Consentement ou intérêt légitime (RGPD) : quelle option pour votre entreprise
Depuis l'entrée en application du Règlement général sur la protection des données (RGPD), deux bases légales concentrent l'essentiel des questions posées aux directions juridiques et aux directeurs des systèmes d'information : le consentement de la personne concernée et l'intérêt légitime du responsable de traitement. Le choix entre ces deux fondements conditionne l'architecture des formulaires, la validité des campagnes marketing, la robustesse des dispositifs de suivi et, en définitive, l'exposition aux sanctions de la Commission nationale de l'informatique et des libertés (CNIL). Choisir la mauvaise base légale – ou en cumuler deux sans justification – constitue une erreur structurelle que les contrôles de l'autorité de contrôle mettent systématiquement en évidence.
En février 2026, le contexte réglementaire est stable sur le fond mais les lignes directrices de la CNIL et du Comité européen de la protection des données (CEPD) précisent régulièrement la portée du test d'équilibre des intérêts, rendant l'analyse au cas par cas plus exigeante. Cette page compare les deux options selon des critères objectifs et propose une méthode de décision à l'usage des directions et des DSI. Les sections suivantes couvrent : les définitions, les conditions de validité, les avantages et risques de chaque voie, la matrice de décision, et la méthode d'instruction interne.
Consentement et intérêt légitime : quelles définitions dans le cadre du RGPD ?
Le consentement désigne, au sens des dispositions du RGPD relatives aux conditions de licéité du traitement, une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement. L'intérêt légitime correspond, quant à lui, à la poursuite d'un intérêt réel et actuel du responsable de traitement ou d'un tiers, à condition que cet intérêt ne soit pas supplanté par les intérêts ou les droits et libertés fondamentaux de la personne concernée – c'est l'objet du test de mise en balance, parfois appelé « test des trois étapes » ou balancing test.
Ces deux bases légales sont énumérées dans les dispositions du RGPD consacrées aux conditions de licéité du traitement. Elles ne sont pas interchangeables : chaque traitement doit être rattaché à une seule base légale identifiée avant le début du traitement, et cette base doit être documentée dans le registre des activités de traitement tenu par l'organisation.
Dans notre pratique des dossiers de conformité données, nous observons que la confusion la plus fréquente porte sur la logique inversée des deux options : le consentement donne le pouvoir de décision à la personne concernée, tandis que l'intérêt légitime repose sur une analyse interne que l'entreprise doit être en mesure de justifier à tout moment devant la CNIL ou devant une juridiction.
Quelles sont les conditions strictes de validité du consentement ?
Le consentement n'est valide que s'il réunit quatre conditions cumulatives, toutes précisées par les lignes directrices du CEPD : il doit être libre, spécifique, éclairé et univoque. L'absence d'une seule de ces conditions invalide la base légale et expose l'organisation à une remise en conformité imposée par l'autorité de contrôle.
Libre signifie que la personne n'est soumise à aucun déséquilibre manifeste de pouvoir et que le refus n'entraîne pas de préjudice réel. Un employeur ne peut donc pas, en règle générale, fonder sur le consentement de ses salariés un traitement portant sur leur activité professionnelle, dès lors que la relation de subordination prive le consentement de son caractère libre.
Spécifique interdit les consentements généraux : chaque finalité doit faire l'objet d'un recueil distinct. Un seul formulaire ne peut pas couvrir à la fois la prospection commerciale, le dépôt de cookies analytiques et la personnalisation des offres.
Éclairé impose une information préalable claire sur l'identité du responsable de traitement, les finalités, les destinataires et les droits exercés. Univoque exclut les cases pré-cochées et toute forme de consentement par inaction.
La charge de la preuve pèse intégralement sur le responsable de traitement : il doit être en mesure de démontrer, à tout moment, que le consentement a bien été recueilli dans ces conditions. Cette obligation de preuve génère un coût technique et organisationnel significatif – gestion des journaux de consentement, versionnage des politiques de confidentialité, synchronisation avec les outils de gestion de la relation client.
