Choisir entre consentement et intérêt légitime (RGPD) : guide de décision
Opter pour le mauvais fondement juridique de traitement expose une organisation à des sanctions prononcées par la Commission nationale de l'informatique et des libertés (CNIL) et à la remise en cause de l'ensemble des traitements concernés. En février 2026, le débat entre consentement et intérêt légitime reste l'arbitrage le plus fréquent que rencontrent les directions générales et les directions des systèmes d'information lorsqu'elles déploient de nouveaux traitements de données personnelles.
Le Règlement général sur la protection des données (RGPD) désigne le consentement comme la manifestation libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte le traitement de ses données. L'intérêt légitime, quant à lui, correspond à la faculté pour un responsable de traitement de traiter des données sans recueillir de consentement, à condition que ses intérêts ne soient pas écrasés par les droits et libertés des personnes concernées. Ces deux fondements relèvent des dispositions du RGPD relatives aux conditions de licéité des traitements, transposées en droit français par la loi Informatique et Libertés.
Ce guide examine les critères objectifs qui gouvernent ce choix, expose les avantages et les risques de chaque voie, puis propose une recommandation conditionnelle selon la situation de votre organisation. Il mobilise l'expérience que nous avons accumulée en accompagnant des DSI, des directions juridiques et des délégués à la protection des données sur des projets de conformité à grande échelle.
Pourquoi l'arbitrage entre consentement et intérêt légitime est-il si déterminant ?
Le choix du fondement juridique n'est pas une formalité : il structure l'ensemble de la documentation de conformité, conditionne les droits des personnes concernées et détermine la robustesse du traitement en cas de contrôle. Un fondement inadapté ne peut pas être remplacé rétroactivement sans interruption du traitement et notification aux personnes concernées, ce qui génère un coût opérationnel considérable.
Dans notre pratique, nous observons deux erreurs symétriques. Certaines organisations systématisent le consentement par excès de prudence, sans réaliser qu'un consentement mal recueilli est pire qu'un intérêt légitime correctement documenté : il expose à la contestation systématique et fragilise l'ensemble de la chaîne de traitements. D'autres organisations inversent l'erreur et retiennent l'intérêt légitime pour des traitements qui exigent pourtant un consentement explicite – ciblage publicitaire comportemental, profilage à fort impact, traitement de données sensibles –, s'exposant ainsi à des décisions correctrices de la CNIL.
La distinction entre les deux fondements affecte également la relation commerciale. Un consentement mal géré, difficile à retirer ou conditionné à l'accès au service, crée une fragilité contractuelle qui peut surgir lors d'un audit mené par un investisseur dans le cadre d'une diligence raisonnable (audit de propriété intellectuelle).
Cadre juridique du consentement : définition, conditions et limites
Le consentement, au sens du RGPD, est un fondement robuste mais exigeant : il est libre, spécifique, éclairé, univoque et, pour certaines catégories de données ou d'opérations, explicite. La licéité du traitement dépend entièrement de la qualité du recueil et de la capacité à en administrer la preuve à tout moment.
Quatre conditions cumulatives doivent être réunies. Premièrement, le consentement doit être libre, c'est-à-dire donné sans contrainte ni déséquilibre de pouvoir entre l'organisation et la personne concernée – ce qui soulève des questions spécifiques dans la relation employeur-salarié. Deuxièmement, il doit être spécifique : une case cochée globale ne suffit pas. Troisièmement, il doit être éclairé : la personne doit comprendre ce à quoi elle consent. Quatrièmement, il doit pouvoir être retiré à tout moment, avec la même facilité qu'il a été donné.
La fragilité structurelle du consentement tient à deux réalités pratiques. D'une part, le taux de révocation peut être élevé dans certains secteurs, rendant instable tout traitement fondé uniquement sur ce mécanisme. D'autre part, la charge de la preuve repose entièrement sur le responsable de traitement, qui doit conserver les éléments de preuve dans des conditions techniques souvent sous-estimées lors du déploiement initial.
Cas d'emploi obligatoire du consentement : cookies et traceurs à finalité non strictement nécessaire, traitement de données sensibles (articles relatifs aux catégories particulières de données du RGPD), prospection commerciale par voie électronique (régime issu de la directive ePrivacy, transposée en droit français), profilage produisant des effets significatifs sur la personne.
