[Droit comparé] RGPD : méthodologies disparates dans l’application de l’intérêt légitime.

I. Cadre juridique et jurisprudentiel.

L’utilisation de la base juridique de l’intérêt légitime pour fonder le traitement des données à caractère personnel (art. 6.1 f) du RGPD) englobe un ensemble très large de situations et de possibilités. Les textes juridiques qui le régissent ne précisent pas en détail ses modalités d’utilisation, ce qui donne lieu à des interprétations et des approches disparates, y compris entre les pays européens, comme c’est le cas en Espagne et en France (AEPD et CNIL). Ces interprétations méthodologiques hétérogènes peuvent créer un obstacle à la libre circulation des données à caractère personnel entre les entités, ce qui a un impact sur le développement d’une économie commune de l’espace européen.

L’intérêt légitime apparaît comme une situation de déséquilibre des forces entre deux parties intéressées : une partie qui impose à l’autre sa propre convenance. Le fait de se référer exclusivement à notre propre intérêt comme fondement de nos actes peut susciter une certaine confusion si nous nous aventurons dans des questions éthiques.

Afin de pouvoir décider quelle partie a un intérêt prépondérant, il convient de mettre en balance les droits et libertés de la personne concernée et les intérêts du responsable du traitement.

C’est pourquoi trouver une justification à notre intérêt légitime par la mise en balance des intérêts implique une évaluation qui comporte nécessairement un degré élevé de subjectivité.

Le RGPD lui-même, dans ses considérants 47 à 50, précise les situations dans lesquelles la base juridique peut être l’intérêt légitime, en énumérant divers traitements : données à caractère personnel à des fins de marketing direct, prévention de la fraude, partage de données au sein du même groupe d’entreprises, sécurité du réseau et de l’information...

Le groupe de travail « Article 29 » (actuel Comité européen de la protection des données (CEPD)) a décidé d’aborder cette notion dans son Avis 06/2014 en raison d’un manque d’harmonisation dans l’interprétation de ce point de la Directive 95/46/CE entre les États membres, en fournissant une liste non exhaustive de certains des contextes les plus courants dans lesquels la question de l’intérêt légitime peut se poser.

Il convient de souligner l’arrêt du 24 novembre 2011 dans l’affaire ASNEF et FECEMD, par lequel la CJUE a limité la marge d’interprétation des États membres pour l’application des différentes bases juridiques du traitement : les États membres ne peuvent ni ajouter de nouveaux principes relatifs à la légitimation des traitements de données à caractère personnel, ni imposer des exigences supplémentaires qui modifieraient la portée de l’un des six fondements énoncés dans l’article sur les bases juridiques.

L’avis susmentionné du GT 29 expose les différentes étapes pertinentes pour appliquer l’intérêt légitime comme fondement d’un traitement : évaluer la notion en soi (si l’intérêt est licite, concret, réel et actuel), si elle est nécessaire et s’il existe d’autres méthodes moins intrusives, puis procéder à la mise en balance des intérêts en fonction du contexte (impact sur les droits et libertés des personnes concernées, leurs attentes raisonnables, relations et contexte entre le responsable du traitement et les personnes concernées, etc.).

Mais l’avis ne propose pas de méthodologie pratique applicable pour la mise en balance de l’intérêt légitime.

Face à cette lacune, il est essentiel de consulter les positions adoptées par les autorités de contrôle compétentes. Nous nous concentrerons en particulier sur les autorités de contrôle espagnoles et françaises.

II. Les méthodologies des autorités de contrôle compétentes.

A. Une méthodologie particulière en France.

Le Conseil d’État français applique clairement les recommandations du Comité européen, comme le montre sa décision de 2020 dans laquelle il estime que le stockage des numéros de cartes bancaires des clients de sites de commerce électronique afin de faciliter les achats futurs doit être soumis au consentement explicite de la personne concernée et non à l’intérêt légitime comme base juridique, compte tenu de l’importance de ces informations bancaires et du préjudice que leur collecte et leur utilisation abusive peuvent causer aux personnes concernées, et étant donné que de nombreux clients qui utilisent les sites de commerce électronique pour effectuer des achats ponctuels ne peuvent raisonnablement s’attendre à ce que les entreprises concernées conservent ces données sans leur consentement.

