Intérêt légitime ou consentement : choisir sous le RGPD

Choisir entre intérêt légitime ou consentement ne consiste pas à sélectionner la base qui demande le moins de travail. Chaque fondement répond à des faits différents, produit des droits différents et ne remplace jamais les règles particulières applicables au canal de communication ¹.

Réponse rapide — Intérêt légitime ou consentement dépend de l'opération et du choix réel offert. Le consentement exige une décision libre, spécifique, éclairée, univoque et facilement révocable. L'intérêt légitime exige un intérêt déterminé, la nécessité du traitement et une mise en balance complète. Aucun des deux ne contourne les règles ePrivacy applicables au canal.

La décision doit être faite avant le traitement, reliée aux paramètres réels et révisée lorsqu'une finalité, une donnée, un destinataire ou un canal change. Le nom de la base ne remplace jamais cette chaîne de preuves.

Dernière mise à jour : 26 août 2026.

Commencer par l'opération, pas par la base préférée

Décomposez le projet en opérations observables. Collecter une adresse pour livrer une commande, l'utiliser pour prévenir une fraude et l'ajouter à une campagne sont trois traitements, même si le même champ technique les alimente. Une base choisie pour l'un ne se propage pas automatiquement aux deux autres.

Écrivez la finalité dans des mots qu'un client comprendrait. « Amélioration de l'expérience » masque plusieurs usages possibles ; « mesurer les abandons pendant le paiement pour corriger une erreur d'interface » permet d'examiner la nécessité et les conséquences. Ajoutez les données, la fréquence, les destinataires, la durée et l'effet d'un refus.

Cette décomposition fait parfois apparaître une autre base. Une opération réellement nécessaire à l'exécution du contrat ne doit pas être présentée comme un consentement facultatif ; une conservation imposée par le droit ne disparaît pas au retrait. Le choix doit refléter le mécanisme réel et l'information fournie aux personnes.

Le consentement est un choix, pas un écran d'autorisation

Un consentement valable est libre, spécifique, éclairé et univoque. Il repose sur une action positive et peut être démontré par le responsable ^1,2. Une case précochée, une poursuite de navigation ambiguë ou un bouton unique ne prouve pas que la personne a choisi une finalité définie.

La liberté se juge dans la relation réelle. Un salarié dépendant de son employeur, un client privé d'un service nécessaire ou une personne confrontée à un refus plus difficile que l'acceptation peut ne pas disposer d'un choix véritable. Séparez les finalités lorsqu'elles ne sont pas indissociables et ne conditionnez pas le contrat à une utilisation dont il n'a pas besoin.

L'information précède le signal. Elle nomme le responsable, la finalité, les données, les éventuels tiers et le droit de retrait. Conservez la version affichée, la date, le canal, l'action positive et l'identifiant reliant la preuve à la personne. Une base contenant seulement « accepté = vrai » devient inutilisable lorsque le texte ou les partenaires changent.

Le retrait doit être aussi simple que l'accord et agit pour l'avenir. Il ne rend pas illicite ce qui a été fait avant le retrait ¹. Le système doit propager le signal aux listes, profils, fournisseurs et traitements dérivés concernés ; une préférence modifiée dans l'interface mais ignorée par l'outil d'envoi ne respecte pas le choix.

Le consentement n'est donc pas un refuge contre l'incertitude. Si l'organisation ne peut pas arrêter l'opération après le retrait, elle doit vérifier si une autre base décrit honnêtement le traitement plutôt que de promettre un contrôle qu'elle ne peut pas offrir.

L'intérêt légitime reste un test écrit en trois étapes

L'article 6, paragraphe 1, point f), exige plus qu'une utilité pour l'entreprise. L'intérêt doit être licite, actuel et suffisamment précis ; le traitement doit être nécessaire ; enfin, les intérêts ou droits et libertés des personnes ne doivent pas prévaloir ^1,3.

