Comment fonctionne le test de l'intérêt légitime du RGPD selon l'article 6(1)(f)

Que signifie l'intérêt légitime du RGPD ?

L'article 6(1)(f) est la base de l'intérêt légitime du RGPD : il permet à un responsable du traitement de traiter des données personnelles sans demander de consentement, à condition que le traitement soit nécessaire à un intérêt poursuivi par le responsable ou par un tiers et que les droits de la personne n'emportent pas sur cet intérêt. C'est l'une des six bases légales de l'article 6(1), et la seule qui oblige le responsable à mettre en balance son propre intérêt et celui de la personne. Le texte intégral, dans la version du Journal officiel publiée sur EUR-Lex, se lit ainsi :

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Une seconde phrase suit directement la liste des bases : "Le point f) du premier alinéa ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions."

Lisez attentivement la structure du point f). L'intérêt est le point de départ, "nécessaire" est une condition, et l'exception, "à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée", est l'endroit où se fait la mise en balance. L'article ne dresse jamais la liste des intérêts admissibles. Si vous hésitez encore entre plusieurs bases, la présentation des six bases légales du RGPD place le point f) à côté du consentement, du contrat et des autres.

Qu'est-ce que le considérant 47 ajoute à l'article 6(1)(f) ?

Le considérant 47 ajoute la notion d'attentes raisonnables et donne des exemples d'intérêts qui comptent. Les considérants ne sont pas contraignants en eux-mêmes, mais ils expliquent comment lire les articles, et l'EDPB cite le considérant 47 quand il applique l'article 6(1)(f). Le considérant 47 commence ainsi :

Les intérêts légitimes d'un responsable du traitement, y compris ceux d'un responsable du traitement à qui les données à caractère personnel peuvent être communiquées, ou d'un tiers peuvent constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement.

Il cite ensuite la relation avec un client ou un salarié comme un cadre où "Un tel intérêt légitime pourrait, par exemple, exister", et avertit que "Les intérêts et droits fondamentaux de la personne concernée pourraient, en particulier, prévaloir sur l'intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s'attendent raisonnablement pas à un traitement ultérieur."

Deux exemples closent le considérant, et leur formulation diffère pour une raison précise. La prévention de la fraude est énoncée fermement : "Le traitement de données à caractère personnel strictement nécessaire à des fins de prévention de la fraude constitue également un intérêt légitime du responsable du traitement concerné." La prospection ne l'est pas : "Le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime." "Peut être considéré" autorise à défendre le point. Cela ne le règle pas. Le considérant 49 ajoute la sécurité des réseaux et de l'information, là encore limitée à ce qui est "strictement nécessaire et proportionnée".

Quel est le test en trois étapes de l'intérêt légitime ?

Le test en trois étapes est la méthode de l'EDPB pour vérifier l'article 6(1)(f), et les trois étapes doivent toutes être franchies. Le Comité européen de la protection des données l'a exposé dans ses Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, version 1.0, adoptées le 8 octobre 2024 et soumises à consultation publique du 9 octobre au 20 novembre 2024. La page de l'EDPB consacrée à ces lignes directrices affiche toujours la version 1.0, le texte de consultation. Selon les termes du comité :

For processing to be based on Article 6(1)(f) GDPR, three cumulative conditions must be fulfilled: First, the pursuit of a legitimate interest by the controller or by a third party; Second, the need to process personal data for the purposes of the legitimate interest(s) pursued; and Third, the interests or fundamental freedoms and rights of the concerned data subjects do not take precedence over the legitimate interest(s) of the controller or of a third party.

Étape	Question	Ce qu'exige l'EDPB
1. Intérêt légitime	L'intérêt est-il acceptable en soi ?	"lawful", "clearly and precisely articulated", et "real and present, and not speculative" (paragraphe 17)
2. Nécessité	Le traitement de données personnelles est-il nécessaire pour l'atteindre ?	L'intérêt "cannot reasonably be achieved just as effectively by other means less restrictive" des droits de la personne
3. Mise en balance	Les droits de la personne l'emportent-ils ?	Peser l'impact, la nature des données, le contexte et les "reasonable expectations", ainsi que les garanties éventuelles

L'étape de nécessité est un filtre strict. Si une voie moins intrusive atteint le même objectif, le résumé des lignes directrices de l'EDPB dit clairement que "the processing may not be based on Article 6(1)(f) GDPR." Des comptages agrégés au lieu d'enregistrements individuels, ou une adresse IP tronquée au lieu d'une adresse complète, sont le type d'alternatives sur lesquelles porte cette étape.

