Consentement ou intérêt légitime (RGPD) : comment choisir
Un directeur des systèmes d'information ou un directeur juridique qui lance une nouvelle fonctionnalité de profilage, une campagne d'e-mailing ou un programme de fidélité se heurte, à un moment ou un autre, à la même question : sur quelle base juridique repose ce traitement de données personnelles ? Au début de l'année 2026, la CNIL intensifie ses contrôles et les décisions de la Cour de justice de l'Union européenne précisent progressivement les contours de chaque fondement. Choisir la mauvaise base expose l'organisation à des sanctions administratives significatives et à une fragilité contractuelle durable.
Le Règlement général sur la protection des données (RGPD) – le règlement européen 2016/679 applicable depuis mai 2018 – impose de rattacher chaque traitement à l'une des bases légales qu'il énumère. Le consentement désigne l'accord libre, spécifique, éclairé et univoque de la personne concernée, dont le responsable de traitement doit pouvoir prouver l'existence à tout moment. L'intérêt légitime correspond à la faculté, pour le responsable de traitement ou un tiers, de poursuivre un objectif reconnu comme légitime, sous réserve qu'il ne l'emporte pas sur les droits et libertés fondamentaux des personnes. Le choix entre ces deux fondements n'est pas anodin : il détermine les obligations documentaires, les droits des personnes, la solidité des contrats informatiques associés et le niveau de risque réglementaire.
Cette page examine les critères de décision objectifs, les avantages et les limites de chaque option, et propose une méthode pour trancher selon la nature du traitement envisagé. Nous abordons successivement le cadre de chaque base légale, le test d'équilibre propre à l'intérêt légitime, les risques pratiques, puis une matrice de décision opérationnelle.
Qu'est-ce que le consentement au sens du RGPD ?
Le consentement, au sens du RGPD, est la base légale la plus exigeante en termes de formalisme : il impose au responsable de traitement de recueillir un accord actif, documenté et révocable à tout moment, sans que ce retrait puisse entraîner de préjudice pour la personne. Le droit des données personnelles rattache cette exigence au RGPD, transposé en droit français par la loi Informatique et Libertés modifiée.
Dans notre pratique de la conformité données, nous observons que la première erreur consiste à confondre la simple acceptation d'une mention légale avec un consentement valide. Les conditions sont strictes. Le consentement doit être :
- Libre – aucune contrepartie ou pénalité liée au refus ; le couplage à un contrat de service principal est présumé invalide si le traitement n'est pas strictement nécessaire à ce service.
- Spécifique – un consentement global couvrant plusieurs finalités distinctes n'est pas valide ; chaque finalité doit faire l'objet d'un accord séparé.
- Éclairé – la personne doit recevoir une information claire sur le responsable de traitement, la finalité, la durée de conservation et ses droits avant de donner son accord.
- Univoque – une case pré-cochée, un scroll ou une inaction ne valent pas consentement ; seul un acte positif explicite est admis.
La charge de la preuve repose entièrement sur le responsable de traitement. Cette obligation documentaire crée un coût opérationnel non négligeable : gestion des préférences, journal de consentement, interface de retrait accessible. Pour les traitements impliquant des données sensibles – opinions politiques, données de santé, biométrie –, le RGPD impose en principe le consentement explicite, sauf autre dérogation prévue par le règlement.
L'avantage du consentement réside dans sa clarté : la légitimité du traitement ne peut pas être contestée tant que l'accord est valide et documenté. Son inconvénient majeur est la fragilité : un retrait massif de consentements rend le traitement illicite du jour au lendemain, sans préavis.
Qu'est-ce que l'intérêt légitime et comment fonctionne le test d'équilibre ?
L'intérêt légitime constitue la base légale la plus souple du RGPD, mais elle exige en contrepartie une analyse documentée – le « test de mise en balance » – démontrant que les intérêts poursuivis par le responsable de traitement ne prévalent pas sur les droits et libertés fondamentaux des personnes concernées. Le RGPD et les lignes directrices des autorités de contrôle européennes articulent cette analyse en trois étapes.
Première étape : l'intérêt est-il réel et légitime ? L'objectif poursuivi doit être licite et concret – prévention de la fraude, sécurité informatique, prospection commerciale envers des clients existants, gestion des ressources humaines, amélioration du service. Un intérêt purement spéculatif ou contraire à l'ordre public ne passe pas ce filtre.
Deuxième étape : le traitement est-il nécessaire à cet objectif ? Si une mesure moins intrusive permet d'atteindre le même résultat, l'intérêt légitime ne peut pas servir de fondement. La nécessité implique un examen de proportionnalité.