La nécessité ne signifie pas simple commodité. Demandez si l'intérêt peut être atteint avec moins de données, une fréquence moindre, une conservation plus courte, un échantillon agrégé ou une étape manuelle. Si une solution raisonnable réduit l'atteinte tout en atteignant la finalité, le traitement plus intrusif est difficile à justifier.

La mise en balance tient compte de la relation, des attentes, de la vulnérabilité et des effets cumulatifs. Une donnée publique n'est pas libre de toute protection ; une personne peut avoir publié une coordonnée dans un contexte sans attendre son aspiration dans un profil commercial. Les garanties réduisent l'impact, mais ne transforment pas une finalité indéterminée en intérêt légitime.

Dans l'Union, aucune catégorie d'intérêt légitime ne supprime cette troisième étape. Le droit britannique actuel prévoit une voie supplémentaire pour certains objets spécifiés : la nécessité demeure, mais la mise en balance est écartée. Le RGPD de l'Union n'a pas d'équivalent ; importer cette route rendrait incomplet tout test fondé sur l'article 6, paragraphe 1, point f).

Le propriétaire du test rassemble les preuves avant d'écrire la conclusion. Il interroge le métier sur le résultat attendu, la technique sur les données et les alternatives, le service client sur les attentes et plaintes, puis le DPO ou le rôle désigné sur les droits et vulnérabilités ; chaque affirmation reçoit une source et une date. Une réunion qui conclut collectivement « cela paraît raisonnable » ne produit pas un test reproductible.

Quantifiez lorsque les faits le permettent, sans réduire la balance à un score. Le nombre de personnes, la fréquence, la précision, la durée, le taux d'erreur et l'étendue des destinataires rendent l'exposition visible ; les entretiens, oppositions et attentes apportent un contexte que le chiffre ne capture pas. La conclusion explique pourquoi les droits ne prévalent pas dans la configuration retenue et nomme les faits qui inverseraient ce résultat.

Les garanties doivent modifier réellement le traitement. Une opposition cachée, une pseudonymisation réversible par tous les analystes ou une durée sans tâche de suppression n'allège pas sérieusement l'impact ; une séparation des accès, une collecte en amont plus étroite et une fréquence limitée peuvent le faire. Attribuez chaque garantie, fixez son test et conservez le résultat, car une promesse non exécutée ne peut pas soutenir la balance.

La branche défavorable est une sortie normale. Si une solution moins intrusive atteint la finalité, si les personnes ne peuvent raisonnablement attendre l'opération ou si le préjudice reste disproportionné malgré les garanties, l'intérêt légitime ne s'applique pas dans cette conception. Le responsable modifie ou abandonne le traitement ; il ne sollicite pas automatiquement un consentement dans un contexte où le choix ne serait pas libre.

Comparer les deux fondements par leurs conséquences

Le meilleur choix est celui que l'organisation peut exécuter honnêtement pendant toute la durée du traitement. Comparez les signaux, les preuves et les droits, pas seulement le texte affiché au moment de la collecte.

Le consentement donne un contrôle direct, mais il ne convient pas lorsque l'opération doit continuer malgré un retrait. L'intérêt légitime permet une décision sans solliciter un accord, mais impose une justification substantielle et un mécanisme d'opposition. Ni l'un ni l'autre n'est définitivement acquis.

Séparer la base légale des autres conditions

L'article 6 ne constitue qu'une couche. Des catégories particulières de données exigent également une condition de l'article 9 ; les données relatives aux condamnations et infractions relèvent de l'article 10. Une campagne utilisant un diagnostic médical ne devient pas licite simplement parce qu'une balance commerciale semble favorable.

La transparence, la minimisation, la durée, la sécurité et les droits s'appliquent quelle que soit la base ¹. Un intérêt légitime ne permet pas de collecter plus que nécessaire, et un consentement n'autorise pas une conservation indéfinie. Reliez chaque décision au registre, à l'information, aux paramètres du système et à un déclencheur de suppression.