Ce moment exige un regard extérieur. La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des traitements réellement en place, des modalités de recueil actuelles et de la documentation existante.
Pour une analyse de vos bases légales et de votre registre au regard du RGPD, écrivez-nous à contact@vernaylestang.com.
Dans quels cas l'intérêt légitime peut-il fonder un traitement ?
L'intérêt légitime constitue une base légale opérationnelle dès lors que trois conditions sont réunies : l'intérêt poursuivi est réel et légitimement fondé, le traitement est nécessaire à sa réalisation, et les intérêts ou droits fondamentaux de la personne concernée ne l'emportent pas après mise en balance. La CNIL a précisé, dans ses orientations, que cette base légale n'est pas applicable lorsque les personnes concernées ne peuvent raisonnablement s'attendre au traitement en cause.
Des cas d'usage reconnus incluent, sans être exhaustifs : la sécurité informatique et la prévention de la fraude, la prospection commerciale auprès de clients existants dans le strict périmètre de la relation d'affaires, la gestion administrative interne de l'entreprise, et la transmission de données au sein d'un groupe dans le cadre de fonctions support centralisées. En revanche, la surveillance comportementale à des fins de ciblage publicitaire croisé ou le profilage intensif ne peuvent généralement pas reposer sur l'intérêt légitime.
Le test de mise en balance doit être documenté et tracé. Cette documentation – que l'on désigne parfois sous l'anglicisme legitimate interest assessment – doit répondre à trois questions : quelle est la nature de l'intérêt ? Le traitement est-il strictement nécessaire ou existe-t-il une voie moins intrusive ? Les droits des personnes sont-ils adéquatement préservés par des garanties complémentaires ?
Nous accompagnons régulièrement des ETI et des groupes dans la rédaction de ces évaluations. L'expérience montre qu'un test mal documenté, même pour un traitement objectivement fondé, constitue en lui-même un motif de mise en demeure lors d'un contrôle.
Quels sont les avantages et risques propres à chaque base légale ?
Le consentement offre une certitude juridique apparente : si les conditions de validité sont réunies, la base légale est solide et difficile à contester. En contrepartie, il impose une infrastructure de gestion du consentement – consent management platform (CMP) dans les cas les plus complexes – et il est révocable à tout moment. Toute révocation doit entraîner l'arrêt du traitement, sauf autre base légale applicable, ce qui complexifie la gestion des données dans les outils d'analyse et de marketing.
L'intérêt légitime présente une plus grande souplesse opérationnelle : il ne requiert pas d'action de la personne concernée et peut couvrir des traitements continus sans renouvellement. Mais il repose sur une analyse interne dont la robustesse est appréciée a posteriori par la CNIL. Si l'autorité estime que la mise en balance n'a pas été correctement conduite ou que les droits des personnes sont disproportionnellement affectés, elle peut imposer la cessation du traitement, indépendamment des efforts déployés. Ce risque est d'autant plus élevé que le traitement porte sur des données sensibles ou sur des catégories de personnes vulnérables.
Sur le plan de la relation client, le consentement présente un avantage indirect : il constitue une démonstration active de transparence et peut renforcer la confiance des utilisateurs. L'intérêt légitime, lorsqu'il n'est pas clairement communiqué dans la politique de confidentialité, peut susciter des exercices de droit d'opposition en masse, notamment dans les secteurs à forte exposition grand public.
Illustration pratique
Nous avons accompagné, au printemps 2025 (Paris), une direction marketing d'un groupe de distribution dans la révision de ses bases légales pour quatre campagnes distinctes. L'analyse a conduit à maintenir le consentement pour les communications à des prospects froids, à substituer l'intérêt légitime au consentement pour la relance des clients actifs dans le périmètre strict de leur achat, et à documenter les évaluations correspondantes. Cette distinction, intégrée au registre des traitements, a permis de répondre aux questions posées lors d'un audit interne sans recourir à une collecte de consentements supplémentaire.
