Triple test RGPD : modèle d’analyse de l’intérêt légitime

Écrire « intérêt légitime » dans une fiche ne démontre pas la licéité du traitement. Il faut expliquer l’intérêt poursuivi, la nécessité de l’opération et son équilibre avec les intérêts et droits des personnes. Le triple test transforme ces trois conditions en une décision documentée.

Mise à jour du 28 septembre 2026 : ajout de l’arrêt de la CJUE du 4 octobre 2024 (C-621/22, KNLTB) confirmant qu’un intérêt purement commercial peut être légitime, du projet de lignes directrices du CEPD (Guidelines 1/2024) qui formalise le même test en trois étapes au niveau de l’Union, et d’un exemple appliqué à l’entraînement d’un système d’IA d’après la fiche CNIL du 19 juin 2025 ; FAQ complétée.

Ce que le test doit établir

L’Art. 6(1)(f) permet un traitement nécessaire aux intérêts légitimes du responsable ou d’un tiers, sauf prépondérance des intérêts ou libertés et droits fondamentaux de la personne, notamment lorsqu’il s’agit d’un enfant. Ces conditions sont cumulatives. Il ne suffit pas que l’organisation estime son objectif utile. Source : RGPD, Art. 6(1)(f).

Le dernier alinéa de l’Art. 6(1) exclut ce fondement pour les autorités publiques dans l’exécution de leurs missions ; il ne formule pas une interdiction abstraite de tout usage par une personne publique, indépendamment du contexte.

Le guide de l’intérêt légitime expose le cadre général. Le présent modèle sert à examiner un traitement précis avant son lancement ou son changement.

Un triple test désormais consacré par le droit de l’Union

Le triple test décrit dans cette page n’est pas une invention de la doctrine française. Deux textes récents, l’un juridictionnel et l’autre interprétatif, le confirment au niveau de l’Union.

Dans l’arrêt Koninklijke Nederlandse Lawn Tennisbond (KNLTB), 4 octobre 2024, C-621/22, la Cour de justice de l’Union européenne a jugé qu’un intérêt purement commercial peut constituer un intérêt légitime au sens de l’Art. 6(1)(f) : l’article ne réserve pas cette base légale aux intérêts prévus par un texte ou rattachés à la personne concernée. L’affaire portait sur la transmission, par une fédération sportive néerlandaise, des données de ses adhérents à des partenaires commerciaux sans consentement préalable ; l’autorité de contrôle néerlandaise (Autoriteit Persoonsgegevens) avait estimé qu’un intérêt purement économique ne pouvait pas fonder le traitement. La Cour a censuré cette lecture restrictive, tout en rappelant que les trois conditions cumulatives — licéité de l’intérêt, nécessité du traitement, absence de prépondérance des intérêts de la personne — restent intégralement applicables, et qu’une autorité de contrôle ne peut pas ajouter une condition que le texte ne prévoit pas. Source : CJUE, 4 octobre 2024, C-621/22, Koninklijke Nederlandse Lawn Tennisbond.

Sur le plan interprétatif, le CEPD a soumis à consultation publique, du 8 octobre au 20 novembre 2024, un projet de lignes directrices consacré à l’Art. 6(1)(f) : les Guidelines 1/2024. Ce projet structure l’analyse selon les mêmes trois étapes cumulatives que celles retenues par la CNIL depuis 2019 — intérêt légitime, nécessité, mise en balance — et détaille en particulier les critères de l’étape de nécessité (absence de moyen alternatif raisonnablement aussi efficace et moins attentatoire) et les facteurs de la mise en balance (nature des données, contexte, attentes raisonnables, conséquences pour la personne). À la date de rédaction, ce texte demeure un projet : sa version définitive n’a pas été publiée. Il ne modifie donc pas le droit applicable, mais donne une indication convergente de la méthode attendue par les autorités de contrôle de l’Union. Source : CEPD, projet de lignes directrices 1/2024 sur l’Art. 6(1)(f) du RGPD.

Ces deux textes ne dispensent pas de documenter le test au cas par cas : ils en confirment la structure et ferment la porte aux lectures qui excluraient par principe certains intérêts — notamment commerciaux — ou qui ajouteraient des conditions non prévues par l’Art. 6(1)(f).