Vous mettez en place un nouveau traitement et n'êtes pas certain du fondement applicable ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des flux de données et de la pratique de la CNIL en matière de contrôle. Pour une analyse de votre situation au regard du RGPD, écrivez-nous à contact@vernaylestang.com.
Cadre juridique de l'intérêt légitime : portée, test de mise en balance et risques
L'intérêt légitime est un fondement flexible mais conditionnel : il impose au responsable de traitement de documenter un test de mise en balance (souvent désigné par l'abréviation « LIA », pour Legitimate Interests Assessment) démontrant que ses intérêts ne prévalent pas de manière injustifiée sur les droits et libertés des personnes concernées. Ce test n'est pas une formalité : c'est la pièce maîtresse du dossier de conformité.
Le test de mise en balance s'articule en trois étapes. La première consiste à identifier un intérêt légitime réel – la prévention de la fraude, la sécurité du réseau, la personnalisation interne des services, la gestion de la relation client B2B constituent des exemples typiques acceptés dans la pratique. La deuxième étape vérifie que le traitement est nécessaire et proportionné à cet intérêt. La troisième apprécie si les personnes concernées peuvent raisonnablement s'attendre à ce traitement, et si leurs droits l'emportent sur l'intérêt poursuivi.
Nous accompagnons régulièrement des organisations qui ont invoqué l'intérêt légitime sans avoir rédigé ce test ou en s'appuyant sur une formule générique copiée d'un modèle en ligne. Cette approche est inopérante : la CNIL et ses homologues européens examinent la substance du test, pas son existence formelle. Un LIA vague constitue une base aussi fragile qu'une absence de fondement.
Limite absolue : l'intérêt légitime ne peut pas fonder un traitement lorsque les droits et libertés de la personne concernée prévalent – ce qui est présumé lorsqu'il s'agit d'enfants, de données sensibles, de profilage à finalité comportementale ou de prospection électronique non sollicitée.
Comparatif et critères de décision : quelle base juridique pour quel traitement ?
Le choix entre les deux fondements doit répondre à des critères objectifs, non à une préférence opérationnelle. Le tableau comparatif ci-dessous présente les principales dimensions de décision.
Critère 1 – Obligation légale de recueillir un consentement : si les dispositions du RGPD ou de la directive ePrivacy imposent un consentement explicite pour la finalité visée, le choix est sans objet. Le consentement s'impose.
Critère 2 – Nature de la relation et déséquilibre de pouvoir : dans la relation employeur-salarié, le consentement est généralement présumé non libre. L'intérêt légitime peut alors être une voie plus solide, à condition que le test de mise en balance soit documenté et que le traitement soit strictement proportionné.
Critère 3 – Attente raisonnable de la personne concernée : si la personne concernée peut raisonnablement anticiper le traitement compte tenu du contexte (relation B2B, service numérique, communication antérieure), l'intérêt légitime est accessible. Si le traitement est inattendu ou opaque, le consentement est préférable.
Critère 4 – Reversibilité et coût opérationnel : un traitement fondé sur le consentement doit pouvoir être suspendu immédiatement en cas de révocation. L'intérêt légitime offre une stabilité plus grande mais requiert une documentation initiale plus lourde.
Critère 5 – Exposition aux sanctions CNIL : un consentement mal recueilli est sanctionnable au même titre qu'une invocation abusive de l'intérêt légitime. Le niveau de risque dépend moins du fondement choisi que de la qualité de sa mise en œuvre.
Pour une analyse structurée des avantages et risques de chaque option, consultez notre comparatif détaillé : consentement et intérêt légitime – avantages, risques et critères.
Matrice de décision et recommandations conditionnelles
Aucun fondement n'est universellement supérieur. La recommandation dépend de la nature du traitement, du profil des personnes concernées et du niveau de maturité documentaire de l'organisation.
Situation A – Traitement de données de clients consommateurs à des fins de ciblage publicitaire comportemental : fondement applicable → consentement explicite ; délai de mise en conformité → variable selon la complexité de la bannière cookies ; niveau de risque en cas de manquement → élevé (pratique constante de la CNIL en matière de contrôle des cookies).