Troisième étape : les droits des personnes l'emportent-ils ? C'est le cœur du test de mise en balance. Il faut apprécier les attentes raisonnables des personnes, la nature des données (plus elles sont sensibles, plus l'équilibre penche vers les droits des personnes), la catégorie de personnes concernées (les mineurs appellent une protection renforcée) et l'impact concret du traitement sur leur vie privée.
Nous accompagnons régulièrement des équipes juridiques dans la rédaction du test de mise en balance. L'erreur la plus courante est de le traiter comme un simple document de légitimation rétrospective, sans analyse substantielle. La CNIL et les autorités homologues européennes vérifient la réalité de cette analyse lors des contrôles.
Votre organisation prépare un nouveau traitement et hésite sur le fondement applicable ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des finalités et de la pratique de la CNIL. Une qualification erronée à ce stade peut fragiliser l'ensemble du programme de conformité.
Écrivez-nous à contact@vernaylestang.com pour une première analyse de la base légale envisagée.
Comparatif et critères de décision : consentement contre intérêt légitime
Le choix entre les deux bases légales repose sur cinq critères objectifs : la nature des données traitées, la relation entre le responsable et les personnes concernées, la réversibilité du traitement, le coût de conformité acceptable et le niveau de risque réglementaire toléré. Voici comment ils s'articulent.
Nature des données : dès que le traitement porte sur des données sensibles au sens du RGPD – santé, opinions politiques, données biométriques, orientation sexuelle –, l'intérêt légitime est en principe exclu ; le consentement explicite (ou une autre dérogation prévue par le règlement) s'impose.
Relation et attentes raisonnables : lorsque les personnes concernées sont des clients existants ayant une relation commerciale active avec l'organisation, l'intérêt légitime est souvent applicable pour des traitements liés à cette relation – gestion de compte, prévention de la fraude, amélioration du service. En revanche, pour des personnes sans relation préalable – prospects achetés, individus captés via des tiers –, le consentement est généralement requis.
Réversibilité et continuité du service : si le traitement est structurellement indispensable au service contractuellement promis, le consentement comme fondement autonome est problématique : un retrait bloquerait la prestation. L'intérêt légitime ou l'exécution du contrat sont alors plus adaptés. À l'inverse, pour des traitements facultatifs – publicité ciblée, partage de données avec des partenaires commerciaux –, le consentement est la base correcte.
Coût de conformité : le consentement génère des obligations persistantes (interface de recueil et de retrait, journal de preuve, gestion des retraits dans les systèmes), qui représentent un investissement technique et organisationnel significatif. L'intérêt légitime requiert principalement la rédaction et la mise à jour du test de mise en balance, ainsi qu'une information claire dans la politique de confidentialité.
Risque réglementaire : un consentement mal recueilli (case pré-cochée, information insuffisante) est nul et rend le traitement illicite ab initio. Un intérêt légitime insuffisamment documenté est contestable mais peut être corrigé par une mise à jour du test. La jurisprudence de la CNIL et des autorités européennes montre que les deux bases font l'objet de contrôles actifs.
Illustration – Secteur e-commerce, Bordeaux, printemps 2025
Nous avons accompagné une société de vente en ligne dans la revue de sa base légale pour deux traitements distincts : le ciblage publicitaire comportemental (requalifié sur la base du consentement, avec mise en place d'une interface de gestion des préférences) et le scoring anti-fraude sur les commandes existantes (maintenu sous intérêt légitime après rédaction d'un test de mise en balance documenté). Cette segmentation a permis de sécuriser les deux traitements sans alourdir indûment l'expérience utilisateur.
Quels sont les risques concrets d'une qualification erronée ?
Une qualification erronée de la base légale expose l'organisation à plusieurs catégories de risques, qui se cumulent souvent. Le risque réglementaire est le plus immédiat : la CNIL peut prononcer des avertissements, des mises en demeure, voire des sanctions administratives lorsque le traitement repose sur une base légale inadaptée ou fictive. Le RGPD prévoit des sanctions pouvant atteindre des pourcentages significatifs du chiffre d'affaires annuel mondial, selon les dispositions du règlement.
Le risque contractuel est souvent sous-estimé. Un contrat informatique ou SaaS qui intègre des clauses de traitement de données personnelles sans aligner la base légale sur la réalité opérationnelle crée une fragilité durable. En cas de contrôle ou de litige, l'incohérence entre le contrat, la politique de confidentialité et le registre des activités de traitement affaiblit la position de l'organisation.
