RGPD6 min de lecture
Peut-on invoquer l'intérêt légitime pour les cookies ?
L'intérêt légitime ne remplace pas le consentement pour les cookies non essentiels dans l'UE. Pourquoi, où il s'applique encore et ce que le TCF 2.2 a changé.
En général, non. Dans l’UE, la directive ePrivacy exige un consentement avant de stocker ou de lire des cookies non essentiels, et elle ne prévoit aucune alternative fondée sur l’intérêt légitime. L’intérêt légitime est une base légale du RGPD pour le traitement de données personnelles : il peut donc jouer un rôle pour les données traitées via un cookie strictement nécessaire, mais il ne peut pas, à lui seul, justifier des cookies de mesure d’audience ou publicitaires.
Pourquoi l’intérêt légitime ne peut-il pas remplacer le consentement aux cookies ?
Parce que la règle qui régit les cookies ne figure pas dans le RGPD. Il s’agit de l’article 5(3) de la directive ePrivacy, qui n’autorise le stockage ou la lecture d’informations sur un appareil qu’avec un consentement ou au titre de deux exemptions limitées, et l’intérêt légitime n’en fait pas partie.
La confusion est compréhensible. L’article 6 du RGPD énumère six bases légales pour le traitement de données personnelles : le consentement, l’exécution d’un contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et les intérêts légitimes. Comme les cookies impliquent souvent des données personnelles, il est tentant d’en déduire que n’importe laquelle de ces six bases fera l’affaire.
Le problème, c’est que la règle ePrivacy est la loi spéciale qui régit l’accès à un appareil, et qu’elle s’applique même en l’absence de données personnelles. La question « puis-je déposer ce cookie ? » relève donc uniquement de l’ePrivacy. Les bases légales du RGPD n’entrent en jeu que pour ce que vous faites ensuite des données personnelles. Notre article Directive ePrivacy vs RGPD détaille ce raisonnement en deux temps.
Qu’est-ce que l’intérêt légitime au sens du RGPD ?
L’intérêt légitime, prévu à l’article 6(1)(f), autorise un traitement nécessaire aux intérêts légitimes que vous poursuivez ou que poursuit un tiers, à moins que ne prévalent les intérêts ou les droits fondamentaux de la personne concernée. Cette base est souple, mais elle s’accompagne de véritables obligations.
Pour l’invoquer, il faut satisfaire à un test en trois volets, généralement consigné dans une évaluation de l’intérêt légitime :
- Finalité. L’intérêt est-il légitime, clairement défini et licite ?
- Nécessité. Le traitement est-il réellement nécessaire à cette finalité, ou existe-t-il un moyen moins intrusif d’y parvenir ?
- Mise en balance. Les droits et les attentes raisonnables de la personne l’emportent-ils sur votre intérêt ?
Les personnes disposent généralement d’un droit d’opposition aux traitements fondés sur l’intérêt légitime, et vous devez les en informer. Le suivi discret d’un site à l’autre à des fins publicitaires est difficile à justifier au terme de cette mise en balance, car la plupart des gens ne s’y attendent pas.
Dans quels cas l’intérêt légitime peut-il encore s’appliquer aux cookies ?
Il peut s’appliquer aux données personnelles traitées via des cookies exemptés de consentement, ainsi qu’aux traitements qui n’impliquent aucun accès à l’appareil. Il ne peut pas couvrir l’accès à l’appareil lui-même à des fins non essentielles.
| Scénario | Stockage ou lecture sur l’appareil (ePrivacy) | Traitement ultérieur des données (RGPD) |
|---|---|---|
| Cookie de session de connexion | Exempté car strictement nécessaire | Généralement le contrat ; intérêt légitime possible |
| Cookie de répartition de charge | Exempté car strictement nécessaire | L’intérêt légitime est courant |
| Contrôles de sécurité et antifraude sur un service demandé | Souvent exempté s’il est strictement nécessaire ; vérifiez les recommandations locales | L’intérêt légitime est courant |
| Cookies de mesure d’audience | Consentement, sauf exemption nationale limitée | Le consentement est l’option la plus sûre |
| Publicité et reciblage | Consentement | Consentement en pratique |
| Analyse côté serveur sans accès à l’appareil | En général non concerné ; vérifiez comment les données sont collectées | L’intérêt légitime peut être envisageable |
Les premières lignes supposent que le cookie soit réellement strictement nécessaire, et notre guide des cookies strictement nécessaires précise où passe cette limite. La dernière ligne correspond à l’idée qui sous-tend de nombreuses solutions de mesure d’audience sans cookies, même si « sans cookies » ne signifie pas automatiquement « sans consentement ».
Une règle ferme émane du Comité européen de la protection des données (CEPD), qui coordonne les autorités européennes : vous ne pouvez pas changer de base légale a posteriori. Si vous avez demandé le consentement et que le visiteur l’a refusé ou retiré par la suite, vous ne pouvez pas poursuivre le même traitement sur le fondement de l’intérêt légitime.
Qu’est-ce que l’IAB TCF 2.2 a changé pour l’intérêt légitime ?
