La collecte systématique du titre de civilité "Monsieur" ou "Madame" par une entreprise ferroviaire lors de l'achat de billets en ligne est-elle compatible avec le règlement général sur la protection des données (RGPD) ? La Cour de justice de l'Union européenne (CJUE) s'est penchée sur cette question dans son arrêt du 9 janvier 2025 - en se concentrant avant tout sur le principe de minimisation des données ancré dans le RGPD.
"Monsieur" ou "Madame" comme information obligatoire lors de l'achat de billets
L'association Mousse avait déposé une plainte auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) contre l'entreprise ferroviaire française SNCF Connect.
SNCF Connect vend en ligne, via son site web et ses apps, des titres de transport ferroviaire tels que des billets de train, des abonnements et des cartes de réduction. Lors de l'achat en ligne de ces billets via ce site et ces applis, les clients de l'entreprise doivent indiquer leur civilité en cochant la case "Monsieur" ou "Madame".
Selon l'association, cette obligation est contraire au RGPD, notamment en ce qui concerne le principe de minimisation des données. La civilité, qui correspond à une identité de genre, ne devrait pas être une donnée nécessaire à l'achat d'un billet. En 2021, la CNIL a rejeté cette plainte au motif que cette pratique ne constituait pas une violation du RGPD.
Mousse n'était pas d'accord avec cette décision et s'est adressé au Conseil d'État français pour la faire annuler. Le Conseil d'État a alors demandé à la Cour de justice si la collecte de données relatives à la civilité des clients, limitée aux mentions "Monsieur" ou "Madame", pouvait être considérée comme licite et, en particulier, conforme au principe de minimisation des données, lorsque cette collecte a pour but de permettre une communication commerciale personnalisée avec ces clients, conformément aux usages généraux en la matière.
Conseil de lecture : Le TPI condamne la Commission européenne à verser des dommages et intérêts pour une connexion à Facebook
"La formule de politesse n'est pas essentielle à l'exécution du contrat".
Dans son arrêt (C-394/23), la CJCE interprète l'article 6, paragraphe 1, premier alinéa, points b) et f), en liaison avec l'article 5, paragraphe 1, point c), du RGPD, en ce sens que "le traitement de données à caractère personnel concernant la salutation des clients d'une entreprise de transport, qui vise à personnaliser la communication commerciale sur la base de leur identité de genre, n'apparaît pas objectivement indispensable ni essentiel à la bonne exécution d'un contrat et ne peut donc pas être considéré comme nécessaire à l'exécution de ce contrat".
En effet, conformément au principe de minimisation des données du RGPD, les données à caractère personnel ne peuvent être traitées que dans une mesure appropriée, proportionnée et limitée à ce qui est nécessaire au regard de la finalité poursuivie. La CJUE a souligné que le RGPD contient une liste exhaustive de motifs de justification pour le traitement des données à caractère personnel. Elle a précisé que le traitement aux fins de l'exécution d'un contrat ou de la sauvegarde des intérêts légitimes du responsable du traitement ou d'un tiers était notamment pertinent.
Le risque de discrimination l'emporte sur l'intérêt légitime
En ce qui concerne l'exécution du contrat, la Cour a estimé que l'indication de la civilité n'était pas objectivement indispensable pour personnaliser la communication commerciale. Pour exécuter correctement un contrat de transport ferroviaire, l'entreprise pourrait utiliser des formules de politesse générales qui n'ont aucun rapport avec l'identité sexuelle des clients. De telles méthodes de communication alternatives seraient praticables et porteraient moins atteinte aux droits des personnes concernées.
En ce qui concerne l'intérêt légitime, la Cour a souligné que la collecte de la civilité n'est pas nécessaire si les clients ne sont pas informés de la finalité du traitement ou si le traitement va au-delà de ce qui est nécessaire pour atteindre cette finalité. En outre, la Cour a souligné que le risque de discrimination fondée sur l'identité de genre peut jouer un rôle important dans la mise en balance des intérêts légitimes. En outre, le traitement ne serait pas autorisé si les droits et libertés fondamentaux de la personne concernée, notamment en raison du risque de discrimination, prévalaient sur l'intérêt légitime de l'entreprise.
CJCE : les entreprises obligées de minimiser les données
Cet arrêt montre clairement que le traitement des données à caractère personnel doit répondre à des exigences juridiques strictes. Il montre que, dans des cas similaires, les juridictions nationales et les autorités chargées de la protection des données ont l'obligation d'examiner des solutions alternatives moins intrusives pour les droits des personnes concernées et de s'intéresser davantage aux principes de minimisation des données et de proportionnalité.
Les entreprises sont tenues d'envisager des solutions alternatives moins intrusives, notamment lorsqu'il s'agit de traiter des données sensibles telles que l'identité sexuelle.
Les tribunaux nationaux doivent maintenant statuer sur les faits concrets sur la base de cet arrêt et tenir compte des directives de la CJCE.
French 
German 
English 
Italian