Le Comité européen de la protection des données (EDPB / CEPD) a publié deux documents importants pour clarifier certaines zones d’ombre du RGPD : des lignes directrices sur l’intérêt légitime et un avis sur les obligations en matière de sous-traitance.
Lignes directrices sur l’intérêt légitime
Base juridique longtemps controversée, notamment dans le marketing, la sécurité et la prévention des fraudes, l’intérêt légitime fait l’objet de trois conditions cumulatives rappelées par l’EDPB : l’intérêt poursuivi doit être licite, réel et présent ; le traitement doit être nécessaire, sans alternative moins intrusive (minimisation) ; et cet intérêt ne doit pas prévaloir sur les droits et libertés fondamentaux des personnes concernées. La CJUE a par ailleurs précisé (affaire impliquant la fédération néerlandaise de tennis et l’autorité de contrôle) que les intérêts commerciaux ne sont pas automatiquement exclus de la notion d’intérêt légitime, mais doivent être évalués au cas par cas.
Avis sur la sous-traitance
En réponse à l’autorité danoise, l’EDPB a clarifié les obligations des responsables de traitement recourant à des sous-traitants et sous-traitants ultérieurs. Ils doivent non seulement s’assurer du respect du RGPD par ces derniers, mais aussi disposer à tout moment d’une visibilité complète sur leur identité et leurs responsabilités (nom, adresse, contact), y compris pour les transferts hors de l’EEE, et assumer la sélection et la supervision de ces sous-traitants.
Les organismes concernés doivent donc revoir leurs pratiques : vérification continue des garanties, révision des contrats et documentation de toutes les étapes de sous-traitance — une vigilance particulièrement importante dans les environnements cloud, avec des coûts de conformité potentiellement accrus.
Sources : EDPB — Lignes directrices sur l’intérêt légitime ; EDPB — Avis sur la sous-traitance.