Tout traitement de données à caractère personnel repose sur une base légale. Le Règlement Général sur la Protection des Données (RGPD) prévoit dans son article 6, six bases légales. A savoir : le consentement, la préparation ou l’exécution d’un contrat, la sauvegarde d’intérêts vitaux, l’obligation légale, la mission d’intérêt public et enfin dont l’intérêt légitime. Cette dernière base donne parfois l’impression d’être une rubrique « fourretout » notamment dans des traitements de données à vocation commerciale. Beaucoup de responsables de traitement la perçoivent comme une option flexible. Or ce n’est pas le cas. L’intérêt légitime nécessite une bonne appréhension. Puis il est important de prendre conscience de ses limites.
L’intérêt légitime comme base légale d’un traitement de données
Comprendre l’intérêt légitime
Dans la pratique, on définit l’intérêt légitime comme un avantage ou un bénéfice recherché par le responsable du traitement. Il doit être conforme au droit, à la raison et à l’équité.
Cette base légale permet de traiter des données personnelles lorsque le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers. A condition que ces intérêts ne prévalent pas sur les intérêts ou les libertés et droits fondamentaux de la personne concernée.
Pour pouvoir utiliser l’intérêt légitime comme base légale, la CNIL énonce 3 conditions :
- l’intérêt est manifestement licite au regard du droit ;
- il doit être suffisamment claire et précise ;
- il est réel et présent pour l’organisme concerné, et non fictif.
Il est crucial de noter que l’utilisation de l’intérêt légitime comme base légale nécessite toujours une évaluation au cas par cas. Le responsable du traitement doit en conséquence :
- Identifier clairement l’intérêt légitime poursuivi.
- Démontrer que le traitement est nécessaire pour atteindre cet intérêt.
De plus, le responsable de traitement, accompagné d’un délégué à la protection des données doit trouver l’équilibre entre son intérêt et les droits et libertés fondamentaux des personnes concernées.
Également, le responsable de traitement doit informer les personnes concernées du traitement de leurs données basé sur l’intérêt légitime. Il doit également leur rappeler qu’ils ont la possibilité de s’y opposer dans certaines circonstances.
En conclusion, bien que l’intérêt légitime offre une certaine flexibilité. Son utilisation requiert une analyse approfondie et une justification solide pour chaque traitement de données envisagé.
Cas concrets
Les responsables de traitement ont recours à l’intérêt légitime dans plusieurs domaines. On peut citer le commercial, les ressources humaines, la relation client et la sécurité. Bien entendu cette liste n’est pas exhaustive. Voici donc quelques exemples
Activités commerciales
En matière de prospection commerciale B to B, les entreprises peuvent utiliser l’intérêt légitime, si l’organisation du traitement est conforme à la loi et au RGPD.
L’objectif d’améliorer des produits et services est un intérêt légitime à condition d’en faire un usage de manière proportionnée.
Ressources humaines
Une entreprise peut invoquer l’intérêt légitime pour mettre en place des procédures de contrôle d’accès spécifiques visant à protéger la santé et la sécurité de ses employés. Exemple dans une centrale nucléaire.
Également, des responsables RH peuvent relever de l’intérêt légitime, pour l’évaluation des performances ou la planification des effectifs.
Sécurité et prévention de la fraude
Les entreprises peuvent invoquer l’intérêt légitime pour mettre en place des mesures techniques et organisationnelles. A condition que les traitements visent à assurer la sécurité de leurs systèmes informatiques et à protéger les données personnelles des utilisateurs.
L’utilisation de données personnelles pour détecter et prévenir les activités frauduleuses est généralement considérée comme un intérêt légitime.
La relation client
L’intérêt légitime peut justifier la réalisation d’enquêtes de satisfaction auprès des clients. En effet, il est dans l’intérêt d’une l’entreprise de mesurer la qualité de ses services et produits afin de les améliorer. Il en est de même pour analyser les besoins des clients.
L’intérêt légitime est utilisable comme base légale en vertu de l’article 6 du RGPD. Toutefois son utilisation présente des limites et il est préférable de l’utiliser avec des précautions.
Limites et précautions
Les limites de l’intérêt légitime
Malgré sa flexibilité apparente, l’intérêt légitime présente plusieurs limites :
Tout d’abord, Le RGPD exclut explicitement l’utilisation de l’intérêt légitime comme base légale pour les traitements effectués par les autorités publiques. En effet, les traitement de données par des organismes de l’état sont toujours fondés soit sur une base légale soit sur une mission d’intérêt public. L’intérêt légitime concerne les personnes morales de droit privé.
De plus, Le Comité Européen de la Protection des Données (CEPD) souligne que l’intérêt légitime ne doit pas être considéré comme une base légale « par défaut » ou « en dernier ressort ».
En dernier lieu, dans le cadre d’un transfert de données sensibles, utiliser l’intérêt légitime comme légale sera réputé insuffisant. Ce qu’on entend par données sensibles au sens de l’article 9 du RGPD, ce sont les données relatives aux :
- Origine raciale ou ethnique,
- Les opinions politiques,
- Les convictions religieuses ou philosophiques
- L’appartenance syndicale,
- Les données génétiques,
- Les données biométriques,
- Les données concernant la santé et la vie sexuelle
- L’orientation sexuelle d’une personne »
L’article 9 interdit le transfert de données sensibles sauf dans certains cas. Voir l’article écrit sur ce sujet : Peut-on collecter des données à caractère sensible ?
Des précautions à prendre
Tout d’abord, la CNIL recommande de documenter l’analyse effectuée pour justifier le recours à l’intérêt légitime.. Cette documentation peut s’avérer cruciale en cas de contrôle.
De plus, il convient d’avouer qu’utiliser cette base légale représente des risques. l’utilisation de l’intérêt légitime peut être contestée en justice par les personnes concernées ou les autorités de contrôle si la mise en balance des intérêts n’est pas correctement effectuée. D’où l’intérêt de bien documenter la gouvernance mise en place.
Enfin, les « attentes raisonnables » des personnes concernées sont à prendre en compte. Il faut donc prendre conscience qu’elles peuvent évoluer dans le temps. Cela nécessite donc une réévaluation régulière de la légitimité du traitement. L’intervention d’un délégué à la protection se justifie aisément pour suivre ce genre de traitement.
Ainsi, pour conclure, L’intérêt légitime offre une certaine flexibilité aux responsables de traitement. Cependant, elle n ‘est pas une solution de facilité. Son utilisation requiert une analyse approfondie, une documentation solide et une réévaluation régulière. Les organisations doivent être particulièrement vigilantes et s’assurer que leurs intérêts ne prévalent pas sur les droits et libertés des personnes concernées. En définitive, l’intérêt légitime est à manier avec précaution et de manière responsable pour garantir un juste équilibre entre les intérêts commerciaux et la protection des données personnelles. D’ailleurs on rappelle que le RGPD a pour but de rendre responsable de leurs actes, les responsables de traitement (Un de ses objectifs). Ce qui nécessite donc un accompagnement par des professionnels.
SYSGUARD vous accompagne donc pour votre la mise en conformité quant au RGPD. Aussi bien pour votre organisation que lors de la mise en place de nouveaux concepts susceptibles de collecter et exploiter des données à caractère personnel. Contactez-nous