1. Décrire un intérêt réel et licite

Indiquez le bénéficiaire et l’objectif concret. « Sécurité » ou « développement commercial » décrit rarement assez précisément l’opération envisagée.

La CNIL demande un intérêt licite, suffisamment clair et précis, réel et présent. Les intérêts cités en exemple, comme la prévention de la fraude, ne dispensent pas de vérifier les autres conditions. Source : CNIL, méthodologie de l’intérêt légitime.

Exemple hypothétique : une PME veut détecter les connexions suspectes à son portail client afin de prévenir l’accès non autorisé. L’intérêt est formulé sans inclure d’emblée toute conservation ou toute surveillance possible.

À consigner : problème visé, personnes ou biens protégés, bénéfice attendu et éléments montrant que le besoin est actuel. Si l’objectif est contraire au droit, le test s’arrête.

2. Établir la nécessité du traitement

Décrivez comment les données contribuent à l’objectif, puis comparez les alternatives raisonnablement efficaces et moins intrusives. Examinez les catégories, la précision, la durée, les accès et les destinataires.

Le tableau ne valide aucune option automatiquement. Il fait apparaître les faits manquants et les choix à expliquer. La minimisation des données s’applique quel que soit le fondement retenu.

Une solution simplement plus pratique pour l’organisme n’est pas nécessairement la seule solution adéquate. À l’inverse, une alternative incapable d’atteindre le besoin ne doit pas être présentée comme équivalente sans examen.

3. Mettre en balance les effets sur les personnes

Examinez la nature des données, le contexte de collecte, les personnes concernées, les attentes raisonnables et les conséquences. Incluez les effets économiques, sociaux ou discriminatoires, pas seulement le risque de fuite.

L’Art. 6(1)(f) accorde une attention explicite aux enfants. Les autres situations de vulnérabilité ou de dépendance comptent dans l’appréciation concrète. Les règles relatives aux données des mineurs peuvent aussi imposer des vérifications distinctes.

Pour l’exemple du portail, examinez notamment le suivi visible par les équipes, les risques de fausse alerte et les conséquences d’un blocage. Une finalité protectrice n’élimine pas les effets défavorables possibles.

L’information des personnes ne crée pas à elle seule une attente raisonnable. La CNIL distingue l’information obligatoire de l’analyse de ce qu’une personne peut effectivement attendre dans le contexte. Elle distingue aussi les garanties supplémentaires des exigences qui devaient déjà être respectées.

Exemple appliqué : entraîner un système d’IA sur l’intérêt légitime

Le CEPD et la CNIL ont chacun appliqué le triple test à un cas concret : l’entraînement d’un système d’IA sur des données collectées par ailleurs, par exemple des contenus publiés en ligne. La CNIL a publié le 19 juin 2025 une fiche dédiée à cette hypothèse, qui illustre l’articulation des trois étapes sur un cas réel plutôt que sur une clause générique. Source : CNIL, mobiliser la base légale de l’intérêt légitime pour développer un système d’IA.

Étape 1 — Intérêt. L’amélioration des performances d’un modèle ou une finalité de recherche peuvent constituer un intérêt légitime, à condition d’être décrites concrètement (le modèle visé, la tâche entraînée) et de ne pas recouvrir un usage interdit par un autre texte, par exemple un système prohibé par le règlement (UE) 2024/1689 (AI Act) ou par le DSA.

Étape 2 — Nécessité. L’organisme doit démontrer que les données personnelles utilisées sont réellement utiles à l’objectif et qu’aucune alternative moins intrusive — données synthétiques, anonymisation en amont, jeu de données restreint — ne permettrait un résultat équivalent.

Étape 3 — Mise en balance. La CNIL identifie des risques propres à l’IA générative : mémorisation et régurgitation de données par le modèle, réutilisation à des fins non prévues, difficulté à exercer ses droits une fois le modèle entraîné. Elle recommande des mesures compensatoires pour rétablir l’équilibre : anonymisation ou pseudonymisation rapide après collecte, minimisation par déduplication, information claire sur les risques de mémorisation, mécanisme d’opposition avant collecte lorsqu’il est réalisable, tatouage (watermarking) des contenus générés, et limitation contractuelle ou technique des réutilisations non prévues.

