Intérêt légitime

L’intérêt légitime est la plus souple des six bases légales et la plus contestée. Les lignes directrices 1/2024 du CEPD (Comité européen de la protection des données), d’octobre 2024, rappellent le test en trois étapes : identifier un intérêt légitime, montrer que le traitement lui est nécessaire, et le mettre en balance avec les intérêts, les droits et les attentes raisonnables de la personne concernée, en tenant compte des garanties. La personne concernée peut s’opposer à tout moment au titre de l’article 21, et le responsable de traitement doit alors cesser, sauf s’il démontre des motifs impérieux.

Pour les cookies, l’intérêt légitime a une limite stricte. Le stockage d’informations sur l’appareil, ou l’accès à ces informations, relève de l’article 5, paragraphe 3 de la directive ePrivacy, qui ne connaît que le consentement et les deux exemptions ; la task force « bandeaux cookies » du CEPD a écrit en 2023 que l’intérêt légitime ne peut pas être la base légale du dépôt ou de la lecture de cookies. Les bandeaux qui listent des finalités « intérêt légitime » dans le cadre du TCF ont été critiqués précisément pour cela, et pour obliger les utilisateurs à refuser deux fois.

L’intérêt légitime reste pertinent pour ce qui se passe après un cookie licite et exempté : une mesure d’audience interne configurée dans le cadre d’une exemption nationale, la prévention de la fraude ou la journalisation de sécurité. L’ANPD brésilienne l’accepte pour les cookies strictement nécessaires et la mesure d’audience simple ; l’exception britannique pour finalités statistiques, en vigueur depuis le 5 février 2026 selon les règles britanniques, est une version légiférée de la même idée. Voir la mesure d’audience sans consentement pour savoir quand cela fonctionne et quand non.