Votre démarche mérite un examen structuré. Si une démarche antérieure a produit un résultat défavorable – mise en demeure, exercice de droits en masse, refus de la CNIL – un second regard permet d'identifier les ajustements restants et de fiabiliser la documentation.
Pour examiner l'application de ces bases légales à vos traitements, contactez-nous à contact@vernaylestang.com.
Matrice de décision : quelle base légale selon votre situation ?
La sélection de la base légale dépend de plusieurs variables que l'organisation doit évaluer pour chaque traitement distinct. La matrice suivante présente les configurations les plus courantes.
Situation A – Prospection commerciale auprès de prospects sans relation préexistante : base légale à privilégier → consentement ; niveau de complexité opérationnelle → élevé (mise en place d'une CMP ou d'un mécanisme de recueil traçable) ; risque en l'absence de base valide → élevé, notamment pour les communications par voie électronique soumises aux dispositions du Code des postes et des communications électroniques.
Situation B – Analyse comportementale de clients actifs dans le cadre de la relation commerciale : base légale à examiner → intérêt légitime, sous réserve du test de mise en balance ; condition déterminante → les clients peuvent-ils raisonnablement anticiper ce traitement au regard de la relation en cours ? ; risque → modéré si l'évaluation est documentée et si un droit d'opposition effectif est proposé.
Situation C – Dépôt de traceurs non essentiels (analytics, publicité ciblée) : base légale → consentement obligatoire en application des dispositions de la directive ePrivacy transposée ; aucune alternative possible sur ce point ; coût opérationnel → gestion de la CMP et impact potentiel sur les taux de consentement mesuré dans les tableaux de bord analytiques.
Situation D – Prévention de la fraude interne ou sécurité des systèmes : base légale à privilégier → intérêt légitime ou, selon les catégories de données concernées, obligation légale ; niveau de complexité → faible à modéré si le périmètre est strictement délimité et documenté.
Situation E – Traitement de données de salariés relatif à l'activité professionnelle : le consentement est, en principe, inapplicable en raison du déséquilibre de pouvoir ; la base légale appropriée est l'exécution du contrat de travail, l'obligation légale ou l'intérêt légitime dans des cas résiduels précis ; une analyse au cas par cas est nécessaire.
Comment documenter et piloter le choix de base légale au sein de l'organisation ?
La documentation du choix de base légale est une obligation de responsabilisation (accountability) inscrite dans les dispositions du RGPD relatives aux obligations du responsable de traitement. Elle ne se limite pas à cocher une case dans le registre des activités de traitement : elle implique une analyse formalisée, conservée et actualisée à chaque évolution significative du traitement.
Pour le consentement, la documentation doit couvrir : la date et la version du formulaire, le libellé exact de la demande de consentement, le mécanisme de preuve retenu, le processus de révocation et les délais de prise en compte, ainsi que la procédure de mise à jour en cas de changement de finalité.
Pour l'intérêt légitime, la documentation prend la forme d'une évaluation structurée qui identifie l'intérêt poursuivi, démontre la nécessité du traitement, décrit les mesures de sauvegarde mises en place pour les droits des personnes, et conclut sur le résultat de la mise en balance. Cette évaluation doit être mise à jour lorsque le contexte du traitement change – nouveau partenaire, extension géographique, intégration d'une nouvelle catégorie de données.
Dans notre pratique, nous observons que les organisations qui formalisent ce processus dès la conception des nouveaux traitements – selon le principe de protection des données dès la conception (privacy by design) – réduisent significativement leur exposition lors des contrôles. La CNIL, lors de ses procédures de mise en demeure, valorise la démarche documentée, même imparfaite, par rapport à l'absence totale de traçabilité.
