L’intérêt légitime — art. 6(1)(f) du RGPD — est la base juridique la plus utile, mais aussi la plus mal comprise du règlement. Les spécialistes du marketing y ont recours parce qu’elle ne nécessite pas de bannière de consentement ; les autorités de contrôle l’examinent attentivement, car elle ne doit pas devenir une autorisation générale. Cet article explique ce que prévoit réellement cet article, le test en trois étapes attendu par les autorités, un exemple concret d’identification des visiteurs à l’échelle de l’entreprise et les limites à respecter.
Ce que dit réellement l’art. 6(1)(f)
Cet article autorise le traitement de données à caractère personnel lorsqu’il est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée ». Deux termes concentrent l’essentiel de l’enjeu — « nécessaire » et « prévalent » — tandis qu’un troisième pilier, non écrit mais attendu, s’y ajoute : votre intérêt légitime doit lui-même être licite. Si l’un de ces trois critères n’est pas rempli, cette base juridique ne peut pas être invoquée.
L’autorité de contrôle ne se prononce pas à votre place. C’est à vous d’effectuer l’analyse, de la consigner et, en cas de contestation, de la produire. Il n’existe ni dépôt, ni enregistrement, ni approbation — mais vous ne disposez d’aucun moyen de défense si la mise en balance n’a pas réellement été effectuée.
Le test de mise en balance en trois étapes
Les autorités européennes de protection des données convergent vers le même cadre en trois étapes, parfois appelé LIA (Legitimate Interests Assessment, ou analyse des intérêts légitimes). Chaque étape doit être validée.
- Test de finalité — l’intérêt est-il licite, précis et réel ? Une formule générique comme « nous voulons vendre davantage » ne suffit pas. En revanche, « identifier les entreprises qui visitent notre site web B2B afin de transmettre des informations pertinentes au bon décisionnaire » convient.
- Test de nécessité — le traitement constitue-t-il le moyen le moins intrusif d’atteindre la finalité ? Si une méthode moins intrusive pouvait fonctionner (statistiques agrégées, newsletter avec inscription volontaire, formulaire), elle devrait être privilégiée. La nécessité signifie que vous ne pouvez raisonnablement pas procéder autrement.
- Test de mise en balance — les intérêts, droits et libertés de la personne concernée prévalent-ils sur les vôtres ? Tenez compte de ses attentes raisonnables, de la nature des données, de leur sensibilité, du contexte dans lequel elles ont été collectées et des garanties que vous appliquez.
Exemple concret : identification des visiteurs par entreprise
Imaginons qu’une entreprise SaaS B2B opérant dans l’UE souhaite identifier les organisations à l’origine des visites sur son site web — une identification à l’échelle de l’entreprise, sans cookies ni identifiants personnels. Voici, étape par étape, à quoi ressemble une LIA défendable.
Étape 1 — Finalité
La finalité consiste à identifier les entreprises qui recherchent activement un service B2B afin de leur envoyer des informations pertinentes et ciblées (un e-mail personnalisé, une étude de cas ou une invitation à un échange de quinze minutes). Cette finalité est licite, précise et réelle. Il ne s’agit pas de collecter des données « au cas où ».
Étape 2 — Nécessité
La finalité pourrait-elle être atteinte de façon moins intrusive ? Les statistiques agrégées répondent à la question « combien ? », mais pas à « quelles entreprises ? » — elles ne permettent donc pas d’atteindre la finalité. Une newsletter générique touche les abonnés qui ont choisi de s’inscrire, mais pas les entreprises qui effectuent actuellement des recherches. Un formulaire ne recueille que les informations de la faible proportion de visiteurs qui choisissent de les communiquer. L’identification à l’échelle de l’entreprise, qui associe l’adresse IP à une organisation sans utiliser d’identifiant personnel, constitue un moyen proportionné et nécessaire d’atteindre la finalité déclarée.
Étape 3 — Mise en balance
Attentes raisonnables : les visiteurs professionnels qui consultent, dans le cadre de leur travail, le site web d’un service B2B s’attendent généralement à ce que l’exploitant du site sache qu’une entreprise — mais pas nécessairement une personne — l’a visité. Nature des données : l’entité identifiée est une personne morale (une organisation), et non une personne physique. Sensibilité : aucune catégorie particulière de données n’est concernée. Contexte : les données ont été collectées sur le propre site web du responsable du traitement, dans le cadre normal de son activité. Garanties : aucun cookie, aucune prise d’empreinte numérique, aucun suivi intersites et aucun profil du visiteur individuel ; une procédure d’opposition accessible pour l’entreprise identifiée ; une politique de confidentialité publique expliquant précisément ce qui se passe.
