[ 23 janvier 2025 ]

Libertés fondamentales - droits de l'homme

« Attention Mesdames et Messieurs… »

CJUE 9 janvier 2025, Mousse, n° C-394/23

Une association avait adressé à la CNIL une réclamation concernant la collecte et l'enregistrement de la civilité des clients lors de l'achat des billets de train, de cartes d'abonnements et de réduction sur le site internet et les applications SNCF Connect. L’association reproche à l'agence de voyage de demander au client lors de l'achat de prestations de transport d'indiquer obligatoirement une identité de genre limitée à un choix binaire entre « Monsieur » et « Madame » qui placerait certains individus dans une situation inconciliable avec leur ressenti personnel.

La CNIL a clôturé cette réclamation en l’estimant infondée, le 23 mars 2021. En effet, elle estime qu’en l'état du droit, l'usage des civilités courantes par SNCF Connect sur sa plateforme en ligne ne constitue, pas une méconnaissance du RGPD.

L’association a alors formé un recours pour excès de pouvoir devant le Conseil d’État contre la décision de la CNIL et a également demandé, avant que le Conseil d’État ne statue sur cette affaire, que celui-ci transmette deux questions préjudicielles à la CJUE, ce qu’il a accepté (CE 21 juin 2023, n° 452850).

Les questions étaient les suivantes :

1. Peut-il être tenu compte, pour apprécier le caractère adéquat, pertinent et limité à ce qui est nécessaire de la collecte de données au sens des dispositions du c) du paragraphe 1 de l'article 5 du RGPD et la nécessité de leur traitement au sens des b) et f) du paragraphe 1 de l'article 6 du RGPD, des usages couramment admis en matière de communications civiles, commerciales et administratives, de sorte que la collecte des données relatives aux civilités des clients, limitée aux mentions " Monsieur " ou " Madame ", pourrait être regardée comme nécessaire, sans qu'y fasse obstacle le principe de minimisation des données ?

2. Y a-t-il lieu, pour apprécier la nécessité de la collecte obligatoire et du traitement des données relatives à la civilité des clients, et alors que certains clients estiment qu'ils ne relèvent d'aucune des deux civilités et que le recueil de cette donnée n'est pas pertinent en ce qui les concerne, de tenir compte de ce que ceux-ci pourraient, après avoir fourni cette donnée au responsable de traitement en vue de bénéficier du service proposé, exercer leur droit d'opposition à son utilisation et à sa conservation en faisant valoir leur situation particulière, en application de l'article 21 du RGPD ?

La CJUE a répondu à ces questions le 9 janvier 2025.

Réponse à la 1^re question : la civilité des clients d’une entreprise de transport 

Rappel concernant le principe de minimisation des données

Selon l’article 5 du RGPD sur les principes relatifs au traitement des données à caractère personnel: « 1. Les données à caractère personnel doivent être: … c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ».

Ainsi, l'entité publique ou privée qui traite des données doit pouvoir justifier de leur claire nécessité au regard de la finalité poursuivie. 

Pour la CJUE :

-        le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne paraît ni objectivement indispensable ni essentiel afin de permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat ;

-        le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne peut pas être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers, lorsque :

·       l’intérêt légitime poursuivi n’a pas été indiqué à ces clients lors de la collecte de ces données ; ou

·       ledit traitement n’est pas opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime ; ou

·       au regard de l’ensemble des circonstances pertinentes, les libertés et droits fondamentaux desdits clients sont susceptibles de prévaloir sur ledit intérêt légitime, notamment en raison d’un risque de discrimination fondée sur l’identité de genre.

Réponse à la 2^de question : le droit d’opposition

Le droit d’opposition suppose l’existence d’un traitement des données à caractère personnel licite. La licéité d’un tel traitement se doit donc préalablement de satisfaire à la condition de stricte nécessité. Le RGPD n’a vocation à jouer qu’une fois la licéité du traitement établie. Ainsi, l’existence d’un droit d’opposition n’est en l’espèce aucunement pertinente pour apprécier la nécessité d’un tel traitement ;

Les conséquences possibles de l’interprétation du RGPD par la CJUE pour les organismes publics et privés

Au-delà de l’obligation pour la SNCF de modifier ses formulaires en ligne afin qu’il ne soit plus obligatoire de cocher la case « Madame » ou « Monsieur », quelles sont les conséquences possibles de cette décision ?

La collecte de données personnelles par les organismes publics ou privés doit être strictement nécessaire au regard des objectifs poursuivis. Ainsi, la collecte de la donnée concernant la civilité ne devrait plus être obligatoire sauf si l’organisme justifie un intérêt légitime. On pense par exemple aux voyages en train de nuit avec l’espace dame seule (Présenté par le site SNCF Connect comme l’« Idéal pour un voyage en toute tranquillité. Il s'agit d'un compartiment exclusivement réservé aux femmes seules (ou avec enfants de moins de 12 ans) situé dans la voiture la plus proche du local des contrôleurs ») ; ou encore aux hébergements d’urgence.

Les mentions « Monsieur » et « Madame » vont-elles disparaitre ? Une nouvelle case « neutre » sera-t-elle ajoutée ? 

….