Ce qu’exige réellement l’art. 6(1)(f)
L’intérêt légitime autorise un traitement dont un responsable du traitement a besoin pour poursuivre un intérêt réel qui lui est propre, à condition que les intérêts et les droits de la personne concernée ne prévalent pas. Les autorités de contrôle l’interprètent comme un test en trois étapes : existe-t-il une finalité légitime, le traitement est-il nécessaire pour l’atteindre et la mise en balance est-elle favorable au responsable du traitement ?
Ce test est un exercice de documentation, et non une simple formalité. Vous devez avoir consigné votre raisonnement par écrit avant le début du traitement et être en mesure de le présenter sur demande. Cette page propose une explication en termes simples, et non un avis juridique — il revient à votre propre conseil en matière de protection des données de prendre la décision finale.
Étape 1 — finalité
La finalité est ici celle des activités commerciales et marketing B2B courantes : déterminer quelles entreprises manifestent de l’intérêt pour votre offre afin de pouvoir relancer celles qui comptent et de ne plus faire de suppositions concernant les autres. Il s’agit d’un intérêt commercial reconnu, et c’est la même raison d’être que celle des salons professionnels, du marketing par comptes et de la prospection téléphonique.
Pour le dossier, c’est la précision qui compte. « Améliorer le marketing » est trop vague pour être évalué ; « identifier les entreprises qui consultent nos pages de tarifs et de produits afin que l’équipe commerciale puisse prioriser les relances » est une finalité que vous pouvez réellement évaluer.
Étape 2 — nécessité
La nécessité consiste à déterminer si le traitement est un moyen raisonnable d’atteindre cette finalité et s’il existe une solution moins intrusive. Les analyses web agrégées ne permettent pas de savoir quelle entreprise était intéressée ; les formulaires ne captent que la faible proportion de visiteurs disposés à les remplir. L’identification au niveau de l’entreprise est l’option la moins intrusive qui permette néanmoins de répondre à la question, car elle s’arrête à l’organisation.
La nécessité limite également la portée du traitement. Traiter plus de données que nécessaire — par exemple en identifiant des personnes ou en conservant les données bien plus longtemps que votre cycle de vente — affaiblit l’argument de nécessité, même lorsque la finalité est valable.
Étape 3 — mise en balance
La mise en balance confronte les droits et les attentes raisonnables du visiteur à votre intérêt. Trois caractéristiques de l’identification au niveau de l’entreprise font pencher cette balance en votre faveur : le résultat est une personne morale plutôt qu’une personne physique, les données ne sont pas combinées dans des profils intersites et le traitement a lieu dans l’UE sur une infrastructure que vous pouvez examiner avant de vous engager.
La transparence et le contrôle complètent l’ensemble. lead.box vous fournit un paragraphe prêt à l’emploi pour votre politique de confidentialité afin de déclarer le traitement, ainsi qu’une page publique d’opposition permettant à tout visiteur de s’y opposer ; les entreprises peuvent en outre demander une opposition au niveau de l’entreprise. Nous conservons un test de mise en balance documenté et le communiquons sur demande, afin que votre propre évaluation ne parte pas d’une page blanche.
Questions associées
Examinez les documents avant d’acheter
Le DPA, la liste des sous-traitants ultérieurs et le paragraphe destiné à la politique de confidentialité sont tous publics, afin que l’examen juridique puisse avoir lieu pendant l’essai gratuit de 14 jours — sans carte bancaire.