Mise en balance des intérêts selon le RGPD – comment documenter l'intérêt légitime

Réponse courte : L'intérêt légitime selon l'article 6.1 f du RGPD peut être utilisé lorsqu'il existe un intérêt légitime, que le traitement est nécessaire pour atteindre cet intérêt et que les intérêts ou les droits fondamentaux de la personne concernée ne prévalent pas. L'évaluation doit être documentée avant le début du traitement.

Qu'est-ce qu'une mise en balance des intérêts ?

La mise en balance des intérêts est l'une des bases légales du RGPD. Elle est souvent utilisée dans les activités privées lorsque le traitement ne repose pas de manière appropriée sur un contrat, une obligation légale ou un consentement. Il ne s'agit toutefois pas d'une base de réserve générale. L'entreprise doit être en mesure de démontrer pourquoi ce traitement spécifique réussit le test.

Le test en trois étapes d'une mise en balance des intérêts (LIA)

1. Existe-t-il un intérêt légitime ?

Décrivez l'intérêt concret et qui le porte. Il peut s'agir, par exemple, de prévenir la fraude, de maintenir la sécurité des réseaux et de l'information ou d'effectuer certains types de marketing direct.

2. Le traitement est-il nécessaire ?

Demandez-vous si l'objectif peut être atteint d'une manière moins intrusive pour la vie privée. Si le même résultat peut être obtenu avec moins de données, une durée de conservation plus courte ou des données anonymisées, cela doit être pris en compte.

3. Quels intérêts prévalent ?

Évaluez la nature des données, la relation avec la personne concernée, les attentes raisonnables, l'étendue, les mesures de protection et les conséquences potentielles. Les enfants et les autres groupes vulnérables nécessitent une attention particulière.

Que doit contenir la documentation ?

• l'objectif et l'intérêt légitime décrit
• quelles données personnelles et quelles personnes concernées sont touchées
• l'évaluation de la nécessité et les alternatives possibles
• la mise en balance des intérêts de l'entreprise et de la personne concernée
• les mesures de protection, la durée de conservation et les restrictions d'accès
• les informations sur le droit d'opposition et la manière dont les objections sont traitées
• la décision, le responsable et la date de réexamen

Marketing direct et opposition

Le marketing direct est souvent mentionné dans le contexte de l'intérêt légitime, mais cela ne signifie pas que tout marketing est automatiquement autorisé. D'autres règles peuvent également être pertinentes, et si une personne s'oppose au traitement à des fins de marketing direct, ce traitement doit cesser.

Quand une LIA ne suffit-elle pas ?

Une mise en balance des intérêts ne remplace pas une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement risque fort d'entraîner un risque élevé. Elle ne remplace pas non plus les exigences en matière d'information, de minimisation des données, de limitation de la conservation, de sécurité et des autres principes du RGPD.

Erreurs courantes

• décrire l'intérêt de manière trop abstraite, par exemple simplement « avantage commercial »
• sauter l'évaluation de la nécessité
• supposer qu'une relation client implique automatiquement que la personne concernée doit s'attendre au traitement
• ne pas documenter les mesures de protection
• ne jamais réexaminer une ancienne évaluation lorsque le traitement évolue

Voir le pack de modèles pour la mise en balance des intérêts / LIA du Mallbutiken.

FAQ

Le consentement est-il toujours préférable à la mise en balance des intérêts ?

Non. La base légale doit être choisie en fonction du traitement réel. Le consentement est soumis à des exigences particulières et doit notamment être libre et pouvoir être retiré.

Les autorités peuvent-elles utiliser l'article 6.1 f ?

Pas lorsque l'autorité traite des données personnelles dans le cadre de l'exécution de ses missions. Pour les acteurs privés, l'article 6.1 f peut en revanche être pertinent si les conditions sont remplies.

À quelle fréquence une LIA doit-elle être réexaminée ?

Il n'existe pas de période universelle simple. Si l'objectif, le volume de données, la technologie, les destinataires ou le profil de risque changent, l'évaluation doit être réexaminée.

Orientation officielle : L'IMY et le Comité européen de la protection des données proposent des orientations sur l'article 6.1 f et les trois critères de la mise en balance des intérêts.

Cet article constitue une information générale et ne remplace pas un conseil juridique.