Le canal crée une autre analyse. La directive 2002/58/CE encadre les communications électroniques et l'accès ou le stockage d'informations sur les équipements ; chaque État membre la met en œuvre dans son droit ⁴. Une base RGPD valable ne neutralise donc pas une obligation de consentement applicable à un traceur ou à une communication.

Enfin, vérifiez si une relation transfrontière modifie la supervision, sans changer le texte commun de l'article 6. En France, la Commission nationale de l'informatique et des libertés (CNIL) est l'autorité à contacter pour les traitements relevant de sa compétence.

La base légale ne remplace pas davantage l'analyse de compatibilité lorsqu'une donnée est réutilisée. Le propriétaire compare la nouvelle finalité avec le contexte de collecte, la relation, la nature des données, les conséquences et les garanties, puis actualise l'information ; une finalité incompatible exige une autre autorisation valable ou l'abandon de la réutilisation. Une proximité commerciale entre deux usages ne constitue pas une preuve.

Les décisions automatisées et le profilage ajoutent leurs propres conditions. Un score fondé sur l'intérêt légitime reste soumis à la transparence, à l'exactitude, aux droits et, lorsque l'article 22 s'applique, aux règles relatives aux décisions produisant des effets juridiques ou similaires significatifs ¹. Le dossier nomme les entrées, les erreurs possibles, l'intervention humaine et la contestation, au lieu de laisser la base légale absorber ces obligations.

Les transferts internationaux forment encore une couche distincte. Une base de l'article 6 autorise éventuellement la finalité, mais ne fournit pas le mécanisme de transfert du chapitre V. Le responsable cartographie le destinataire, la localisation, le mécanisme et les mesures supplémentaires, puis bloque l'envoi si cette couche manque, même lorsque le consentement ou la balance est par ailleurs valable.

Avant le lancement, un contrôle de cohérence compare le registre, l'avis d'information, la configuration, le contrat fournisseur, la durée et la procédure de droits. Toute divergence reçoit un propriétaire et empêche la mise en production de l'opération concernée ; valider la base sur papier tout en laissant le système poursuivre une autre finalité ne satisfait pas au principe de responsabilité.

La règle ePrivacy peut décider du canal en premier

Pour un courriel, un SMS, un appel ou un traceur, commencez par la règle sectorielle applicable au canal. Elle peut exiger un consentement préalable ou prévoir une exception étroite. Ce résultat ne choisit pas automatiquement la base de tout traitement ultérieur, mais il détermine si le canal peut être utilisé.

Cartographiez la technologie réelle : traceur déposé, identifiant lu, destinataire, objectif, durée et possibilité de retrait. Le nom marketing d'un outil, tel que « analytics essentiel », n'établit aucune exemption. Les dispositions nationales mettant en œuvre la directive peuvent varier ; une page européenne partagée doit signaler cette vérification sans inventer un résultat national unique.

Après la question du canal, appliquez le RGPD aux données personnelles générées. Un consentement ePrivacy peut fournir le signal pertinent pour une base de consentement, mais les finalités doivent rester alignées. Si le traitement repose sur les intérêts légitimes après l'accès autorisé, documentez les trois étapes complètes et l'opposition.

Construisez une matrice par canal et par finalité. Elle indique la règle ePrivacy nationale vérifiée, l'éventuelle exception, le signal recueilli, la base RGPD du traitement ultérieur, la durée et la procédure de retrait ou d'opposition ; elle cite la version de la règle et la personne qui l'a validée. Cette séparation empêche qu'un accord pour déposer un traceur soit interprété comme un accord général à toutes les analyses futures.

La branche négative doit empêcher techniquement l'accès ou l'envoi avant qu'il se produise. Un refus de traceur laisse les technologies facultatives inactives, un canal sans permission exclut la personne de la campagne et une opposition se propage chez le fournisseur ; un journal d'essai démontre le comportement sur un navigateur neuf, un compte existant et un appareil secondaire. Un texte conforme accompagné d'une requête réseau prématurée reste une défaillance.

