cité, la CJUE a précisé qu'un intérêt économique peut aussi être un intérêt légitime, tant qu'il ne contrevient pas au droit. Le considérant 47 cite expressément la prospection directe comme intérêt légitime possible.
Étape 2 : la nécessité. Vous vous demandez ici s'il existe un moyen moins intrusif. Si vous atteignez un objectif avec moins de données, vous devez prendre moins de données. Si l'entreprise vous suffit, vous n'avez pas besoin d'une personne. C'est le principe de minimisation des données de l'art. 5, par. 1, point c RGPD.
Étape 3 : la mise en balance. Vous mettez votre intérêt en regard des intérêts des personnes concernées. Selon le considérant 47, le critère est celui des attentes raisonnables des personnes concernées, fondées sur leur relation avec vous. Celui qui est client s'attend à une newsletter sur des produits similaires. Celui qui n'a visité qu'une fois une page ne s'attend pas à un dossier. Plus les données sont sensibles et plus l'atteinte est profonde, plus la mise en balance tourne à votre désavantage.
Exemples de marketing et de vente
Les cas suivants montrent l'éventail. Leur validité dans un cas particulier dépend des circonstances. Ce classement n'est pas une garantie.
- Publicité postale à des clients existants. Considérée souvent comme défendable, car les clients s'y attendent. Le droit de la concurrence doit en outre être respecté.
- Lutte contre la fraude et sécurité informatique. Le considérant 47 cite la prévention de la fraude comme intérêt légitime. Les entreprises s'appuient souvent dessus pour les journaux servant à repousser des attaques.
- Attribution d'entreprise sur le site web. Celui qui ne consulte que le titulaire du réseau d'une adresse IP traite peu de données et poursuit un objectif clair. Pour savoir si une adresse IP est dans un cas concret une donnée à caractère personnel, lisez Adresse IP et RGPD : est-elle une donnée à caractère personnel ?.
- Profils de personnes à partir de données achetées. La mise en balance devient difficile ici, car les personnes concernées ne s'y attendent pas.
Pour l'approche après une visite du site web, le droit de la concurrence s'ajoute au RGPD. Ce qui s'applique ici par pays figure dans Prospection à froid en B2B : ce qui est permis en DE, AT et CH.
Documentation : la charge de la preuve vous incombe
Selon l'art. 5, par. 2 RGPD, vous devez pouvoir démontrer le respect des principes. Pour le point f, cela signifie en pratique :
- Nommez l'intérêt en une phrase.
- Consignez pourquoi cela ne peut pas se faire avec moins de données.
- Rédigez la mise en balance avec les principaux arguments, avec la date et le responsable.
- Inscrivez le traitement dans votre registre selon l'art. 30 RGPD, dans la mesure où c'est obligatoire.
- Mentionnez l'intérêt légitime dans la politique de confidentialité. L'art. 13, par. 1, point d RGPD exige, avec cette base, l'indication des intérêts.
- Réexaminez la mise en balance lorsque la finalité, les données ou la technique changent.
Opposition selon l'art. 21
Celui qui s'appuie sur le point f doit accorder un droit d'opposition. Il existe deux cas (art. 21 RGPD) :
- Opposition générale (par. 1). La personne peut s'opposer pour des raisons tenant à sa situation particulière. Vous devez alors mettre fin au traitement, à moins de démontrer des motifs légitimes et impérieux qui prévalent.
- Opposition à la prospection directe (par. 2 et 3). Aucune justification n'est requise. Après une opposition, les données ne peuvent plus être traitées à des fins publicitaires.
Selon le par. 4, vous devez, au plus tard lors de la première communication, attirer expressément l'attention sur ce droit, de façon compréhensible et séparée de toute autre information.
Questions fréquentes
Dois-je informer les personnes concernées en cas d'intérêt légitime ? Oui. Les obligations d'information des art. 13 et 14 RGPD s'appliquent aussi dans ce cas. Avec cette base, il s'y ajoute que vous devez nommer les intérêts légitimes.
L'intérêt légitime suffit-il pour les cookies et les scripts de suivi ? Pour l'accès à l'équipement terminal, en général non. Ici s'applique en Allemagne le § 25 TDDDG et en Autriche le § 165 al. 3 TKG 2021, tous deux exigent en principe un consentement. La base du RGPD ne concerne que le traitement ultérieur. Plus de détails dans § 25 TDDDG : cookies et traçage en Allemagne.
Dois-je consigner par écrit la mise en balance ? Le RGPD ne prescrit pas de forme précise. En raison de l'obligation de preuve de l'art. 5, par. 2, une documentation écrite est toutefois la voie sûre.