Cas hypothétique : un éditeur de logiciel souhaite entraîner un assistant de rédaction sur un corpus de contenus publiés sur des forums professionnels. L’intérêt — amélioration du modèle — est réel, mais la nécessité doit être réexaminée poste par poste : un contenu comportant des données de santé incidentes ne répond à aucun besoin du projet et doit être filtré avant l’entraînement, pas seulement après. La mise en balance impose, a minima, une information sur les sources utilisées et une procédure d’opposition documentée. Cette configuration ne dispense pas d’une analyse d’impact lorsque les critères de l’Art. 35 sont réunis — voir notre guide AIPD et intelligence artificielle.

Cet exemple ne se transpose pas tel quel à d’autres usages : chaque déploiement d’IA appelle son propre triple test, avec ses propres données, son propre modèle et ses propres personnes concernées. Pour une vue d’ensemble, voir nos recommandations CNIL sur l’IA.

Trame de conclusion à remplir avec vos faits

Conclusion hypothétique : « Le traitement ne sera mis en œuvre qu’après limitation des données et des accès décrite dans le dossier. L’usage pour évaluer les habitudes commerciales des clients est exclu de cette décision et nécessiterait une analyse distincte. » Cette rédaction ne vaut que si les faits et la mise en balance justifient effectivement le résultat.

Le test n’est pas une moyenne de notes qui permettrait de compenser un objectif illicite par une bonne sécurité. Si une condition manque, l’intérêt légitime ne peut pas justifier le traitement dans sa configuration examinée.

Conserver la preuve et traiter les changements

Les Art. 5(2) et 24(1) imposent la démonstration et l’actualisation appropriée. La CNIL recommande la documentation de la méthodologie ; le projet de lignes directrices du CEPD va dans le même sens. Le RGPD n’impose pas un formulaire nommé « triple test » ni son insertion intégrale dans le registre de l’Art. 30. Un document relié à la fiche peut faciliter le suivi. Source : RGPD, Art. 24 et 30.

Un changement de finalité, de source, de durée ou d’effet peut modifier la conclusion. La revue d’un changement de finalité et de base légale aide à éviter qu’une ancienne analyse ne couvre artificiellement un nouvel usage.

Il faut aussi informer sur les intérêts poursuivis selon les Art. 13(1)(d) ou 14(2)(b) et organiser l’opposition prévue à l’Art. 21. Les règles propres aux données sensibles, aux traceurs, aux transferts ou aux décisions automatisées restent à vérifier : un triple test favorable ne les écarte pas. Source : RGPD, Art. 13, 14 et 21.

Ce qu’il faut retenir

• Intérêt licite, nécessité et mise en balance sont trois conditions cumulatives — la CJUE (C-621/22, 4 octobre 2024) l’a confirmé pour les intérêts commerciaux.
• Examinez des alternatives concrètes et les effets sur les personnes.
• Une notice ou une bonne sécurité ne régularise pas un test défavorable.
• Le même test s’applique à un usage émergent comme l’entraînement d’un système d’IA, avec ses propres mesures compensatoires.
• Reliez la conclusion aux garanties effectivement mises en œuvre et aux changements futurs.

FAQ

Un intérêt commercial peut-il être légitime ?

Oui. La Cour de justice l’a confirmé dans l’arrêt KNLTB du 4 octobre 2024 (C-621/22) : l’Art. 6(1)(f) ne réserve pas cette base légale aux intérêts prévus par un texte ou rattachés à la personne concernée. Cela ne valide pas automatiquement le traitement : il reste à démontrer sa nécessité et à effectuer la mise en balance, tout en respectant les règles particulières applicables.

Faut-il inscrire tout le test dans le registre ?

L’article 30 ne l’exige pas expressément. Il faut néanmoins pouvoir justifier la licéité ; relier l’analyse documentée à la fiche de traitement constitue une organisation pratique.

Le test favorable supprime-t-il le droit d’opposition ?

Non. Une opposition fondée sur la situation particulière appelle son propre examen selon l’Art. 21(1). La prospection relève du régime distinct des Art. 21(2) et (3).

Les lignes directrices du CEPD sur l’intérêt légitime sont-elles déjà applicables ?

Non. Les Guidelines 1/2024 restent, à ce jour, un projet soumis à consultation publique — close le 20 novembre 2024 — et leur version définitive n’a pas été publiée. Elles ne créent aucune obligation nouvelle, mais confirment la méthode des trois conditions cumulatives déjà retenue par la CNIL.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.