L’autorité de contrôle française (CNIL) publie sur son site web une fiche pratique sur l’intérêt légitime, datée du 2 décembre 2019 avec des questions et réponses. Elle propose les étapes méthodologiques suivantes : identification du caractère légitime de l’intérêt poursuivi par le responsable du traitement et vérification du caractère nécessaire du traitement au regard de cet objectif ; évaluation du préjudice pour les intérêts, les droits et les libertés des personnes et prise en compte de leurs attentes raisonnables ; pondération de ces éléments et, si nécessaire, adoption de mesures supplémentaires telles que s’assurer que le traitement ne porte pas atteinte au contenu essentiel, à la substance même des principes fondamentaux du RGPD et à ses principales lignes directrices (par exemple, la réalisation de traitements massifs ou de données sensibles sont des indices d’un risque de violation grave) ; s’assurer qu’il ne porte pas atteinte aux droits fondamentaux tels que la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté de réunion et d’association, le droit à la propriété, le droit d’asile, les droits des enfants et des personnes âgées, les droits sociaux, les droits de citoyenneté, etc. (par exemple, un traitement de données qui limite l’accès des personnes à des informations essentielles, telles que certains discours politiques, constitue une violation manifeste de leur liberté d’information) ; s’assurer qu’il ne porte pas atteinte aux intérêts des personnes, c’est-à-dire si le traitement affecte leur situation particulière, au-delà de son impact éventuel sur leurs droits, comme leur situation physique, économique ou sociale (si le traitement leur cause un préjudice économique ou les prive de l’accès à un service essentiel).

Toutefois, dans la publication précitée de la CNIL, dans un encadré soulignant l’importance de l’information, l’autorité de contrôle française expose une approche méthodologique particulière : « En pratique, pour les traitements les plus courants, cette méthodologie peut être prise en charge par la CNIL, en illustrant, dans les référentiels qu’elle publie progressivement sur les principales catégories de traitements, les cas et les circonstances dans lesquels le recours à l’intérêt légitime constitue un fondement valide pour les responsables du traitement ».

L’autorité française préconise une approche méthodologique pragmatique de l’évaluation des intérêts pour les traitements les plus courants, qui est réalisée par la CNIL elle-même et communiquée par le biais de ses lignes directrices et guides.

Pour pouvoir fonder le traitement sur l’intérêt légitime, le responsable du traitement français se limite à vérifier que le traitement en question figure parmi les cas proposés par les guides publiés par la CNIL. Une telle méthodologie pourrait être qualifiée de « prédéfinie », et il est certain que la marge d’erreur dans ce type d’analyse réalisée par une élite juridique est minime, garantissant ainsi une plus grande sécurité juridique dans l’application de l’intérêt légitime comme fondement.

Les traitements ayant pour base juridique l’intérêt légitime décrits dans les différents guides ou référentiels sont à la disposition des utilisateurs sur le site web de la CNIL. Ainsi, par exemple, la CNIL propose l’intérêt légitime comme base juridique pour les traitements d’enquêtes de satisfaction client et les actions de prospection commerciale par voie électronique entre professionnels (sous certaines conditions), ou encore certains traitements de données à caractère personnel appliqués à des fins de gestion du personnel.

Cela contribue à limiter et à éviter les abus actuellement constatés de la part d’entreprises puissantes qui utilisent indûment la base de l’intérêt légitime comme couverture pour détourner les finalités.

Toutefois, si l’autorité compétente prédéfinit les cas dans lesquels l’intérêt légitime peut être invoqué, la prise en compte des circonstances particulières de chaque cas disparaît. Cette limitation pourrait être interprétée comme une atteinte à la liberté et contraire au principe d’Accountability.

Par ailleurs, la personne concernée pourrait contester le résultat de cet exercice de mise en balance et pourrait invoquer son droit d’opposition. Mais elle ne pourrait pas s’adresser directement au responsable du traitement, car ce dernier ne disposerait pas des arguments pour justifier la pondération. Les parties devraient donc s’adresser à la CNIL, cette dernière étant partie prenante dans la procédure. Il en résulte un conflit d’intérêts manifeste qui empêcherait la CNIL de statuer sur l’affaire.

B. Une méthodologie classique en Espagne.

L’autorité compétente espagnole, l’AEPD, impose dans chaque cas concret de procéder à une mise en balance entre l’intérêt légitime de la personne qui va traiter les données et les droits fondamentaux des personnes concernées, afin de déterminer lequel prévaut compte tenu des circonstances. Les rapports du cabinet juridique de l’AEPD confirment cette interprétation, préconisant que lorsque la base est l’intérêt légitime, la mise en balance des intérêts en conflit dépendra des circonstances concrètes de chaque cas. Le responsable du traitement espagnol est tenu de procéder à une mise en balance des intérêts chaque fois qu’il envisage de fonder son traitement sur l’intérêt légitime, et doit être en mesure de justifier la prévalence de ses intérêts, conformément au principe de responsabilité proactive ou Accountability. La pratique en Espagne suit une application littérale des textes, de la jurisprudence et des avis en la matière.