RGPD et transport ferroviaire : prohibition de la collecte de données relatives à la civilité des clients pour l’achat d’un titre de transport

Par un arrêt du 9 janvier 2025, la Cour de justice de l’Union européenne a jugé que les données relatives à la civilité des clients ne sont pas une donnée nécessaire pour l’achat d’un titre de transport et qu’une telle collecte est contraire au règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après, « RGPD »).

En l’espèce, le différend est survenu en raison d’une contestation par l’association Mousse auprès de la Commission nationale de l’informatique et des libertés (ci-après, « CNIL ») de la pratique de la société SNCF Connect obligeant systématiquement ses clients à indiquer leur civilité (« Monsieur » ou « Madame ») lors de l’achat de titres de transport en ligne.

Cette association estimait que cette obligation était contraire au RGPD, notamment, au regard du principe de minimisation des données. En effet, l’association soutenait que la mention de la civilité, qui correspond à une identité de genre, ne semble pas nécessaire pour l’achat d’un titre de transport ferroviaire. L’association a donc saisi la CNIL mais cette dernière a décidé de rejeter cette réclamation, considérant que cette pratique ne constituait pas un manquement au RGPD. Saisi d’un recours contre cette décision, le Conseil d’État a posé une question préjudicielle à la Cour de justice de l’Union européenne pour savoir si la collecte des données de civilité des clients, limitée aux mentions « Monsieur » et « Madame », peut se voir qualifiée de licite et conforme, notamment, au principe de minimisation des données, lorsque cette collecte vise à permettre une communication commerciale personnalisée à l’égard de ces clients, conformément aux usages couramment admis en la matière.

Dans son arrêt du 9 janvier 2025, La Cour rappelle que, conformément au principe de minimisation des données, qui constitue une expression du principe de proportionnalité, les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

En outre, la Cour rappelle qu’au titre de son article 6, le RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Ainsi au titre de l’article 6, paragraphe 1, premier alinéa, sous b) et f) sont respectivement considérés comme licites, le traitement de données à caractère personnel nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers.

S’agissant de la première de ces deux justifications, la Cour souligne que, pour qu’un traitement de données puisse être considéré comme nécessaire à l’exécution d’un contrat, ce traitement doit être objectivement indispensable afin de permettre l’exécution correcte de ce contrat. Or, au cas particulier, la Cour juge qu’une « telle communication ne doit pas nécessairement être personnalisée en fonction de l’identité de genre du client concerné ». En effet, « la personnalisation de contenus n’apparaît pas nécessaire pour offrir des services à un client lorsque ces services peuvent, le cas échéant, lui être fournis sous la forme d’une alternative équivalente n’impliquant pas une telle personnalisation, de sorte que cette dernière n’est pas objectivement indispensable à une finalité faisant partie intégrante desdits services qu’une personnalisation de la communication commerciale fondée sur une identité de genre présumée en fonction de la civilité du client ne paraît pas objectivement indispensable afin de permettre l’exécution correcte d’un contrat de transport ferroviaire. »

S’agissant de la seconde condition, la Cour indique qu’aux termes de sa jurisprudence constante, trois conditions cumulatives doivent être réunies pour que les traitements de données à caractère personnel qu’elle vise soient licites à savoir

la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers ;
la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi ;
la condition que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers.

Bien qu’il appartienne à la juridiction de renvoi – soit en l’espèce au Conseil d’État – d’apprécier si ces conditions sont remplies, la Cour a toutefois donné des indications à cette dernière dans le cadre de son arrêt.

Or, elle estime que ces conditions ne sont pas réunies au cas particulier. D’une part, elle considère « qu’il semble qu’une personnalisation de la communication commerciale puisse se limiter au traitement des noms et prénoms des clients » et que « leur civilité et/ou leur identité de genre étant une information qui ne paraît pas strictement nécessaire dans ce contexte, notamment à la lumière du principe de minimisation des données ». D’autre part, la Cour relève que « le client d’une entreprise de transport n’est pas censé s’attendre à ce que cette entreprise traite des données relatives à sa civilité ou à son identité de genre dans le contexte de l’achat d’un titre de transport ». Et, elle invite la juridiction de renvoi à rechercher si au regard de l’ensemble des circonstances pertinentes, les libertés et droits fondamentaux desdits clients sont susceptibles de prévaloir sur l’intérêt commercial, notamment en raison d’un risque de discrimination fondée sur l’identité de genre.