Dans une décision très attendue rendue le 4 octobre 2024 (aff. C-621/22), la Cour de justice de l’Union européenne (CJUE) a clarifié une question essentielle pour les responsables de traitement de données en Europe : un intérêt purement commercial peut, sous certaines conditions, être considéré comme un intérêt légitime au sens de l’article 6(1)(f) du RGPD. Cette décision répond ainsi à une position stricte et injustifiée de l’autorité de protection des données néerlandaise (Autoriteit Persoonsgegevens – AP), qui remettait en question cette possibilité depuis des années.
1. La confirmation d’un cadre connu mais contesté
Depuis l’entrée en application du RGPD, il est d’usage pour un responsable de traitement de considérer qu’un intérêt commercial peut justifier certains traitements de données, en l’absence de consentement, dès lors que cet intérêt est conforme notamment aux exigences de licéité et de proportionnalité imposées par le RGPD. Pourtant, l’AP maintenait une interprétation particulièrement restrictive, exigeant que les intérêts légitimes soient fondés en droit, c’est-à-dire qu’ils doivent être consacrés et déterminés par une loi, ce qui ne pouvait inclure des intérêts purement commerciaux.
Cette position restrictive, en décalage avec la pratique de nombreux acteurs européens, a introduit un climat d’incertitude juridique, limitant les possibilités pour les organisations d’invoquer l’article 6(1)(f) pour leurs traitements de données.
Le 4 octobre dernier, la CJUE a mis un terme à ce débat de manière pragmatique en tranchant que l’intérêt légitime n’a pas à être nécessairement codifié dans une loi, mais peut inclure des intérêts purement commerciaux, à condition que le traitement mis en œuvre respecte les droits et les libertés fondamentaux des personnes concernées.
2. Les exigences du RGPD : test en trois étapes de la CJUE
La Cour rappelle les conditions du RGPD pour s’appuyer sur l’article 6(1)(f) :
- Existence d’un intérêt légitime : un large éventail d’intérêts, y compris commerciaux, peut être invoqué.
- Nécessité du traitement : le traitement doit être proportionnel et strictement nécessaire pour atteindre cet objectif.
- Pondération avec les droits des personnes concernées : les droits et libertés des personnes concernées doivent primer sur l’intérêt commercial si les effets du traitement sont excessifs ou inattendus.
En réaffirmant que des intérêts commerciaux peuvent constituer un intérêt légitime, la CJUE apporte des certitudes renouvelées aux responsables de traitement, en respectant l’intention du législateur européen. Le considérant 47 du RGPD mentionne en effet les activités de prospection comme exemples d’intérêts légitimes pouvant être poursuivis par un responsable de traitement, remettant ainsi en cause l’interprétation restrictive adoptée jusqu’ici par l’autorité de contrôle néerlandaise.
3. Une évolution parallèle : le CEPD et les nouvelles lignes directrices sur l’intérêt légitime
En parallèle, le Comité Européen de la Protection des Données (CEPD) a lancé le 9 octobre dernier (https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2024/guidelines-12024-processing-personal-data-based_en) une consultation publique sur les Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR.
Ces lignes directrices visent à fournir une interprétation harmonisée de l’article 6(1)(f), en détaillant les critères que les responsables de traitement doivent respecter pour invoquer l’intérêt légitime comme base légale, tout en offrant aux responsables de traitement des exemples concrets et des éclaircissements sur l’application des intérêts légitimes (prévention de la fraude, marketing direct, sécurité des systèmes d’information).
L’initiative du CEPD arrive à point nommé, renforçant l’objectif d’une application claire et prévisible du RGPD au sein de l’Union. En permettant aux acteurs concernés de soumettre leurs observations, cette consultation publique contribue également à une meilleure compréhension et application de l’article 6(1)(f).
⇒ Mark SURMAN, avocat