L'EDPB rejette aussi deux habitudes opposées. Le paragraphe 9 dit que l'article 6(1)(f) "cannot be considered as a legal basis 'by default'" et ne doit pas être vu comme une "open door" pour légitimer un traitement qui n'entre dans aucune autre base. Le même paragraphe dit que ce n'est pas non plus un "last resort". Sur le calendrier, le paragraphe 12 indique que l'évaluation "should be made at the outset of the processing, with the involvement of the Data Protection Officer (DPO) (if designated), and should be documented by the controller in line with the accountability principle set out in Article 5(2) GDPR." Un test rédigé après le lancement ne satisfait pas cette exigence.

Trois étapes à la suite

Intérêt légitime identifié

Nécessité confirmée

Test de mise en balance réussi

L'article 6(1)(f) s'applique

Quels droits une personne conserve-t-elle face à l'intérêt légitime ?

Une personne conserve le droit d'opposition, qui n'a pas d'équivalent pour un traitement fondé sur le consentement. L'article 21(1) du RGPD dispose :

La personne concernée a le droit de s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l'article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu'il ne démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice.

Le seuil après une opposition est celui des "motifs légitimes et impérieux", plus élevé que la mise en balance ordinaire. Pour la prospection, les articles 21(2) et 21(3) suppriment entièrement la mise en balance : dès que la personne s'oppose, "les données à caractère personnel ne sont plus traitées à ces fins." L'article 21(4) exige que ce droit soit porté à l'attention de la personne et "présenté clairement et séparément de toute autre information", et l'EDPB ajoute que le responsable doit indiquer aux personnes quels intérêts légitimes il poursuit.

L'article 5(3) de la directive ePrivacy s'applique-t-il séparément du RGPD ?

Oui. L'article 5(3) de la directive ePrivacy régit le stockage ou la lecture d'informations sur l'appareil d'un utilisateur, et il s'applique en plus du RGPD, pas à sa place. La version consolidée de la directive 2002/58/CE sur EUR-Lex se lit ainsi :

Les États membres garantissent que le stockage d'informations, ou l'obtention de l'accès à des informations déjà stockées, dans l'équipement terminal d'un abonné ou d'un utilisateur n'est permis qu'à condition que l'abonné ou l'utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive 95/46/CE, une information claire et complète, entre autres sur les finalités du traitement. Cette disposition ne fait pas obstacle à un stockage ou à un accès techniques visant exclusivement à effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques, ou strictement nécessaires au fournisseur pour la fourniture d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.

L'article 5(3) ne contient aucun motif d'intérêt légitime. Sa règle par défaut est l'accord de l'utilisateur, et il prévoit deux exemptions : la transmission, et ce qui est "strictement nécessaires" à un service que l'utilisateur a "expressément demandé". La Cour de justice a jugé dans l'arrêt Planet49 (C-673/17, 1er octobre 2019) que cette protection "s'applique à toute information stockée sur cet équipement terminal, indépendamment du fait qu'il s'agisse ou non de données à caractère personnel", un passage que l'EDPB cite dans ses Guidelines 2/2023 on the technical scope of Article 5(3). Les lignes directrices 1/2024 précisent au paragraphe 11 qu'elles sont "without prejudice to" la directive ePrivacy. Un responsable qui dépose un cookie non exempté a donc besoin du consentement pour ce cookie au titre de l'article 5(3), quelle que soit la base de l'article 6 qu'il choisit pour les données qui suivent.

L'analytics web peut-elle reposer sur l'intérêt légitime ?

