Un cadre clarifié pour les traitements basés sur l’intérêt légitime
Le 19 juin 2025, la CNIL a publié de nouvelles recommandations sur l’utilisation de l’intérêt légitime comme base juridique pour les traitements de données à des fins de développement de systèmes d’intelligence artificielle.
Ces recommandations font suite à une consultation publique menée entre janvier et mars 2024 et visent à sécuriser juridiquement les acteurs tout en garantissant la protection des droits fondamentaux des personnes concernées.
Une réponse aux incertitudes autour du web scraping
Le recours au moissonnage de données en ligne (web scraping) est courant dans les projets d’IA, mais il soulève de nombreuses interrogations quant à la licéité du traitement. La CNIL vient préciser les conditions dans lesquelles ce type de pratique peut reposer sur l’intérêt légitime.
Les principes posés par la CNIL
1. Une balance des intérêts rigoureuse
L’intérêt légitime du responsable de traitement ne peut être invoqué que s’il est équilibré avec les droits et libertés des personnes concernées. Cela implique :
- une analyse documentée et préalable,
- un impact limité sur les droits des personnes,
- des mesures de minimisation des risques (sécurité, anonymisation, etc.).
2. L’information des personnes reste indispensable
Même en cas de traitement fondé sur l’intérêt légitime, la personne concernée doit être informée de manière transparente. Cela concerne notamment :
- la finalité et base légale du traitement,
- les données collectées,
- les durées de conservation appliquées,
- les droits et leurs modalités d’exercice….
La CNIL recommande l’affichage d’une mention spécifique sur les sites d’origine lorsque cela est possible.
3. Encadrer strictement le scraping
Pour les systèmes entraînés à partir de données publiques collectées sur le web, la CNIL insiste sur plusieurs obligations :
- s’assurer que les données collectées sont pertinentes et non excessives,
- exclure les données sensibles ou non pertinentes,
- respecter les conditions d’utilisation des sites sources,
- prévoir des mécanismes de suppression à la demande.
Pour qui sont ces recommandations ?
Ces recommandations s’adressent principalement :
- aux développeurs d’IA,
- aux prestataires techniques et éditeurs de solutions,
- aux responsables de traitement ayant recours à des IA pour analyser ou prédire des comportements.
Elles sont également utiles aux Délégués à la protection des données (DPO) et aux consultants en conformité, qui peuvent s’y référer dans le cadre d’un audit RGPD ou d’une analyse d’impact.
Conclusion
L’intérêt légitime reste une base juridique possible dans le cadre du développement de systèmes d’intelligence artificielle, mais uniquement sous certaines conditions.
Ces recommandations permettent de clarifier la position de la CNIL sur un sujet sensible et de sécuriser les projets d’IA sans sacrifier les droits des personnes concernées.