Situation B – Traitement de données de contacts professionnels B2B à des fins de prospection commerciale directe : fondement envisageable → intérêt légitime, sous réserve d'un LIA documenté et d'une option de désinscription simple ; délai de mise en conformité → modéré (rédaction du LIA, mise à jour de la politique de confidentialité) ; niveau de risque → modéré si le LIA est substantiel.
Situation C – Traitement de données de salariés à des fins de surveillance de l'activité informatique : fondement → intérêt légitime couplé à l'obligation légale de sécurité des systèmes d'information ; condition supplémentaire → proportionnalité stricte, information préalable des représentants du personnel, consultation du comité social et économique ; niveau de risque → élevé si la proportionnalité n'est pas démontrée.
Situation D – Déploiement d'un outil d'intelligence artificielle traitant des données personnelles à des fins d'analyse comportementale : fondement → consentement explicite ou, si le test est concluant, intérêt légitime avec analyse d'impact sur la protection des données (AIPD) obligatoire ; niveau de risque → très élevé en l'absence d'AIPD.
Quels sont les risques d'un mauvais fondement juridique et comment les atténuer ?
Un fondement juridique inadapté expose l'organisation à trois catégories de risques cumulatifs : le risque de sanction administrative, le risque de contentieux civil et le risque de réputation.
Le risque de sanction administrative est le plus immédiat. La CNIL dispose du pouvoir de prononcer des mesures correctrices, des injonctions de mise en conformité et des amendes administratives dont le montant est fixé en proportion du chiffre d'affaires mondial de l'organisation. Dans notre pratique du conseil en conformité données, nous observons que les contrôles déclenchés par une plainte d'un salarié ou d'un client portent en premier lieu sur la documentation des fondements juridiques et sur la qualité du LIA lorsque l'intérêt légitime a été invoqué.
Le risque de contentieux civil est souvent sous-estimé. Une personne concernée peut saisir le tribunal judiciaire compétent pour obtenir la suspension du traitement et des dommages et intérêts. Ce risque se matérialise notamment lors de ruptures de relations commerciales ou de départs de salariés, lorsque des données collectées sans base juridique solide deviennent un enjeu dans la procédure contentieuse.
Le risque de réputation, enfin, est devenu un vecteur d'exposition directe depuis que la CNIL publie ses décisions de sanction et que les médias spécialisés en assurent la diffusion. Pour les organisations cotées ou sous surveillance d'investisseurs institutionnels, cet aspect peut peser sur la valorisation lors d'une opération de cession ou d'entrée au capital.
Les leviers d'atténuation sont au nombre de quatre : la cartographie précise des traitements et de leurs fondements dans le registre des activités de traitement, la rédaction substantielle des LIA pour chaque traitement fondé sur l'intérêt légitime, la mise en place d'une gestion des consentements techniquement robuste, et la formation des équipes qui collectent ou utilisent des données personnelles.
Dans notre pratique, nous avons accompagné au début de l'année 2025 une ETI du secteur de la distribution (Bordeaux) qui avait déployé un programme de fidélisation client en invoquant l'intérêt légitime, sans LIA documenté et sans mécanisme de désinscription accessible. La refonte du cadre documentaire – cartographie des traitements, rédaction des LIA, mise à jour de la politique de confidentialité – a permis de sécuriser le programme avant un contrôle CNIL déclenché par une plainte d'un client.
Un contrôle CNIL a déjà été engagé ou une plainte a été déposée ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Pour examiner l'application du RGPD à votre situation, contactez-nous à contact@vernaylestang.com.
Ce qu'il faut préparer avant de documenter votre fondement juridique
La sélection du fondement juridique ne peut précéder la cartographie des traitements. Voici les éléments indispensables à réunir avant toute décision.
- La liste exhaustive des traitements concernés, avec leur finalité précise et les catégories de données traitées – un traitement à finalités multiples peut nécessiter des fondements différents selon chaque finalité.
- Le profil des personnes concernées : consommateurs, salariés, contacts B2B, mineurs – chaque profil influe sur la liberté du consentement et sur l'attente raisonnable au sens du RGPD.
- L'identification des obligations légales spécifiques applicables au secteur d'activité, qui peuvent imposer un fondement particulier ou en exclure un autre.