La question de savoir si l'analytics web peut reposer sur l'intérêt légitime n'est pas tranchée, et la réponse dépend de la couche dont on parle. La couche de l'appareil relève de l'article 5(3). La couche du traitement relève de l'article 6. Un outil doit passer les deux.

Sur la couche de l'appareil, l'EDPB lit l'article 5(3) de façon large. Les lignes directrices 2/2023, version 2.0 adoptée le 7 octobre 2024, disent au paragraphe 51 que lorsqu'un pixel de suivi est construit par une "client-side applicative logic (usually a JavaScript code)", la collecte des identifiants "constitutes a 'gaining of access'". Des régulateurs nationaux sont allés plus loin dans l'autre sens. La CNIL française affirme que "subject to a number of conditions, cookies used for audience measurement are exempt from consent", notamment en limitant la finalité à la mesure d'audience, en tronquant "the last byte of the IP address" et en plafonnant la durée de vie des traceurs à 13 mois. Le Royaume-Uni a inscrit une exemption avec opposition dans la loi : l'annexe 12 du Data (Use and Access) Act 2025, en vigueur depuis le 5 février 2026, permet à un service de stocker ou d'accéder à des informations "for statistical purposes about how the service is used with a view to making improvements to the service" si les utilisateurs reçoivent une information claire et "a simple means of objecting". Le Royaume-Uni est hors de l'UE, et l'article 5(3) lui-même ne contient aucun texte de ce type.

Sur la couche du traitement, l'EDPB se montre sceptique dès qu'il y a du suivi. À propos de la prospection, le paragraphe 115 des lignes directrices 1/2024 indique que lorsque le consentement de l'article 5(3) est requis, le consentement "will likely constitute the appropriate legal basis both for storing and gaining access to information already stored on the user's device and for the subsequent processing of personal data", "thus normally precluding reliance on Article 6(1)(f) in this context." Le paragraphe 120 dit que la mise en balance "would hardly yield" un résultat positif pour les "intrusive profiling and tracking practices for marketing purposes, for example those that involve tracking individuals across multiple websites, locations, devices or services."

Configuration	Couche de l'appareil (article 5(3))	Couche du traitement (article 6)
Suivi intersites et profilage publicitaire	Consentement	EDPB : la mise en balance "would hardly yield" un résultat favorable
Cookies d'audience first-party, conditions de la CNIL remplies	CNIL : exempté ; texte de l'article 5(3) : aucune exemption pour l'analytics	Intérêt légitime invoqué, test toujours requis
Aucun stockage ni accès sur l'appareil, données personnelles traitées	Non déclenché	Intérêt légitime possible avec un test documenté
Aucune donnée personnelle traitée	Dépend de l'accès à l'appareil	Le RGPD ne s'applique pas

Un point vaut de tous les côtés : moins un outil manipule d'identifiants, plus chaque étape du test devient simple, et la question de savoir si l'analytics a besoin de consentement dépend d'abord de ce que le script fait sur l'appareil. Une bannière de cookies répond à la question de l'article 5(3). Elle ne répond pas à celle de l'article 6. Savoir si une IP tronquée ou un identifiant haché reste une donnée personnelle est une question à part, traitée dans l'article sur ce qui compte comme PII.

Questions fréquentes

L'intérêt légitime est-il plus simple que le consentement ?

Non, selon la lecture de l'EDPB. Les lignes directrices 1/2024 disent que l'article 6(1)(f) ne doit pas être choisi "on the basis of a perception that Article 6(1)(f) GDPR is less constraining than other legal bases." Le consentement exige un opt-in valide. L'intérêt légitime exige une évaluation documentée en trois étapes réalisée avant le traitement et un droit d'opposition respecté.

Une évaluation de l'intérêt légitime doit-elle être mise par écrit ?

L'EDPB dit qu'elle doit être documentée, en citant le principe de responsabilité de l'article 5(2) du RGPD. L'article 5(2) dispose que le responsable du traitement "est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté", et une mise en balance non écrite est difficile à démontrer.

Une autorité publique peut-elle invoquer l'intérêt légitime ?

