Antonio Tejeda Encinas, CEO de Meta Channel Corp., président de l’Euro-American Committee of Digital Law
1. Introduction
Le traitement des données à caractère personnel dans l’environnement des entreprises a connu d’importantes transformations avec la mise en œuvre du règlement général sur la protection des données (RGPD). L’une des questions les plus controversées est l’utilisation de l’« intérêt légitime » comme base juridique du traitement des données, prévue à l’article 6, paragraphe 1, point f), du RGPD. Le récent arrêt de la Cour de justice de l’Union européenne (CJUE) dans l’affaire C-621/22 a ouvert de nouveaux débats sur l’interprétation de cette notion, en particulier en ce qui concerne les activités commerciales.
L’objet de cette étude est d’examiner comment l’intérêt légitime et l’intérêt commercial s’articulent à la lumière de la jurisprudence récente de l’Union européenne. Elle propose en outre des lignes directrices pratiques aux entreprises, afin qu’elles puissent garantir leur conformité réglementaire sans compromettre leurs objectifs commerciaux.
Le RGPD retient l’intérêt légitime comme l’une des bases juridiques du traitement des données à caractère personnel, mais n’en donne pas de définition détaillée. Selon l’article 6, paragraphe 1, point f), le traitement est licite s’il est nécessaire aux fins des « intérêts légitimes » poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée.
Il en découle que, pour déterminer si un intérêt est légitime, une appréciation contextuelle est nécessaire, fondée sur les principes de réalité et de précision. Les considérants 47, 48 et 49 du RGPD fournissent des orientations en indiquant que l’intérêt légitime doit être concret, actuel et non purement hypothétique. Le recours à cette base juridique doit donc intervenir après une analyse attentive des intérêts en présence.
L’intérêt légitime peut couvrir des objectifs comme la prévention de la fraude, la sécurité des réseaux et des systèmes d’information ou la protection des biens de l’entreprise. Cependant, lorsqu’il s’agit de justifier des activités commerciales, comme le marketing ou la publicité, l’appréciation devient plus stricte et tient compte de facteurs tels que la prévisibilité pour les personnes concernées et la transparence des traitements.
L’intérêt commercial, entendu comme l’intention d’obtenir un bénéfice économique ou un avantage concurrentiel, peut être admis au titre du RGPD si certaines conditions sont réunies. Toutefois, l’Agencia Española de Protección de Datos (AEPD, autorité espagnole de protection des données) et le Tribunal Supremo (Cour suprême espagnole) ont exprimé des réserves quant à la prévalence de ces intérêts lorsqu’ils entrent en conflit avec les droits fondamentaux des personnes.
Dans son arrêt 840/2020, le Tribunal Supremo a affirmé que les objectifs commerciaux d’une entreprise ne peuvent prévaloir sur le droit de la personne à la protection de ses données. À l’inverse, l’Information Commissioner’s Office (ICO) du Royaume-Uni a adopté une approche plus souple, en admettant certains traitements à des fins commerciales sous réserve d’une appréciation rigoureuse de leur proportionnalité.
L’arrêt de la CJUE dans l’affaire C-621/22 traite de cette question et indique dans quels cas un intérêt commercial peut être considéré comme légitime. Dans cette affaire, l’intérêt invoqué portait sur la communication à des tiers, à des fins de marketing, des données à caractère personnel des membres d’une fédération sportive, ce qui a été remis en cause faute de correspondre aux attentes des personnes concernées.
Le RGPD prévoit que l’intérêt légitime ne peut servir de base juridique que si le traitement est réellement nécessaire à l’objectif poursuivi et s’il n’existe pas d’alternatives moins intrusives. La « nécessité » implique que le traitement des données soit directement lié à la réalisation de la finalité et que d’autres options plus respectueuses de la vie privée ne soient pas envisageables.
L’arrêt C-621/22 de la CJUE souligne que les responsables du traitement doivent démontrer qu’ils ont examiné d’autres alternatives avant de fonder le traitement sur l’intérêt légitime. De même, le traitement doit porter le moins possible atteinte aux droits des personnes, en appliquant les principes de minimisation des données et de proportionnalité.
L’arrêt C-621/22 traite de questions essentielles pour comprendre la portée de l’intérêt légitime dans le cadre du RGPD :
1. Comment faut-il entendre la notion d’« intérêt légitime » au sens du RGPD ?
2. Un intérêt purement commercial peut-il, dans certaines circonstances, être qualifié de légitime ?
La CJUE a précisé qu’un intérêt légitime n’a pas besoin d’être expressément prévu par la loi, mais qu’il doit respecter le principe de licéité et être cohérent avec les attentes raisonnables des personnes au moment de la collecte de leurs données. Il en résulte qu’un traitement fondé exclusivement sur un intérêt commercial ne peut être considéré comme légitime que si les conditions suivantes sont remplies :
Licéité : l’intérêt commercial ne doit enfreindre aucune disposition légale en vigueur.
Nécessité : le traitement doit être indispensable à la réalisation de l’objectif commercial poursuivi.
Proportionnalité : il convient d’apprécier si l’incidence sur les droits des personnes concernées est minimale et si celles-ci peuvent raisonnablement s’attendre à ce que leurs données soient utilisées à cette fin.
Dans le cas d’espèce, la CJUE a conclu que la vente de données à une entreprise de jeux d’argent ne correspondait pas aux attentes des personnes concernées, ce qui a invalidé le recours à l’intérêt commercial comme base juridique.
