- CJUE, 9 janvier 2025, affaire C-394/23
Les cases « Madame » et « Monsieur » : simple formalité ou exigence dépassée ? Dans un arrêt rendu le 9 janvier dernier, la Cour de justice de l’Union européenne a jugé que la collecte de données de civilité par SNCF Connect est contraire au Règlement général sur la protection des données (RGPD).
Cette décision, emblématique des tensions entre pratiques commerciales et respect de la vie privée, trouve son origine dans une réclamation déposée par l’association Mousse auprès de la CNIL. L’association contestait l’obligation faite aux clients de sélectionner une civilité (« Monsieur » ou « Madame ») pour acheter un billet de train en ligne. Selon elle, cette pratique viole les principes de licéité et de minimisation des données prévus par le RGPD, car le choix d’une identité de genre ne parait pas nécessaire pour l’achat d’un titre de transport.
Après le rejet de la réclamation par la CNIL en 2021, l’association Mousse a saisi le Conseil d’État d’un recours en annulation. Ce dernier, par une décision de juin 2023, a renvoyé deux questions préjudicielles à la Cour de justice de l’Union européenne (CJUE) : l’une sur l’exercice du droit d’opposition, l’autre sur la conformité de cette collecte, destinée à personnaliser la communication commerciale, avec les principes de licéité et de minimisation des données énoncés par le RGPD.
Dans sa décision du 9 janvier 2025, la CJUE a préalablement rappelé que tout traitement de données personnelles doit respecter le principe de minimisation, lequel exige que les données collectées soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Elle a également souligné que la licéité d’un traitement de données repose sur des situations strictement définies par le RGPD. En l’absence de consentement, un traitement peut, entre autres, être licite s’il est « nécessaire à l’exécution d’un contrat auquel la personne concernée est partie » (art. 6, 1, b)) ou encore s’il répond à un « intérêt légitime poursuivi par le responsable du traitement ou un tiers », sous réserve que cet intérêt ne porte pas atteinte aux droits et libertés fondamentaux de la personne concernée (art. 6, 1, f)).
Pour être considéré comme nécessaire à l’exécution d’un contrat, le traitement doit être objectivement indispensable à la réalisation d’une finalité. Or, selon la CJUE, l’obligation pour les clients de renseigner leur civilité, justifiée par SNCF Connect comme un moyen de personnaliser ses communications commerciales, ne répond pas à ce critère. La Cour estime que cette collecte n’est ni essentielle à l’exécution d’un contrat de transport ni proportionnée, et que des alternatives moins intrusives, comme des formules génériques ou inclusives, auraient pu être adoptées.
Concernant les intérêts légitimes, la CJUE rappelle que trois conditions cumulatives doivent être respectées : la finalité poursuivie doit être précise, le traitement strictement nécessaire, et les droits fondamentaux des individus préservés. Bien que la personnalisation de la publicité puisse constituer un intérêt légitime, la collecte des données de civilité ne peut être justifiée si cet intérêt n’est pas clairement indiqué au moment de la collecte ou si les droits des individus priment sur cet intérêt, en raison, notamment, d’un risque de discrimination fondée sur l’identité de genre.
La collecte des données de civilité dans les formulaires en ligne pourrait donc être largement abandonnée à l’avenir, sauf dans les rares cas où l’identité de genre est indispensable à l’exécution d’un contrat ou à la fourniture d’un service. Cette décision de la CJUE envoie un signal clair : la protection des données personnelles et le respect des droits fondamentaux doivent primer sur les pratiques commerciales.