Intérêt légitime vs consentement: Cass. com., 17 juin 2026

Fait vérifiable. Le 17 juin 2026, la chambre commerciale de la Cour de cassation a jugé que l’usage de l’intérêt légitime (art. 6(1)(f) RGPD) impose, lorsque les données n’ont pas été collectées auprès de la personne, de respecter strictement l’information de l’article 14 — y compris en contexte contentieux. Enseignement: l’« exception contentieux » ne dispense pas d’informer. Voir l’arrêt: Cour de cassation, com., 17 juin 2026, n° 25‑11.499.

L’affaire

La Cour censure un arrêt d’appel ayant validé, au nom du « droit à la preuve » dans un litige électoral interne, la production d’un rapport d’audit externe (EY) manipulant des métadonnées d’e‑mails et des listes électorales. Les juges du fond avaient admis la base « intérêt légitime » sans constater que les salariés concernés — dont les données provenaient de sources indirectes — avaient été informés des intérêts poursuivis (art. 14 RGPD). À défaut, la décision est privée de base légale. Référence: arrêt du 17 juin 2026.

En parallèle, la Cour (1re civ., 3 juin 2026, n° 25‑14.228) rappelle l’exactitude (art. 5(1)(d)) et les droits d’effacement/opposition (art. 17, 21) face à des contenus en ligne: arrêt du 3 juin 2026.

Le raisonnement juridique

• Base légale (art. 6(1)(f)). Trois conditions cumulatives: intérêt légitime, nécessité, mise en balance documentée. Doctrine CNPD: licéité du traitement.
• Information en collecte indirecte (art. 14). Obligation d’informer des finalités, de la base légale et « des intérêts légitimes poursuivis » (art. 14(1)(d)) lorsque les données ne sont pas collectées auprès de la personne. C’est le défaut relevé par la Cour le 17 juin 2026.
• Cohérence UE. La CJUE resserre nécessité/minimisation et l’explicitation de l’intérêt légitime: C‑394/21, 11 janv. 2024 et C‑621/22, 11 janv. 2024.
• Pas de « passe-droit contentieux ». Le « droit à la preuve » ne remplace pas les exigences des art. 5, 6 et 14 RGPD: information et mise en balance ex ante demeurent indispensables.
• Consentement vs intérêt légitime. L’EDPB souligne qu’en contexte d’asymétrie (salarié/employeur), le consentement est rarement libre; privilégier une base objective ou un intérêt légitime strictement justifié, avec information art. 14 si collecte indirecte: Guidelines 05/2020.

Ce que ça change concrètement

• Audits et enquêtes internes confiés à des tiers. Si vous fondez l’accès à des métadonnées de messagerie, journaux SI ou listes sur l’intérêt légitime, vous devez: 1) décrire l’intérêt poursuivi précisément, 2) documenter la nécessité par catégorie de données, 3) réaliser la mise en balance, 4) informer selon l’art. 14 lorsque la collecte est indirecte, en indiquant « les intérêts légitimes poursuivis ». À défaut, la base légale est fragilisée.
• Contentieux RH et disciplinaire. « Régulariser » après coup par le seul « droit à la preuve » est risqué: sans information art. 14 et sans minimisation probante, la production peut être écartée.
• Marketing B2B/prospects tiers. Avec l’art. 6(1)(f) pour des bases de partenaires/agrégateurs, l’art. 14 impose une information claire et dans les délais, y compris sur les intérêts légitimes. La CNPD rappelle que l’intérêt légitime n’est pas une base « par défaut ».
• Gouvernance sécurité et logs SI. L’exploitation de journaux techniques contenant des données personnelles à des fins d’enquête interne nécessite une base licite et l’information art. 14 quand les données proviennent de tiers; la mise en balance doit démontrer proportionnalité et minimisation.

Pièges fréquents

1. Ne pas nommer et décrire l’intérêt légitime dans l’information. Les mentions génériques ne suffisent pas; la motivation doit être intelligible et contrôlable.
2. Omettre l’information art. 14 en cas de collecte indirecte (audit externe, source publique, fournisseur tiers): l’arrêt du 17 juin 2026 sanctionne cette omission.
3. Confondre « droit à la preuve » et base légale: le respect des art. 5, 6 et 14 reste exigé.
4. Substituer indûment le consentement en milieu de travail: préférer une base objective ou un intérêt légitime dûment mis en balance, avec information art. 14 si nécessaire.
5. Oublier minimisation et exactitude: données excessives ou obsolètes exposent à la censure et à la remise en cause de la base légale.

Aller plus loin et mise en conformité

Depuis le 17 juin 2026, fonder un traitement sur l’intérêt légitime sans satisfaire pleinement à l’information de l’article 14 — et sans mise en balance documentée — expose audits, preuves et projets data à un risque juridique immédiat. Pour sécuriser vos enquêtes internes, contentieux et opérations marketing au Luxembourg, il est recommandé de structurer un mandat DPO et de mettre à jour les modèles d’information et les registres RGPD, en cohérence avec les exigences CNPD. Pour les acteurs visant une conformité locale renforcée, l’angle RGPD Luxembourg et pratiques CNPD permet d’adapter les notices et la mise en balance. Besoin d’appui opérationnel? Contactez notre équipe.

Sources officielles

• Cour de cassation, com., 17 juin 2026, n° 25‑11.499: Légifrance
• Cour de cassation, 1re civ., 3 juin 2026, n° 25‑14.228: Légifrance
• CNPD — licéité du traitement: cndp.public.lu
• EDPB — Guidelines 05/2020 (consentement): edpb.europa.eu
• CJUE — C‑394/21 (11.01.2024) et C‑621/22 (11.01.2024): eur-lex (C‑394/21) et eur-lex (C‑621/22)

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.