Le 9 janvier 2025, la Cour de justice de l’Union européenne (CJUE) a rendu un arrêt dans l’affaire C-394/23 concernant la collecte des données de civilité (« Monsieur » ou « Madame ») pour l’achat de billets de train. Cet arrêt apporte un éclairage précieux sur les exigences du Règlement général sur la protection des données (RGPD) et le respect du principe de minimisation des données.
La question de la civilité dans l’achat de billets de train : quel est le débat ?
L’affaire trouve son origine dans une contestation portée par l’association Mousse contre la SNCF (SNCF Connect), qui exige systématiquement que les clients renseignent leur civilité lors de l’achat de billets en ligne. Selon l’association, cette pratique ne respecte pas le RGPD, notamment le principe de minimisation des données, car la civilité, assimilée à une identité de genre, ne serait pas nécessaire pour l’achat d’un titre de transport.
Après le rejet de cette réclamation par la CNIL, l’association a saisi le Conseil d’État français, qui a posé une question préjudicielle à la CJUE. La question portait notamment sur la licéité de la collecte de la civilité des clients, lorsque cette collecte vise à personnaliser la communication commerciale.
Le principe de minimisation des données au cœur de la décision
Le RGPD repose sur des principes fondamentaux, dont celui de minimisation des données. Selon ce principe, les données collectées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire » par rapport aux finalités du traitement.
Dans son arrêt, la CJUE a rappelé que la collecte de la civilité pour personnaliser une communication commerciale n’était pas objectivement indispensable à l’exécution correcte d’un contrat de transport ferroviaire. Une entreprise ferroviaire peut tout à fait opter pour des formules de politesse génériques et inclusives, qui respectent davantage les droits fondamentaux des clients.
Communication commerciale et intérêts légitimes
La CJUE a également étudié la justification fondée sur les intérêts légitimes de cette collecte. Elle a indiqué que ces intérêts doivent être clairement communiqués aux clients lors de la collecte des données. De plus, le traitement doit être strictement nécessaire à la réalisation de ces intérêts et respecter un équilibre entre ces derniers et les droits fondamentaux des individus. En l’espèce, la collecte de la civilité n’a pas passé ce test de proportionnalité.
Un risque de discrimination fondée sur l’identité de genre
La Cour a mis en évidence un risque potentiel de discrimination lié à la collecte systématique de l’identité de genre. Ce risque, combiné à une finalité non indispensable, conduit à conclure que la pratique n’est pas conforme au RGPD.
Les conséquences pratiques de cet arrêt
Cette décision de la CJUE aura un impact sur les pratiques des entreprises. Les entreprises devront reconsidérer leurs formulaires d’achat en ligne pour s’assurer qu’aucune collecte de données superflues n’ait lieu, sous peine de sanctions pour non-conformité au RGPD.
Résumé des points clés
- La CJUE a jugé que la collecte de la civilité (« Monsieur » ou « Madame ») lors de l’achat d’un billet de train n’est pas nécessaire pour l’exécution correcte du contrat de transport.
- Cette pratique contrevient au principe de minimisation des données du RGPD.
- Les entreprises doivent préférer des communications commerciales inclusives et génériques.
- Un équilibre doit être respecté entre les intérêts légitimes des entreprises et les droits fondamentaux des clients.
Pour tous vos besoins juridiques, consultez notre annuaire d’avocats ou déposez votre demande directement et gratuitement en ligne sur notre page dédiée.