Consentement ou intérêt légitime (RGPD) : avantages, risques et critères

Le choix entre le consentement et l'intérêt légitime, en tant que fondements de traitement au sens du Règlement général sur la protection des données (RGPD), détermine la solidité juridique d'une opération de traitement, les obligations opérationnelles qui en découlent et l'exposition au risque en cas de contrôle. Ces deux bases légales, distinctes dans leur nature et leurs conditions, ne sont pas interchangeables. Le choix s'opère en amont, avant tout déploiement technique.

Depuis l'entrée en application du RGPD, nous accompagnons régulièrement des directions et des équipes techniques confrontées à cette alternative. La tentation d'invoquer l'intérêt légitime pour éviter les contraintes du recueil de consentement est fréquente. Elle expose pourtant à des risques documentaires et contentieux significatifs lorsque le test de mise en balance n'a pas été conduit avec rigueur. Ce comparatif présente les critères objectifs qui permettent d'arbitrer selon votre situation.

Nous examinerons d'abord le cadre de chaque base légale, puis les avantages et risques de chacune, avant de proposer une matrice de décision et une recommandation conditionnelle.

Consentement et intérêt légitime : de quoi parle-t-on exactement ?

Le consentement désigne, au sens du RGPD, une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte le traitement de ses données à caractère personnel. L'intérêt légitime correspond à une autre base légale prévue par le règlement, autorisant le traitement lorsque le responsable de traitement ou un tiers poursuit un intérêt légitime, sous réserve que cet intérêt ne soit pas supplanté par les intérêts ou les droits fondamentaux de la personne concernée. Ces deux fondements figurent parmi les bases légales licites énumérées par le texte applicable.

La distinction est structurelle. Le consentement repose sur un acte positif de la personne concernée. L'intérêt légitime repose sur un raisonnement conduit par le responsable, formalisé dans un test de mise en balance. Dans notre pratique, nous observons que beaucoup d'organisations confondent commodité opérationnelle et fondement juridique valide : invoquer l'intérêt légitime pour s'affranchir d'un bandeau de consentement n'est pas une stratégie de conformité, c'est un risque documentaire.

Le RGPD ne hiérarchise pas ces bases légales. Il impose en revanche que le fondement retenu soit déterminé avant le début du traitement et documenté dans le registre des activités de traitement. Ce registre constitue la première pièce qu'un contrôleur de la CNIL ou une juridiction examinera.

Quelles sont les conditions de validité du consentement ?

Pour être valide, le consentement doit réunir quatre conditions cumulatives : il doit être libre, spécifique, éclairé et univoque. Un consentement pré-coché, conditionné à l'accès au service ou recueilli de manière implicite ne satisfait pas à ces exigences. La charge de la preuve de la validité incombe au responsable de traitement.

Libre signifie que la personne ne subit pas de déséquilibre, notamment dans une relation d'emploi ou de dépendance contractuelle. Spécifique implique que le consentement porte sur une finalité déterminée, non sur un ensemble vague de traitements. Éclairé suppose une information préalable complète. Univoque exige un acte positif et non une absence d'opposition.

En pratique, nous accompagnons des DSI qui sous-estiment la charge de preuve : il ne suffit pas de disposer d'une case à cocher. Il faut conserver la trace de chaque consentement (date, version de l'interface, finalités présentées), permettre le retrait à tout moment et assurer que ce retrait ne conditionne pas la continuité du service de base. La gestion du cycle de vie du consentement représente un coût opérationnel durable.

À quelles conditions l'intérêt légitime peut-il fonder un traitement ?

L'intérêt légitime (RGPD) est une base légale utilisable lorsque trois conditions sont réunies : l'existence d'un intérêt réel et licite du responsable ou d'un tiers, la nécessité du traitement pour la poursuite de cet intérêt, et le résultat d'un test de mise en balance concluant que les droits et libertés des personnes ne prévalent pas. Ce test n'est pas facultatif : son absence est en elle-même un manquement.

Les cas d'usage les plus stables en pratique sont la sécurité des systèmes d'information, la prévention de la fraude, la prospection B2B dans certaines conditions, et la personnalisation de services dans une relation contractuelle existante. En revanche, l'intérêt légitime ne saurait fonder des traitements à grande échelle portant sur des données sensibles ou des profilages intrusifs, sauf à courir le risque d'une requalification par la CNIL.

Dans notre pratique, nous observons que la CNIL et les autorités homologues européennes sanctionnent moins le choix de la base que l'absence de documentation. Un test de mise en balance formalisé, daté, signé par le DPO et versé au registre constitue une protection réelle. Son absence transforme un choix potentiellement défendable en position indéfendable lors d'un contrôle.

La notion de contrat informatique, qui structure souvent les relations entre le responsable de traitement et ses sous-traitants, ne détermine pas la base légale applicable au traitement des données des personnes concernées. Cette confusion est fréquente et doit être levée en amont de tout déploiement.

Avantages et risques de chaque base légale : une lecture comparée

Le consentement offre une légitimité forte et difficile à contester, à condition d'être correctement recueilli et documenté. Son principal avantage est la clarté : la personne sait, accepte et peut révoquer. Son principal risque est opérationnel – la gestion du cycle de vie, les taux de refus et le coût de mise en conformité des interfaces sont des charges réelles.