- La liste des sous-traitants et prestataires impliqués dans le traitement, car leur qualification affecte la chaîne de responsabilité et peut modifier le fondement retenu.
- La documentation existante (registre des activités de traitement, politiques de confidentialité, mécanismes de gestion du consentement) afin d'évaluer l'écart à combler.
Le traitement des données de salariés dans le contexte d'une restructuration soulève des questions de conformité qui débordent le seul RGPD. Pour les enjeux à l'intersection du droit social et du droit des données, vous pouvez également consulter notre analyse des visites et saisies de l'autorité de concurrence : portée pratique.
Domaines liés
- Audit de propriété intellectuelle – cartographie des actifs immatériels et évaluation de la conformité données dans le cadre d'une diligence raisonnable.
- Consentement et intérêt légitime RGPD : avantages, risques et critères – analyse détaillée des deux fondements, critères de sélection et points de vigilance.
FAQ – Consentement ou intérêt légitime (RGPD) : questions fréquentes
1. Quelle est la différence entre consentement et intérêt légitime (RGPD) ?
Le consentement est une manifestation de volonté libre, spécifique et éclairée par laquelle la personne accepte le traitement de ses données personnelles, tandis que l'intérêt légitime est un fondement autonome qui permet au responsable de traitement de traiter des données sans recueil de consentement, à condition de démontrer par un test de mise en balance que ses intérêts ne prévalent pas sur les droits et libertés des personnes concernées. Ces deux bases légales relèvent des dispositions du RGPD sur la licéité des traitements.
2. Comment choisir entre consentement et intérêt légitime (RGPD) ?
Le choix repose sur cinq critères objectifs : l'existence d'une obligation légale de recueillir un consentement, la nature de la relation et la liberté effective de la personne concernée, l'attente raisonnable de cette personne au regard du contexte, la réversibilité du traitement et le niveau de risque acceptable pour l'organisation. Lorsqu'un traitement vise des données sensibles, des enfants ou une finalité de ciblage comportemental, le consentement s'impose sans alternative.
3. Quel est l'impact sur la responsabilité du dirigeant ?
Le dirigeant engage sa responsabilité personnelle dans la mesure où il définit les orientations stratégiques qui déterminent les finalités et les moyens des traitements de données. Un fondement juridique inadapté, une documentation insuffisante ou une absence de gouvernance données constitue une faute de gestion susceptible d'être relevée par la CNIL, par un tribunal judiciaire ou par un investisseur lors d'une diligence raisonnable. La responsabilité pénale peut également être engagée pour certains manquements visés par la loi Informatique et Libertés.
4. L'intérêt légitime peut-il remplacer le consentement pour les cookies ?
Non. Pour les cookies et traceurs dont la finalité n'est pas strictement nécessaire au fonctionnement du service, les dispositions issues de la directive ePrivacy, transposées en droit français, imposent un consentement préalable. L'intérêt légitime ne constitue pas une base admissible pour les cookies analytiques, publicitaires ou de ciblage comportemental. La CNIL a réaffirmé cette position à plusieurs reprises dans sa pratique décisionnelle.
5. Un LIA (test de mise en balance) est-il obligatoire lorsqu'on invoque l'intérêt légitime ?
Oui, la rédaction d'un test de mise en balance est indissociable de l'invocation de l'intérêt légitime comme base légale. Ce test doit identifier l'intérêt poursuivi, démontrer la nécessité et la proportionnalité du traitement et évaluer les droits des personnes concernées. Sans ce document, le fondement est inopposable en cas de contrôle ou de contentieux. Sa qualité substantielle – et non sa simple existence formelle – est ce que les autorités de contrôle examinent en priorité.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions générales, les directions juridiques et les directions des systèmes d'information sur les questions de conformité au RGPD, de gouvernance des données et de protection des actifs immatériels. Nous intervenons à chaque étape : qualification du fondement juridique, rédaction des tests de mise en balance et des analyses d'impact, audit de conformité et défense en cas de contrôle de la CNIL. Nos honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dossier, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Léa Caron – Analyste juridique au sein de Vernay & Lestang, Léa Caron traite les dossiers de propriété intellectuelle, de droit du numérique et de conformité aux données personnelles. Voir son profil. Article publié le 9 février 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.