Suivez séparément les changements du RGPD et des mises en œuvre ePrivacy. Une modification nationale du canal peut changer l'autorisation de communiquer sans modifier le test de l'article 6, tandis qu'une nouvelle finalité peut invalider la balance sans changer la règle du canal. Deux propriétaires coordonnés, ou un registre à deux colonnes d'autorité, évitent qu'une conclusion ancienne soit étendue par défaut.

Examiner une relance commerciale ordinaire

Une entreprise souhaite écrire à une ancienne cliente au sujet d'un service voisin. Elle décrit d'abord l'opération : adresse utilisée, temps écoulé, relation antérieure, produit proposé, fréquence et fournisseur d'envoi. Elle vérifie ensuite la règle nationale ePrivacy du courriel au lieu de supposer que l'article 6 suffit.

Si le canal exige le consentement et qu'aucun signal valable ne couvre cette finalité, la relance ne part pas. Si une exception nationale applicable autorise le canal, l'entreprise examine encore la base RGPD, les attentes de la cliente, la nécessité d'utiliser ces données et la facilité d'opposition. Une mention enfouie dans d'anciennes conditions ne remplace ni le contrôle du canal ni le test.

Le dossier fixe une durée courte liée à la relation, exclut les personnes opposées, limite la fréquence et teste la suppression chez le fournisseur. L'exemple montre pourquoi « consentement ou intérêt légitime » n'est pas un duel abstrait : canal, base, transparence et exécution forment plusieurs décisions reliées.

Avant le premier envoi, l'équipe tire un échantillon de destinataires et vérifie la relation, la date, le produit, le canal, l'information et l'absence d'opposition. Elle simule ensuite un refus : l'identifiant doit rejoindre la liste d'exclusion, disparaître du prochain fichier fournisseur et ne pas revenir lors d'un nouvel import. Le propriétaire conserve l'échantillon, les résultats et la correction de chaque anomalie.

Si l'entreprise souhaite enrichir la liste avec des données achetées, l'opération change. La source, les attentes, l'information, les destinataires et la règle du canal doivent être réévalués ; l'analyse limitée à l'ancienne relation ne s'étend pas par proximité commerciale. En l'absence de permission ou de balance favorable, le fichier n'est pas chargé et la preuve de cette décision reste dans le dossier.

Retrait et opposition demandent deux procédures

Les équipes doivent reconnaître le signal sans obliger la personne à employer le bon terme. « Arrêtez de m'envoyer vos offres » est une opposition à la prospection, même si le formulaire interne l'appelle désinscription. « Je retire mon accord pour l'analyse facultative » vise le consentement.

Ne supprimez pas la preuve minimale nécessaire pour respecter le signal. Une liste d'exclusion peut conserver un identifiant limité précisément afin d'empêcher une nouvelle prospection ; elle ne doit pas devenir un profil actif. Définissez aussi le traitement des imports, des sauvegardes et des fournisseurs.

Le propriétaire des préférences tient une carte de propagation indiquant chaque système, fournisseur, délai et accusé attendu. Un retrait bloque immédiatement les nouvelles opérations dépendantes, puis déclenche la suppression ou la limitation des copies selon leur finalité ; une opposition à la prospection alimente une exclusion persistante avant le prochain envoi. Les échecs remontent dans une file surveillée au lieu d'être masqués par une synchronisation globale marquée comme réussie.

Une demande peut mélanger plusieurs signaux. « Retirez mon accord et ne me contactez plus » appelle le retrait pour les finalités consenties et l'opposition à la prospection fondée autrement ; la réponse confirme chaque effet sans prétendre que l'un remplace l'autre. Si un traitement non promotionnel continue sur un intérêt légitime, l'organisation l'explique et examine séparément les motifs liés à la situation particulière.

La revue vérifie enfin la branche négative : aucune opération arrêtée ne repart après une migration, une nouvelle agence ou une restauration de sauvegarde. Un échantillon périodique compare les listes sources, la plateforme d'envoi et les journaux ; tout retour indésirable reçoit une cause, une correction et un propriétaire.