La version 2.2 de l’IAB Europe Transparency & Consent Framework (TCF), publiée en 2023, a supprimé l’intérêt légitime comme base autorisée pour les finalités de publicité et de personnalisation du contenu. Elle a ainsi fermé la voie par laquelle l’intérêt légitime apparaissait le plus souvent dans les bandeaux cookies.
Le TCF est un standard du secteur qu’utilisent de nombreux éditeurs et fournisseurs ad tech pour recueillir les choix de consentement et les transmettre tout au long de la chaîne publicitaire. Avant la version 2.2, de nombreux bandeaux comportaient un onglet « intérêt légitime » distinct, listant des fournisseurs et des finalités activés par défaut, avec une option d’opposition que peu de visiteurs trouvaient.
Avec le TCF v2.2, les finalités 3 à 6 (créer des profils pour la publicité personnalisée, utiliser des profils pour sélectionner des publicités personnalisées, créer des profils pour personnaliser le contenu et utiliser des profils pour sélectionner du contenu personnalisé) requièrent le consentement. La finalité 1, stocker des informations sur un appareil ou y accéder, l’exigeait déjà. Certaines finalités de mesure et de développement de produits peuvent encore recourir à l’intérêt légitime dans le cadre du framework, mais cela ne change rien à ce qu’exige la directive ePrivacy pour les cookies eux-mêmes.
La version 2.2 impose aussi d’afficher le nombre de fournisseurs dès le premier niveau du bandeau. Notre guide de l’IAB TCF 2.2 présente les autres changements.
Comment gérer l’intérêt légitime dans votre dispositif de consentement ?
Séparez clairement les cookies soumis au consentement des traitements fondés sur l’intérêt légitime, et n’utilisez jamais l’intérêt légitime comme solution de repli lorsque le consentement fait défaut. Un processus simple aide :
- Associez chaque cookie et traceur à une finalité. Incluez les balises chargées via des gestionnaires de balises et des plugins.
- Répondez d’abord à la question ePrivacy. Pour chaque élément, déterminez s’il est strictement nécessaire ou s’il requiert un consentement. Il n’y a pas de troisième option.
- Choisissez une base légale RGPD pour le traitement qui suit. Documentez-la et rédigez une évaluation de l’intérêt légitime chaque fois que vous invoquez cette base.
- Expliquez simplement les traitements fondés sur l’intérêt légitime. Décrivez-les dans votre politique de confidentialité et proposez un moyen simple de s’y opposer, plutôt que des interrupteurs pré-activés enfouis dans un second niveau.
- Respectez les refus quelle que soit la base. Si un visiteur refuse la mesure d’audience, arrêtez le traitement de mesure d’audience, pas seulement le cookie.
- Faites le point lorsque vos fournisseurs changent. Les nouveaux outils arrivent souvent avec leurs propres hypothèses sur les bases légales, qui ne correspondent pas forcément aux vôtres.
En résumé
L’intérêt légitime est une véritable base légale du RGPD, mais pour les cookies, il n’intervient qu’en aval de la question ePrivacy, jamais à sa place. Si un cookie n’est pas strictement nécessaire, demandez le consentement. S’il l’est, vous pouvez envisager l’intérêt légitime pour le traitement qui suit, à l’appui d’une évaluation documentée. Des outils comme Cookiesh peuvent retenir les scripts de mesure d’audience et de marketing jusqu’au consentement tout en laissant s’exécuter les scripts nécessaires, ce qui permet de maintenir cette frontière nette en pratique.
Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.
Questions fréquentes
Les cookies de mesure d'audience peuvent-ils reposer sur l'intérêt légitime ?
Dans la plupart des pays de l'UE, non. Le dépôt ou la lecture de cookies de mesure d'audience nécessite un consentement, sauf exemption nationale. Certaines autorités autorisent sans consentement une mesure d'audience propriétaire très encadrée, mais les conditions sont strictes et varient d'un pays à l'autre.
Qu'est-ce qu'une évaluation de l'intérêt légitime ?
C'est un document écrit qui démontre que votre finalité est légitime, que le traitement est nécessaire pour l'atteindre et que votre intérêt ne l'emporte pas sur les droits et les attentes de la personne. Les autorités s'attendent à en voir une lorsque vous invoquez cette base légale.
Pourquoi certains bandeaux de consentement comportent-ils un onglet « intérêt légitime » ?
Les bandeaux fondés sur l'IAB Transparency & Consent Framework listent des finalités et des fournisseurs, et certaines finalités peuvent encore invoquer l'intérêt légitime, avec une possibilité d'opposition. Depuis le TCF v2.2, les finalités de publicité et de personnalisation du contenu ne peuvent plus y recourir.
Quelle est la base légale des cookies strictement nécessaires ?
Le cookie lui-même ne requiert pas de consentement grâce à l'exemption ePrivacy pour le stockage strictement nécessaire. Les données personnelles traitées par son intermédiaire nécessitent toutefois une base légale au titre du RGPD, souvent l'exécution d'un contrat ou l'intérêt légitime selon la finalité.
Sources
Équipe éditoriale Cookiesh
Ingénieurs vie privée et spécialistes de la conformité, nous rédigeons des guides pratiques sur le consentement, les cookies et la protection des données pour les équipes produit.