L'intérêt légitime présente l'avantage de la souplesse et de la continuité : aucun recueil initial, aucune gestion de révocation technique, un fonctionnement possible sans interaction avec la personne. Son risque principal est contentieux : si le test de mise en balance est absent, insuffisant ou contestable, la base légale tombe et le traitement devient illicite dès l'origine. La requalification rétroactive peut emporter des conséquences importantes.

Un troisième risque, souvent sous-estimé, est le risque de cumul : certaines organisations documentent les deux bases pour le même traitement, pensant se prémunir. Cette pratique est explicitement critiquée par la CNIL et les lignes directrices européennes. Elle peut être interprétée comme une tentative de contournement et affaiblir la position du responsable lors d'un contrôle.

Les liens entre protection des données et propriété intellectuelle méritent également attention : une base légale défaillante sur un traitement qui alimente un actif immatériel (base de données, modèle d'apprentissage automatique) peut fragiliser la protection de cet actif. Pour approfondir ce point, consultez notre analyse sur la licence et la cession de droits de propriété intellectuelle.

Matrice de décision : comment choisir selon votre situation ?

Le choix entre les deux bases légales s'opère en fonction de quatre critères objectifs : la nature de la relation avec la personne concernée, la sensibilité des données, la finalité du traitement et la capacité opérationnelle à gérer le cycle de vie de la base retenue.

Situation A : traitement de données de consommateurs pour une finalité de ciblage publicitaire comportemental → base recommandée : consentement → niveau de risque sans consentement : élevé, requalification probable → coût opérationnel : fort (gestion des préférences, interfaces conformes).

Situation B : traitement de données de contacts professionnels B2B pour une finalité de prospection directe liée à l'activité professionnelle de la personne → base envisageable : intérêt légitime, sous réserve d'un test de mise en balance documenté → niveau de risque sans documentation : moyen, contestable en cas de contrôle → coût opérationnel : modéré (rédaction du test, mise à jour du registre).

Situation C : traitement de logs de connexion à des fins de sécurité informatique interne → base recommandée : intérêt légitime → niveau de risque : faible si documentation présente → coût opérationnel : limité.

Situation D : traitement de données dans le cadre d'un contrat informatique impliquant du profilage à grande échelle → base recommandée : consentement explicite, potentiellement renforcé selon les données traitées → niveau de risque sans consentement : très élevé, risque de sanction et de nullité contractuelle.

Pour approfondir les critères de ce comparatif dans votre contexte spécifique, vous pouvez consulter notre dossier complémentaire sur le choix entre consentement et intérêt légitime selon votre entreprise.

Quelles erreurs fréquentes éviter lors du choix de la base légale ?

Trois erreurs reviennent systématiquement dans les dossiers que nous instruisons. La première est l'invocation de l'intérêt légitime par défaut, sans test conduit ni documenté. La deuxième est le recueil d'un consentement dont la validité est fragilisée par un déséquilibre dans la relation (contrat de travail, accès conditionné). La troisième est la modification de base légale en cours de traitement – un changement de fondement suppose en principe une nouvelle information et, selon les cas, un nouveau recueil.

Une idée reçue mérite d'être levée : beaucoup de responsables de traitement pensent que l'intérêt légitime est une base « de second rang », tolérée provisoirement. Ce n'est pas le cas. C'est une base légale à part entière, pleinement valide lorsque ses conditions sont réunies. Ce qui la fragilise n'est pas son rang, mais l'absence de documentation du raisonnement qui la fonde.

La question des obligations RGPD ne se limite pas au choix de la base légale. Elle inclut les mentions d'information, les durées de conservation, les droits des personnes et les contrats de sous-traitance. Un audit de conformité global permet de traiter ces enjeux de manière cohérente. Pour une perspective plus large sur la conformité dans les opérations, consultez notre dossier sur la conformité dans les opérations et le cadre juridique applicable.

Check-list : ce qu'il faut préparer avant de fixer la base légale

La formalisation de la base légale s'appuie sur une préparation documentaire rigoureuse. Voici les éléments à réunir avant toute décision :

• Description précise de la finalité du traitement et des données collectées, avant tout développement technique.
• Cartographie de la relation avec les personnes concernées : consommateur, salarié, contact B2B, utilisateur d'une application.
• Si intérêt légitime envisagé : rédaction du test de mise en balance (intérêt du responsable – nécessité du traitement – pondération des droits des personnes) formalisé et signé.
• Si consentement retenu : conception des interfaces de recueil conformes (acte positif, information préalable, mécanisme de révocation) et système de conservation des preuves.
• Mise à jour du registre des activités de traitement avec la base légale retenue et la documentation associée.

Domaines liés

• Licence et cession de droits de propriété intellectuelle – encadrement contractuel des actifs immatériels et des transferts de droits numériques.
• Consentement ou intérêt légitime : quelle option pour votre entreprise ? – analyse approfondie des critères de sélection selon le profil de l'organisation.