Chapitre 4.4 — L’intérêt légitime

⏱️ TL;DR — L’intérêt légitime (art. 6.1.f) est la base la plus souple : pas besoin de consentement, pas besoin d’une loi. Mais elle se mérite par un test de mise en balance en trois étapes : (1) l’intérêt est-il légitime ? (2) le traitement est-il nécessaire pour l’atteindre ? (3) cet intérêt l’emporte-t-il sur les droits et attentes des personnes ? Le test doit être documenté (accountability), et la personne conserve un droit d’opposition (art. 21). Interdits : les données sensibles, et une grande prudence avec les mineurs.

🎯 Objectifs

Savoir quand l’intérêt légitime est mobilisable (et quand il ne l’est pas).
Dérouler le test de mise en balance en trois étapes.
Documenter ce test pour prouver ta conformité.
Prévoir et respecter le droit d’opposition (art. 21).
Retenir les interdits : données sensibles, prudence renforcée avec les mineurs.

Souple, mais pas gratuite

L’intérêt légitime autorise un traitement quand le responsable (ou un tiers) poursuit un intérêt réel et légitime, sans passer par le consentement ni par une obligation légale. C’est pratique — mais c’est justement parce qu’elle ne demande rien à la personne que cette base impose au responsable de faire lui-même le travail : prouver que son intérêt ne piétine pas les droits des gens. Ce travail, c’est le test de mise en balance (souvent appelé LIA, legitimate interest assessment).

Exemples classiques où l’intérêt légitime tient (sous réserve du test) :

Sécurité du système d’information : journaux de connexion, détection d’intrusion.
Prévention de la fraude : repérer des inscriptions ou paiements frauduleux.
Prospection B2B : démarcher des professionnels sur leur adresse professionnelle, en lien avec leur activité.
Mesure d’audience : statistiques de fréquentation (attention : côté cookies, des règles ePrivacy spécifiques s’ajoutent — Partie 7).

Le test de mise en balance, en 3 étapes

Le test s’enchaîne dans l’ordre. Si une étape échoue, on s’arrête : l’intérêt légitime ne peut pas servir de base.

Étape	La question	Ce qu’on vérifie
1. Finalité légitime	L’intérêt est-il licite, réel, précis ?	Pas un prétexte vague ; un intérêt qu’on peut nommer et défendre (sécurité, anti-fraude…).
2. Nécessité	Le traitement est-il nécessaire et proportionné ?	Pas de moyen moins intrusif d’atteindre le même but ; données minimisées.
3. Équilibre	L’intérêt l’emporte-t-il sur les droits et attentes des personnes ?	On pèse l’impact sur les personnes, leurs attentes raisonnables, les garanties offertes.

L’étape 3 est la plus délicate. On se met à la place de la personne : s’attend-elle raisonnablement à ce traitement au moment où elle donne ses données ? Un utilisateur s’attend à ce qu’on sécurise le service ; il ne s’attend pas à être profilé pour de la publicité. Plus l’impact est fort et l’attente faible, plus la balance penche contre le responsable — et l’intérêt légitime tombe.

⚠️ Piège — Cocher « intérêt légitime » dans le registre sans avoir fait le test, parce que c’est la case la plus commode. L’intérêt légitime non documenté est un intérêt légitime inexistant aux yeux de la CNIL. La souplesse de la base se paie en écrit : pas de LIA, pas de base.

Documenter le test (accountability)

Le test doit exister sur papier (ou en base) : c’est ce qui transforme une intuition en base légale opposable. Garde une fiche par traitement fondé sur l’intérêt légitime.


# LIA — Analyse d'intérêt légitime
Traitement       : Journaux de connexion (sécurité du SI)
Finalité         : Détecter et bloquer les accès malveillants
 
## 1. Intérêt légitime
Sécuriser les comptes et les données des apprenants. Intérêt réel,
précis, licite. Répond aussi à une obligation de sécurité (art. 32).
 
## 2. Nécessité
Journalisation limitée aux métadonnées utiles (horodatage, IP, action).
Pas de contenu des sessions. Aucun moyen moins intrusif équivalent.
Durée de conservation : limitée puis purge automatique.
 
## 3. Mise en balance
Impact faible sur les personnes ; attente raisonnable qu'un service
en ligne se protège. Garanties : accès restreint, pas de profilage,
information dans les mentions, droit d'opposition ouvert.
 
Conclusion : intérêt légitime VALABLE. Réexamen si la finalité change.

💡 Réflexe — Écris la LIA avant de déployer, pas après une plainte. Une fiche d’une demi-page qui répond aux trois questions suffit, à condition d’être sincère — surtout à l’étape 3. Range-la avec la fiche de registre correspondante (Partie 11) : le jour d’un contrôle, tu sors les deux ensemble.

Le droit d’opposition (art. 21)

Contrepartie directe de la souplesse : quand un traitement repose sur l’intérêt légitime, la personne peut s’y opposer pour des raisons tenant à sa situation particulière (art. 21). Tu dois alors cesser le traitement, sauf à démontrer des motifs légitimes impérieux qui prévalent. Cas particulier : pour la prospection, l’opposition est absolue — aucune justification à opposer, on arrête.

Concrètement, un traitement en intérêt légitime doit être codé pour pouvoir s’arrêter au cas par cas : un mécanisme d’opposition, une manière de sortir une personne du traitement sans casser le reste. C’est là qu’on ne bascule pas vers une autre base pour continuer malgré l’opposition (rappel du chapitre 4.1).