Rendre la décision exploitable par une autre personne

Le dossier final commence par la finalité et l'opération, puis nomme la base retenue. Pour un consentement, il montre la liberté du choix, la séparation des finalités, l'information, l'action positive, la preuve et le retrait. Pour un intérêt légitime, il montre intérêt, nécessité, mise en balance, garanties et opposition.

Ajoutez les autres couches : article 9 ou 10, règle ePrivacy du canal, destinataires, transferts, durée, sécurité et information. Une conclusion juridique isolée ne permet pas à l'équipe technique de configurer le produit ni au service client de répondre à un signal. Traduisez chaque condition en paramètre, propriétaire et test.

Prévoyez des déclencheurs de révision : nouvelle finalité, nouvelle donnée, nouvel algorithme, changement de destinataire, extension géographique, hausse de fréquence ou résultats montrant un effet inattendu. Le digest européen des décisions relatives aux intérêts légitimes montre l'importance des faits et de la mise en œuvre, au-delà d'une formule standard ⁵.

Un enregistrement exploitable conserve aussi les alternatives rejetées. Pour chacune, il indique l'effet sur la finalité, l'intrusion évitée, le coût ou la limite factuelle et la personne ayant vérifié l'hypothèse ; « impossible techniquement » doit renvoyer à une contrainte démontrée, pas à une préférence de conception. Cette trace permet de reprendre la nécessité lorsque la technologie ou le volume change.

Reliez ensuite les conditions aux contrôles. La minimisation devient une liste de champs autorisés, la durée une échéance calculable, la transparence une version déployée, l'opposition un test de propagation et la limitation d'accès une matrice comparée aux comptes réels. Chaque contrôle produit un résultat, une exception, un propriétaire et une date de correction ; le test juridique devient ainsi une décision que le système peut exécuter.

La validation distingue les rôles. Le métier atteste la finalité et les volumes, la technique les flux et garanties, le DPO ou le rôle désigné examine les droits et le responsable du traitement approuve la conclusion ; une personne indépendante relit les changements à risque élevé. L'absence d'un avis n'est pas convertie silencieusement en accord.

Conservez la branche d'arrêt avec la même précision. Si le consentement n'est pas libre ou prouvable, l'opération ne démarre pas sur cette base ; si la balance est défavorable, la conception est réduite ou abandonnée ; si le canal manque d'autorisation, aucun message ni traceur ne part. Le registre nomme l'état bloqué et les conditions exactes d'une éventuelle réouverture.

À chaque révision, comparez les preuves actuelles plutôt que de recopier la conclusion précédente. Des plaintes, un taux d'erreur supérieur, un nouveau partenaire ou une opposition fréquente peuvent modifier les attentes et les effets ; une réduction de données ou un meilleur contrôle peut au contraire rendre une nouvelle conception acceptable. La version précédente reste accessible pour expliquer la trajectoire.

Vérifiez ensuite la réalité. Un échantillon de retrait doit disparaître du prochain envoi ; une opposition doit survivre à une réimportation ; une durée doit produire une suppression ; une interface ne doit pas présenter l'acceptation comme plus facile que le refus lorsque le choix doit être libre. Conservez les résultats et corrigez les écarts.

Le droit britannique et celui de l'Union partagent une grande partie de cette logique, mais divergent sur la route supplémentaire des intérêts reconnus prévue au Royaume-Uni. Une organisation opérant dans les deux ordres conserve donc des décisions distinctes pour cette branche, tout en évitant de présenter l'exception britannique comme une catégorie de l'article 6 du RGPD de l'Union.

Une décision est terminée lorsqu'une autre personne peut comprendre la finalité, reproduire le raisonnement, faire fonctionner le signal et savoir quand reprendre l'analyse. Sans cette chaîne, « consentement » et « intérêt légitime » restent des mots inscrits dans un registre plutôt que des règles appliquées au traitement.