L'intérêt légitime est l'une des bases légales (avec l'obligation légale, un contrat, le consentement, etc.), qui permet de collecter, traiter, conserver, etc. des données personnelles.

Avec le consentement, c'est la base légale la plus souple. Mais, elle n'autorise pas tout : le traitement doit relever réellement de l'intérêt légitime, être nécessaire et proportionné par rapport aux droits des personnes qui font l'objet du traitement. On nomme cela le test en trois parties (three-part test).

Dans ce document, l'Autorité de Protection des Données personnelles britannique, l'ICO, expose le raisonnement, la grille d'analyse et la logique à suivre, ainsi que des indices pertinents de (non-)conformité.

Depuis, on a la délibération SAN-2024-020 de la CNIL, notamment son point 35, les lignes directrices 1/2024 du CEPD, notamment les points 52 et 53 sur l'attente raisonnable liée à l'information délivrée, et C-621/22, point 55 toujours sur l'attente raisonnable.

La CJUE a déjà précisé le critère de nécessité / minimisation (finalité atteinte de manière raisonnablement aussi efficace avec des moyens moins attentatoires) : C-439/19, point 110 et C-708/18, point 47. Cette définition de la nécessité existe aussi dans la jurisprudence FR hors RGPD.

Via Aeris.