Intérêt légitime

Intérêt légitime : les enjeux pour la PME

Pour une PME, l’intérêt légitime est souvent la base légale la plus naturelle des traitements courants. La CNIL cite comme exemples la sécurité du réseau et des informations, la prévention de la fraude, la prospection de clients existants ou la gestion administrative interne d’un groupe de sociétés. Elle rappelle aussi qu’il ne s’agit jamais d’une base par défaut : il s’apprécie au cas par cas, et les autorités publiques ne peuvent pas l’invoquer pour l’exécution de leurs missions.

Les trois conditions sont cumulatives. L’intérêt doit être licite, précis et réel, pas hypothétique. Le traitement doit être nécessaire, c’est-à-dire sans moyen moins intrusif d’atteindre le même but. Enfin, l’entreprise met en balance son intérêt et les droits des personnes, en tenant compte de leurs attentes raisonnables. Elle doit pouvoir démontrer ce raisonnement à tout moment, ce qui suppose de l’écrire.

L’intérêt légitime ne dispense pas d’informer. La nature de l’intérêt poursuivi doit figurer dans l’information donnée aux personnes, qui gardent un droit d’opposition. La CNIL suggère, pour certains traitements, de permettre l’opposition sans avoir à se justifier. Le droit à la portabilité, en revanche, ne s’applique pas à cette base. Le Comité européen de la protection des données relève que la pseudonymisation peut faciliter le recours à l’intérêt légitime, en réduisant les risques.

Notre méthode en trois temps : nommer l’intérêt poursuivi en une phrase, vérifier qu’aucune solution moins intrusive ne suffit, puis consigner la mise en balance dans le registre du traitement. Si l’une des trois étapes coince, une autre base, comme le consentement dans le cadre du RGPD, est sans doute plus adaptée. Cette fiche est une information générale, à compléter par l’avis d’un conseil.

Exemple

Un distributeur de fournitures industrielles de 60 personnes veut écrire à ses 1 800 clients professionnels pour présenter une gamme proche de celle qu’ils achètent déjà. Il rédige une analyse d’une page : intérêt commercial réel, données limitées au nom, à la fonction et à l’adresse professionnelle, envoi attendu par des clients actifs. Chaque message comporte un lien d’opposition. À la première campagne, 42 contacts s’opposent et sont retirés de la liste sous 48 heures.