Le risque contentieux privé progresse également. Les personnes concernées disposent d'un droit d'opposition lorsque le traitement repose sur l'intérêt légitime, et d'un droit de retrait du consentement. Dans les deux cas, le non-respect de l'exercice de ces droits peut donner lieu à une plainte auprès de la CNIL ou à une action en justice.
Enfin, le risque de réputation n'est pas anodin pour les organisations en contact direct avec le grand public. Une décision de la CNIL rendue publique, même sous forme d'avertissement, affecte la confiance des utilisateurs.
Une démarche antérieure a produit un résultat insatisfaisant – requalification de base légale, contestation interne ou retour de la CNIL ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants et de corriger la documentation avant un contrôle formel.
Contactez-nous à contact@vernaylestang.com pour examiner l'application du RGPD à votre traitement.
Idée reçue : l'intérêt légitime est-il une base légale « fourre-tout » ?
L'intérêt légitime n'est pas une base légale de substitution applicable par défaut lorsque le consentement est difficile à recueillir. Cette confusion est fréquente dans notre pratique, et elle constitue l'une des sources les plus courantes de non-conformité.
Le RGPD est explicite : l'intérêt légitime ne peut pas être invoqué lorsque les autorités publiques traitent des données dans le cadre de leurs missions, ni lorsque les données sensibles sont en cause sans dérogation applicable. Au-delà de ces limites formelles, le test de mise en balance peut conduire à l'exclusion de l'intérêt légitime même pour des données ordinaires, si l'impact sur la vie privée des personnes est disproportionné.
La CNIL a rappelé à plusieurs reprises que le responsable de traitement doit être en mesure de produire le test de mise en balance documenté à première demande lors d'un contrôle. Un test rédigé après coup, ou de manière purement formelle, ne remplit pas cette fonction.
À l'inverse, certains traitements qui paraissent relever du consentement peuvent légitimement reposer sur l'intérêt légitime – notamment la détection des fraudes, la sécurité informatique, la prospection commerciale auprès de clients ayant acquis des produits ou services similaires, ou encore certains traitements statistiques internes. La bonne qualification exige une analyse cas par cas, et non l'application d'une règle générale.
Illustration – Secteur services B2B, Lille, automne 2025
Dans le cadre d'un audit de conformité, nous avons identifié qu'une entreprise de services B2B avait systématiquement fondé l'ensemble de ses traitements sur l'intérêt légitime – y compris pour le partage de données comportementales avec des régies publicitaires tierces. Ce traitement, par nature, exige le consentement des utilisateurs. La correction a impliqué la mise en place d'une plateforme de gestion des consentements et la révision de la politique de confidentialité, permettant à l'organisation de sécuriser sa conformité avant le prochain cycle de contrôles de l'autorité.
Matrice de décision et check-list pour trancher
Selon la nature de votre traitement, voici comment orienter la qualification. Cette matrice de décision ne se substitue pas à une analyse juridique individualisée : elle structure le raisonnement préalable.
Situation A – Données sensibles (santé, biométrie, opinions) : base légale applicable → consentement explicite (ou dérogation spécifique du RGPD) → délai de mise en conformité : celui nécessaire à la mise en place de l'interface de recueil → niveau de risque si mal qualifié : élevé, sanctions significatives.
Situation B – Publicité ciblée comportementale, profilage à des fins commerciales : base légale applicable → consentement → délai : déploiement d'une solution de gestion des consentements → niveau de risque : élevé, secteur prioritaire de contrôle de la CNIL.
Situation C – Prévention de la fraude, sécurité des systèmes d'information, prospection commerciale auprès de clients existants pour des produits analogues : base légale applicable → intérêt légitime, sous réserve du test de mise en balance → délai : rédaction et validation du test, information dans la politique de confidentialité → niveau de risque : modéré si le test est documenté et substantiel.
Situation D – Analyse statistique interne sans impact direct sur les personnes, gestion des ressources humaines courante : base légale applicable → intérêt légitime → délai : comparable à la situation C → niveau de risque : faible à modéré selon la nature des données.
Situation E – Partage de données avec des tiers à des fins autonomes de ces tiers : base légale applicable → consentement (le tiers a ses propres obligations) → délai : conditionné par les accords contractuels → niveau de risque : élevé sans consentement explicite et sans accord de co-responsabilité ou sous-traitance conforme.
Check-list « ce qu'il faut préparer » avant toute qualification :
- Cartographier précisément la finalité du traitement, les catégories de données et les destinataires.