Au vu de cette mise en balance, l’intérêt du responsable du traitement à transmettre des informations pertinentes à un décisionnaire ne prévaut pas, dans un contexte B2B ordinaire, sur les intérêts, droits et libertés de la personne concernée. Un autre traitement — par exemple un suivi individuel ou la réutilisation des données pour les vendre à des tiers — ferait pencher la balance dans l’autre sens. L’analyse porte précisément sur ce que vous faites réellement.
À quoi ressemble concrètement la documentation
Une LIA défendable est un document court et daté — généralement de deux à quatre pages — validé par une personne nommément désignée. Voici la structure acceptée par la plupart des autorités européennes de protection des données.
| Section | Contenu | Longueur |
|---|---|---|
| En-tête | Nom et adresse du responsable du traitement, coordonnées du DPO le cas échéant, date d’entrée en vigueur | 1 ligne chacun |
| Finalité | Intérêt précis, licite et réel — un paragraphe | ~100 mots |
| Nécessité | Solutions alternatives envisagées et raisons pour lesquelles elles ne répondent pas à la finalité | ~150 mots |
| Mise en balance | Attentes raisonnables, nature, sensibilité, contexte, garanties | ~300 mots |
| Garanties | Mesures concrètes : opposition, conservation, aucun identifiant personnel, DPA avec les sous-traitants | ~150 mots |
| Révision | Validé par (nom, fonction) ; date de la prochaine révision (annuelle) | 2 lignes |
Ce qui diffère selon les pays
L’art. 6(1)(f) s’applique uniformément dans toute l’UE, mais le volet ePrivacy — en Allemagne, l’art. 25 du TDDDG — détermine si vous pouvez stocker ou lire des informations sur l’équipement terminal : cookies, stockage local, prise d’empreinte numérique. L’identification à l’échelle de l’entreprise sans aucun stockage côté client ne relève pas de l’obligation de consentement prévue par l’art. 25 ; l’introduction de tout identifiant côté client vous fait basculer dans le champ du consentement, quelle que soit la base invoquée au titre de l’art. 6.
Quand le consentement — et non l’intérêt légitime — est la bonne base
L’intérêt légitime ne remplace pas systématiquement le consentement. Le consentement (art. 6(1)(a)) devient la base appropriée dans au moins trois situations B2B courantes.
- Dès que des informations sont stockées sur l’appareil du visiteur ou lues depuis celui-ci au-delà de ce qui est strictement nécessaire — cookie de suivi, identifiant localStorage, empreinte numérique — ePrivacy/l’art. 25 du TDDDG impose le consentement, quelle que soit la base invoquée au titre de l’art. 6.
- Le traitement de données à caractère personnel de personnes physiques à des fins de publicité comportementale, de profilage intersites ou de revente à des tiers. Ces usages dépassent largement le cadre d’un intérêt proportionné à la prise de contact B2B.
- Les catégories particulières de données (art. 9) — santé, opinions politiques, données biométriques — ne sont jamais couvertes par l’intérêt légitime ordinaire ; une base spécifique prévue par l’art. 9 est requise en plus de l’art. 6.
Une checklist opérationnelle
- Vous disposez d’une LIA écrite et datée couvrant le traitement concerné.
- Votre politique de confidentialité explique clairement que vous identifiez des entreprises — et non des personnes — ainsi que la raison de cette identification.
- Vous proposez une procédure d’opposition accessible et vous la respectez : les entreprises sont supprimées dans un délai défini et ne sont pas identifiées de nouveau.
- Vous avez signé un DPA avec chaque sous-traitant qui intervient sur les données.
- Vous révisez la LIA chaque année ou lorsque le traitement évolue de manière substantielle.
Cet article est fourni à titre pédagogique et ne constitue pas un avis juridique. Pour obtenir une évaluation contraignante de vos propres traitements, consultez un juriste qualifié dans votre juridiction.
Published by
lead.box Team
More articles
Découvrez lead.box sur votre propre trafic
Démarrez gratuitement — sans carte bancaire, sans appel commercial obligatoire. Ou réservez une présentation guidée de 20 minutes.