Pour les organisations traitant des données à grande échelle ou dont les traitements sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes, une analyse d'impact relative à la protection des données (AIPD) peut être requise. Le choix de la base légale constitue l'un des éléments de cette analyse.
Illustration pratique
À l'automne 2025 (Lyon), nous avons assisté une société éditrice de logiciels SaaS dans la mise en conformité de sa plateforme à l'occasion d'une levée de fonds. Les acquéreurs potentiels avaient identifié, lors de leur diligence raisonnable (due diligence), l'absence d'évaluations formalisées d'intérêt légitime pour trois traitements de profilage d'utilisateurs. La reconstruction documentaire de ces évaluations, réalisée en coordination avec l'équipe technique, a permis de lever la réserve et de sécuriser la clôture de l'opération dans les délais attendus.
L'idée reçue à corriger : l'intérêt légitime n'est pas une « base légale de secours »
Une erreur fréquente consiste à considérer l'intérêt légitime comme la base légale par défaut lorsque le consentement est difficile à obtenir. Cette approche est inexacte et risquée : l'intérêt légitime n'est pas un substitut au consentement lorsque celui-ci ne peut être recueilli valablement. Il s'agit d'une base légale autonome, avec ses propres conditions de validité, qui ne peut être retenue que si le test de mise en balance produit un résultat positif.
À l'inverse, certaines directions juridiques tendent à systématiser le consentement pour tous les traitements, y compris ceux pour lesquels il n'est ni nécessaire ni adapté. Cette surutilisation du consentement crée des risques opérationnels réels : dès lors que la personne retire son consentement, le traitement doit cesser – ce qui peut affecter des processus internes dont la continuité est pourtant légitime au regard d'autres bases légales.
Le RGPD prévoit six bases légales distinctes. Consentement et intérêt légitime n'en sont que deux. Pour des traitements fondés sur l'exécution d'un contrat, le respect d'une obligation légale ou la sauvegarde d'intérêts vitaux, d'autres bases sont applicables et souvent plus solides. La cartographie des traitements doit distinguer chaque situation plutôt que de procéder par présomption.
La question de la protection des secrets d'affaires illustre bien cette complexité : certaines données internes relevant du secret des affaires peuvent faire l'objet de traitements internes légitimes sans que le consentement des salariés concernés soit techniquement requis, à condition que la base légale appropriée soit documentée.
Check-list : ce qu'il faut préparer avant de choisir votre base légale
- Cartographier précisément chaque traitement concerné : finalités, catégories de données, destinataires, durée de conservation.
- Déterminer si la personne concernée peut raisonnablement anticiper le traitement au regard du contexte de la relation.
- Évaluer si un déséquilibre de pouvoir existe entre le responsable de traitement et les personnes concernées (relation employeur/salarié, position dominante, public vulnérable).
- Documenter le test de mise en balance si l'intérêt légitime est envisagé, ou le mécanisme de preuve du consentement si cette voie est retenue.
- Vérifier la cohérence de la base légale choisie avec les mentions de la politique de confidentialité et le registre des activités de traitement.
La question du choix entre hébergement interne et externalisation des données soulève des enjeux connexes : le comparatif hébergement interne ou externalisation des données détaille les contraintes applicables aux responsables de traitement dans chaque configuration.
Pour les organisations impliquées dans des opérations de concentration ou d'acquisition, la conformité RGPD constitue également un point de vigilance lors des diligences : notre analyse de l'évolution du contrôle des concentrations couvre les points d'attention pour les directions impliquées.