Les interdits

Données sensibles (art. 9 : santé, opinions, biométrie, orientation…) : l’intérêt légitime n’est jamais une base suffisante. Ces données relèvent du régime spécial de l’article 9 (souvent consentement explicite) — Partie 5. Ne « sauve » jamais un traitement de données sensibles par un intérêt légitime.
Mineurs : la prudence est de rigueur. Les enfants font l’objet d’une protection renforcée ; à l’étape 3 du test, leurs intérêts pèsent plus lourd et leurs attentes se jugent plus strictement. En pratique, l’intérêt légitime envers des mineurs ne passe qu’exceptionnellement et avec de solides garanties. On y revient en Partie 5.

🧭 Sur FormaCampus — FormaCampus fonde ses journaux de sécurité et sa détection de fraude sur l’intérêt légitime, avec une LIA rédigée pour chacun et rangée au registre. Pour la prospection B2B (démarcher des responsables formation d’entreprises), même logique : intérêt légitime, test documenté, et lien de désabonnement/opposition dans chaque message. En revanche, pour tout ce qui touche aux aménagements de handicap des apprenants (donnée de santé, donc sensible) ou aux élèves mineurs, elle n’utilise pas l’intérêt légitime : elle bascule vers le régime adapté (Partie 5).

📚 Le texte — Art. 6.1.f : traitement « nécessaire aux fins des intérêts légitimes poursuivis par le responsable ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée, notamment lorsque celle-ci est un enfant ». Le droit d’opposition est à l’art. 21. La mention explicite de l’enfant, dans le texte même, fonde la prudence renforcée.

✏️ Exercices

Exercice 1 — La base tient-elle ? Pour chaque cas, dis si l’intérêt légitime peut fonder le traitement : (a) journaliser les IP pour bloquer les attaques ; (b) analyser les données de santé (aménagements de handicap) des élèves pour « améliorer le service » ; (c) démarcher des responsables formation d’entreprises sur leur e-mail professionnel.

✅ Solution

(a) Oui, sous réserve du test documenté — sécurité du SI, impact faible, attente raisonnable. (b) Non — donnée sensible (santé, art. 9) : l’intérêt légitime est exclu, il faut le régime de l’article 9 (Partie 5). (c) Oui, potentiellement — prospection B2B, si le test passe et que le droit d’opposition est offert dès le premier message. Le contraste (a)/(b) montre la limite dure : jamais d’intérêt légitime sur du sensible.

Exercice 2 — Rédige la mise en balance. FormaCampus veut analyser les logs pour détecter les fraudes au paiement. Déroule les trois étapes en une phrase chacune.

✅ Solution

1. Légitime : prévenir la fraude au paiement est un intérêt réel, précis et licite. 2. Nécessaire : on analyse les seules métadonnées de transaction utiles, sans collecte excessive, faute de moyen moins intrusif équivalent. 3. Équilibre : impact limité sur les personnes honnêtes, attente raisonnable qu’un service sécurise ses paiements, avec information et droit d’opposition — l’intérêt l’emporte. Conclusion : base valable, à documenter et à réexaminer si la finalité change.

Exercice 3 — L’opposition arrive. Un utilisateur s’oppose à la mesure d’audience fondée sur l’intérêt légitime. Un collègue veut « la refonder sur le consentement pour continuer sans rien changer ». Quelle est la bonne réponse ?

✅ Solution

On n’invente pas une nouvelle base pour contourner l’opposition. Sur un intérêt légitime, l’opposition motivée par la situation particulière de la personne oblige à cesser le traitement pour elle, sauf motifs légitimes impérieux à démontrer. La bonne réponse : retirer cette personne du traitement, pas requalifier le traitement en consentement après coup. Le changement de base opportuniste est traité au chapitre 4.5.

🧠 Quiz de révision

1. Quelles sont les trois étapes du test de mise en balance ?

1. Finalité légitime (intérêt réel, précis, licite), 2. Nécessité (pas de moyen moins intrusif, données minimisées), 3. Équilibre (l’intérêt l’emporte-t-il sur les droits et attentes des personnes ?). Si une étape échoue, la base tombe.

2. Que se passe-t-il si le test n’est pas documenté ?

L’intérêt légitime est inopposable : non documenté, il est réputé inexistant face à la CNIL. La souplesse de la base se paie en écrit — une fiche LIA par traitement, rangée au registre.

3. Peut-on fonder un traitement de données de santé sur l’intérêt légitime ?

Non, jamais. Les données sensibles (art. 9) relèvent d’un régime spécial (souvent consentement explicite). L’intérêt légitime ne « sauve » pas un traitement de données sensibles.

4. Quel droit accompagne toujours l’intérêt légitime ?

Le droit d’opposition (art. 21) : la personne peut s’opposer pour des raisons tenant à sa situation particulière. Pour la prospection, l’opposition est absolue — on arrête sans discuter.

5. Pourquoi redoubler de prudence avec les mineurs ?

Parce que le texte lui-même (art. 6.1.f) vise l’enfant comme cas où les droits de la personne peuvent prévaloir. À l’étape 3, leurs intérêts pèsent plus lourd : l’intérêt légitime envers des mineurs ne passe qu’exceptionnellement, avec de solides garanties.

Chapitre suivant : Intérêt vital, mission publique & choisir sa base — les deux dernières bases, et l’atelier de synthèse : choisir la bonne base, et surtout ne pas en changer pour se rattraper.