Pas pour ses missions officielles. L'article 6(1) dispose que le point f) "ne s'applique pas au traitement effectué par les autorités publiques dans l'exécution de leurs missions." Ces autorités s'appuient sur l'article 6(1)(e), le traitement nécessaire à une mission d'intérêt public, qui exige une base dans le droit de l'Union ou d'un État membre.

La prospection est-elle toujours un intérêt légitime ?

Non. Le considérant 47 dit que le traitement à des fins de prospection "peut être considéré comme étant réalisé pour répondre à un intérêt légitime", ce qui laisse le test en trois étapes en place. La prospection par e-mail et par SMS relève aussi de l'article 13 de la directive ePrivacy, que l'EDPB lit comme exigeant un consentement préalable en dehors de l'exception client existant.

L'intérêt légitime peut-il remplacer le consentement pour les cookies ?

Non. L'article 5(3) de la directive ePrivacy fixe sa propre règle de consentement pour le stockage ou la lecture d'informations sur un appareil, avec pour seules exemptions la transmission et la stricte nécessité. Une base légale du RGPD au titre de l'article 6 couvre le traitement des données personnelles qui suit et ne tient pas lieu du consentement de l'article 5(3).

Les lignes directrices de l'EDPB sur l'intérêt légitime sont-elles définitives ?

Le texte publié est la version 1.0, adoptée le 8 octobre 2024 et soumise à consultation publique jusqu'au 20 novembre 2024. La page de l'EDPB consacrée aux lignes directrices 1/2024 affiche toujours la version 1.0. Vérifiez cette page avant de citer les lignes directrices dans une évaluation formelle, car une version révisée la remplacerait.

Quels exemples d'intérêt légitime le RGPD donne-t-il ?

Le considérant 47 cite la relation avec un client ou un salarié comme un cadre où un intérêt légitime pourrait exister, et le considérant 49 ajoute la sécurité des réseaux et de l'information, limitée à ce qui est strictement nécessaire et proportionné. La prévention de la fraude reçoit la formulation la plus ferme : le considérant 47 affirme qu'elle "constitue également un intérêt légitime", sans réserve. La prospection directe reçoit une formulation plus faible : le traitement à des fins de prospection "peut être considéré comme étant réalisé pour répondre à un intérêt légitime", ce qui laisse le test en trois étapes trancher au cas par cas.

Puis-je m'opposer à un traitement fondé sur l'intérêt légitime ?

L'article 21(1) donne à toute personne le droit de s'opposer à tout moment à un traitement fondé sur l'article 6(1)(f), et le responsable doit y mettre fin sauf s'il démontre des "motifs légitimes et impérieux" qui prévalent sur les droits de la personne, un seuil plus élevé que la mise en balance habituelle. Pour la prospection directe, les articles 21(2) et 21(3) suppriment entièrement cette mise en balance : dès que la personne s'oppose, ses données ne peuvent plus être traitées à cette fin. L'article 21(4) exige que le responsable signale ce droit clairement et séparément de toute autre information.

L'intérêt légitime peut-il servir quand aucune autre base légale ne convient ?

Le paragraphe 9 des lignes directrices 1/2024 de l'EDPB l'exclut directement : l'article 6(1)(f) "cannot be considered as a legal basis 'by default'" et n'est pas une "open door" pour un traitement qui ne correspond à aucune autre base. Le même paragraphe rejette aussi l'habitude inverse, le traiter comme un "last resort". Chaque usage garde besoin de son propre test en trois étapes documenté.

Les cookies de mesure d'audience sont-ils exemptés de consentement ?

L'article 5(3) lui-même ne prévoit aucune exemption pour les cookies analytiques, mais la CNIL française en autorise une sous conditions : la finalité limitée à la mesure d'audience, le dernier octet de l'adresse IP tronqué, et la durée de vie du traceur plafonnée à 13 mois. Le Royaume-Uni a pris une autre voie en inscrivant une exemption avec opt-out dans l'annexe 12 du Data (Use and Access) Act 2025, qui permet à un service de stocker ou d'accéder à des informations statistiques sur l'usage si les personnes reçoivent une information claire et un moyen simple de s'y opposer. Cette exemption britannique reste hors du droit de l'UE, puisque le Royaume-Uni n'en fait plus partie.