Le test de l’intérêt légitime : guide de mise en balance selon la KVKK et le RGPD

L’intérêt légitime est un fondement du traitement des données personnelles fréquemment utilisé dans le cadre de la KVKK et du RGPD, mais souvent mal interprété. Dire que « l’entreprise a un intérêt commercial » ne suffit pas à rendre le traitement licite.

L’évaluation de l’intérêt légitime doit examiner conjointement sa légitimité, la nécessité du traitement et la mise en balance avec les droits et libertés fondamentaux de la personne concernée.

L’intérêt légitime selon la KVKK

Selon l’article 5, paragraphe 2, point f), de la loi n° 6698, les données personnelles peuvent être traitées sans consentement explicite lorsque ce traitement est nécessaire aux intérêts légitimes du responsable du traitement, sous réserve de ne pas porter atteinte aux droits et libertés fondamentaux de la personne concernée.

Tout intérêt commercial est-il un intérêt légitime ?

Non.

Le guide actuel de l’Autorité turque de protection des données personnelles précise les conditions suivantes pour l’intérêt légitime :

il doit être celui du responsable du traitement,
il doit être actuel et légitime,
il doit être mis en balance avec les droits et libertés fondamentaux de la personne concernée.

Ces conditions s’appliquent conjointement.

Le test de mise en balance en deux étapes selon la KVKK

Le guide actuel de l'institution comprend une approche d'évaluation en deux étapes.

Étape 1: Y a-t-il un intérêt légitime?

Premièrement, il est déterminé si le responsable du traitement des données a un intérêt légitime réel et existant.

Étape 2: Équilibre avec les droits et libertés

L'impact éventuel sur les droits et libertés fondamentaux de la personne concernée est évalué.

Le test de nécessité

Si l’objectif légitime peut être atteint sans traiter de données personnelles ou par une méthode moins intrusive, le traitement envisagé peut ne pas être considéré comme « nécessaire ».

Par exemple, l’enregistrement audio continu doit être justifié séparément lorsque l’enregistrement vidéo suffit à assurer la sécurité.

Attentes raisonnables

La question de savoir si la personne concernée peut raisonnablement s’attendre à ce traitement dans le cadre de la relation donnée est un élément important de la mise en balance.

Minimisation des données

Ce n'est pas parce qu'il est dans l'intérêt légitime que l'entreprise peut traiter autant de données qu'il veut.

Le traitement doit être :

lié à la finalité,
limité,
proportionné.

Ces limites doivent être respectées.

Qu'est-ce que LIA?

Le Legitimate Interest Assessment (LIA) est une méthode pratique pour documenter l’évaluation de l’intérêt légitime, notamment dans le cadre du RGPD.

La législation du KVKK ne réglemente pas un formulaire standard obligatoire sous le nom de « LIA ». Toutefois, documenter par écrit l'intérêt légitime et l'analyse de l'équilibre est une pratique solide en matière de responsabilisation.

L’intérêt légitime selon le RGPD

L'article 6, paragraphe 1, point f), du RGPD accepte les intérêts légitimes du responsable du traitement ou d'un tiers comme base juridique dans certaines circonstances.

Ce point diffère de la terminologie du texte du KVKK; la disposition du KVKK est axée sur l'intérêt légitime du responsable du traitement des données.

Lignes directrices EDPB 1/2024

En 2024, l’EDPB a soumis à consultation publique les lignes directrices 1/2024 sur l’intérêt légitime au titre de l’article 6, paragraphe 1, point f).

En septembre 2026, le travail sur la version finale de ces lignes directrices figure apparemment parmi les points prévus au programme de travail 2026–2027 de l’EDPB.

La version soumise à consultation ne doit donc pas être présentée comme des « lignes directrices finales et contraignantes de 2026 ».

L'approche en trois étapes du RGPD

Dans le cadre du RGPD, l’évaluation suit généralement ces étapes :

déterminer l’intérêt légitime,
évaluer la nécessité du traitement,
le mettre en balance avec les intérêts, droits et libertés de la personne concernée.

L’évaluation couvre ces trois étapes.

Exemple : surveillance de la messagerie professionnelle

L’employeur peut avoir un intérêt en matière de sécurité ou de continuité d’activité. Il faut toutefois aussi évaluer l’étendue de l’accès aux communications des salariés, l’information préalable, les solutions moins intrusives et les habilitations d’accès.

Exemple : Caméra

Même lorsque les caméras sont nécessaires à la sécurité, il faut évaluer séparément si l’enregistrement audio à cette même fin est nécessaire et proportionné.

Documenter l’intérêt légitime

Un dossier pratique peut comprendre :

finalité du traitement,
intérêt légitime,
nécessité du traitement,
méthodes alternatives,
les catégories de données traitées,
une attente raisonnable de la personne concernée,
l'impact sur les droits et les libertés,
des mesures de réduction des risques,
Résultat.

Liste de contrôle de l’intérêt légitime

L’intérêt est-il réel et actuel ?
L’intérêt est-il licite ?
Est-il vraiment nécessaire de traiter les données personnelles?
Existe-t-il une solution moins intrusive ?
Quelles sont les attentes raisonnables de la personne concernée ?
Un enfant ou un groupe vulnérable est-il concerné ?
La quantité de données a-t-elle été réduite au minimum?
Le droit d’opposition et les autres droits de la personne concernée ont-ils été examinés ?
L'analyse a-t-elle été enregistrée par écrit?

L'approche B10

B10 Digital Agency ne limite pas l’analyse des fondements du traitement aux documents. L’agence évalue les traitements réels dans le CRM, l’analytique, les systèmes RH, l’IA et les autres flux de données à partir d’un inventaire technique.

Conclusion

L’intérêt légitime n’est pas une option pour dire « nous ne voulons pas recueillir de consentement explicite ». Le traitement doit être nécessaire et un véritable équilibre doit être établi entre l’intérêt du responsable et les droits de la personne concernée.

Ce contenu est destiné à des fins d'information générale; une activité concrète de traitement des données devrait également être évaluée.