Domaines liés
- Protection des secrets d'affaires – encadrement juridique des informations confidentielles et stratégiques
- Hébergement interne ou externalisation des données – critères de choix et implications contractuelles pour le responsable de traitement
Questions fréquentes sur le choix entre consentement et intérêt légitime (RGPD)
1. Quelle est la différence entre consentement et intérêt légitime (RGPD) ?
Le consentement et l'intérêt légitime sont deux bases légales distinctes prévues par les dispositions du RGPD relatives aux conditions de licéité du traitement. Le consentement repose sur une manifestation de volonté active de la personne concernée : celle-ci accepte explicitement le traitement, peut le refuser sans préjudice, et peut le retirer à tout moment. L'intérêt légitime repose sur une analyse interne conduite par le responsable de traitement, qui doit démontrer que son intérêt réel et actuel ne l'emporte pas sur les droits et libertés fondamentaux des personnes concernées. Les deux options ne sont pas substituables : chaque traitement doit être rattaché à la base légale qui correspond à sa réalité opérationnelle.
2. Comment choisir entre consentement et intérêt légitime (RGPD) ?
Le choix entre consentement et intérêt légitime dépend de trois variables principales : la nature de la relation entre l'organisation et les personnes concernées, la possibilité d'un équilibre de pouvoir ou d'une attente raisonnable de traitement, et la capacité de l'organisation à documenter et maintenir la base légale retenue. Si un déséquilibre de pouvoir existe – relation employeur/salarié, position dominante – le consentement est généralement inadapté. Si les personnes ne peuvent pas raisonnablement anticiper le traitement au regard de leur relation avec l'organisation, l'intérêt légitime ne peut pas être retenu sans garanties complémentaires. Une cartographie des traitements, réalisée traitement par traitement, est le point de départ obligatoire.
3. Peut-on changer de base légale après avoir commencé un traitement ?
Changer de base légale en cours de traitement est possible mais encadré par les dispositions du RGPD et les orientations du CEPD. Une telle modification n'est pas automatiquement valide : elle doit être justifiée par une évolution du contexte ou une erreur d'analyse initiale documentée, et elle ne doit pas constituer un contournement des droits des personnes – notamment si le changement intervient après le refus ou le retrait du consentement. Toute modification doit être reflétée dans le registre des activités de traitement, dans la politique de confidentialité, et faire l'objet d'une communication aux personnes concernées si la nouvelle finalité est incompatible avec l'original.
4. L'intérêt légitime peut-il être invoqué pour la prospection commerciale par e-mail ?
L'intérêt légitime ne peut pas, en règle générale, fonder l'envoi de communications commerciales par voie électronique à des prospects sans relation préalable. Les dispositions de la directive ePrivacy, transposées en droit français dans le Code des postes et des communications électroniques, imposent un consentement préalable pour ce type de communication. En revanche, la prospection auprès de clients existants, dans le strict cadre de la relation commerciale et pour des produits ou services analogues à ceux déjà souscrits, peut dans certains cas reposer sur l'intérêt légitime, sous réserve du respect du droit d'opposition.
5. Quelles sanctions la CNIL peut-elle infliger en cas de base légale non valide ?
La CNIL dispose de pouvoirs de sanction gradués pour les manquements aux obligations du RGPD, notamment en matière de base légale insuffisante ou non documentée. Ces sanctions peuvent prendre la forme d'une mise en demeure assortie d'un délai de mise en conformité, d'une amende administrative dont le niveau est plafonné par les dispositions du RGPD, ou d'une injonction de cessation du traitement. La jurisprudence de la CNIL montre que l'absence de documentation du test de mise en balance constitue en soi un manquement distinct, indépendamment du bien-fondé de l'intérêt poursuivi.
Vernay & Lestang – Avocats d'affaires, Paris
Vernay & Lestang conseille les directions juridiques, les DSI et les directions générales sur les enjeux de conformité aux données personnelles, de protection des actifs immatériels et de propriété intellectuelle. Notre approche repose sur l'analyse précise de chaque traitement, la production de documentation robuste et le suivi opérationnel des mises en conformité. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur le choix de vos bases légales RGPD, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt – Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de données personnelles et de conformité. Voir son profil.
Publié le 10 février 2026.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.