- Vérifier si les données entrent dans une catégorie sensible au sens du RGPD.
- Évaluer la relation existante avec les personnes concernées et leurs attentes raisonnables.
- Rédiger le test de mise en balance si l'intérêt légitime est envisagé, ou le formulaire de consentement si cette base est retenue.
- Aligner le registre des activités de traitement, la politique de confidentialité et les contrats informatiques sur la qualification retenue.
Pour les organisations dont la conformité RGPD s'inscrit dans un programme de conformité d'entreprise plus large, la cohérence entre les bases légales retenues et la documentation globale conditionne la solidité de l'ensemble du dispositif.
Vous souhaitez approfondir les critères de décision et disposer d'un guide opérationnel structuré ? Notre guide de décision complet sur le choix entre consentement et intérêt légitime détaille chaque étape de l'analyse.
Domaines liés
- Contrats informatiques et SaaS – encadrement contractuel des traitements de données dans les relations numériques
- Programme de conformité et responsabilité d'entreprise – intégration de la conformité RGPD dans la gouvernance globale
Questions fréquentes sur le consentement et l'intérêt légitime (RGPD)
1. Quelle est la différence entre consentement et intérêt légitime (RGPD) ?
Le consentement désigne l'accord actif, libre, spécifique, éclairé et univoque de la personne concernée, que le responsable de traitement doit prouver à tout moment ; l'intérêt légitime permet de traiter des données personnelles sans accord préalable si un test de mise en balance documenté démontre que les intérêts du responsable ne prévalent pas sur les droits et libertés des personnes concernées. Ces deux bases légales sont prévues par le RGPD – règlement européen 2016/679 – et correspondent à des niveaux d'exigence documentaire et à des droits des personnes distincts.
2. Comment choisir entre consentement et intérêt légitime (RGPD) ?
Le choix repose sur cinq critères : la nature des données (les données sensibles imposent en principe le consentement), la relation préexistante avec les personnes concernées, la réversibilité du traitement sans impact sur le service principal, le coût de conformité acceptable par l'organisation et le niveau de risque réglementaire toléré. Un traitement de profilage comportemental à des fins publicitaires requiert le consentement ; un traitement de détection de fraude sur des transactions existantes peut reposer sur l'intérêt légitime sous réserve d'un test de mise en balance rigoureux.
3. L'intérêt légitime peut-il remplacer le consentement lorsque ce dernier est difficile à recueillir ?
L'intérêt légitime ne constitue pas une base légale de substitution applicable par défaut lorsque le consentement est difficile à obtenir : le RGPD l'exclut pour les données sensibles, pour les traitements d'autorités publiques dans le cadre de leurs missions, et partout où le test de mise en balance conclut à une prédominance des droits des personnes. Invoquer l'intérêt légitime sans avoir conduit ce test de manière substantielle expose l'organisation à des sanctions de la CNIL.
4. Quelles obligations documentaires accompagnent chaque base légale ?
Le consentement impose la tenue d'un journal de preuve, une interface de recueil et de retrait accessible, et la gestion des retraits dans l'ensemble des systèmes de traitement ; l'intérêt légitime requiert principalement la rédaction et la mise à jour du test de mise en balance, une mention dans la politique de confidentialité, et l'information des personnes sur leur droit d'opposition. Dans les deux cas, la documentation doit figurer dans le registre des activités de traitement tenu par le responsable.
5. Quelles sanctions la CNIL peut-elle prononcer en cas de base légale inadaptée ?
La CNIL dispose du pouvoir de prononcer des avertissements, des mises en demeure, des injonctions de mise en conformité et des sanctions administratives dont le plafond est fixé par le RGPD en proportion du chiffre d'affaires annuel mondial de l'organisation ; une base légale inexistante ou fictive constitue une violation substantielle du règlement, susceptible d'entraîner les sanctions les plus sévères, indépendamment du préjudice causé aux personnes concernées.
Vernay & Lestang – Avocats d'affaires · Paris
Le cabinet conseille des directions juridiques, des DSI et des directions générales sur la conformité au RGPD, la qualification des bases légales et la sécurisation des programmes de protection des données. Nous intervenons en amont des traitements, lors des audits internes et dans le cadre des procédures devant la CNIL – en réalisant la qualification juridique, en rédigeant les tests de mise en balance et en structurant la documentation de conformité.
Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre traitement, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, numérique, données personnelles et conformité.
Publié le 9 février 2026 · Voir le profil
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.