La CJUE rappelle les règles sur le principe de minimisation (proportionnalité)

Dans un arrêt rendu le 9 janvier 2025 dans l’affaire C-394/23, la CJUE a été amenée à trancher la question de savoir si l’indication de la civilité (“Monsieur, Madame”) peut être considérée comme nécessaire à l’exécution d’un contrat de transport ferroviaire.

Faits

La SNCF commercialise des titres de transport ferroviaire (billets, abonnements, cartes de réduction) via son site internet et ses applications, notamment SNCF Connect. Les clients sont obligés d’indiquer leur civilité (“Monsieur” ou “Madame”) lors de l’achat en ligne.

L’association Mousse a saisi la CNIL d’une réclamation contre SNCF Connect, au motif que les conditions de collecte et d’enregistrement des données de civilité ne seraient pas conformes au RGPD. La CNIL, par décision du 23 mars 2021, a rejeté cette réclamation en indiquant que le traitement de données serait licite, car nécessaire à l’exécution du contrat de transport et conforme au principe de minimisation des données.

Le 21 mai 2021, Mousse a formé un recours en annulation contre la décision de la CNIL devant le Conseil d’État. Selon l’association, l’obligation de cocher “Monsieur” ou “Madame” n’est pas nécessaire à l’exécution du contrat de transport. En outre, cette obligation porte atteinte au droit de voyager sans communiquer sa civilité, elle crée un risque de discrimination et, enfin, pour les ressortissants d’États reconnaissant un “genre neutre”, cette mention ne correspond pas à la réalité. Quant à la CNIL, elle soutient que le traitement peut être qualifié de nécessaire aux fins des intérêts légitimes de SNCF Connect pour la communication commerciale, et que les personnes concernées peuvent faire valoir leur droit d’opposition selon leur situation particulière.

Le Conseil d’État a sursis à statuer et posé deux questions préjudicielles à la CJUE. Seule la première sera analysée ici.

La première question préjudicielle

Peut-il être tenu compte, pour apprécier le caractère adéquat, pertinent et limité à ce qui est nécessaire de la collecte de données[,] au sens des dispositions [de l’article 5, paragraphe 1, sous c), du RGPD,] et la nécessité de leur traitement[,] au sens [de l’article 6, paragraphe 1, premier alinéa, sous b) et f), du RGPD], des usages couramment admis en matière de communications civiles, commerciales et administratives, de sorte que la collecte des données relatives aux civilités des clients, limitée aux mentions “Monsieur” ou “Madame”, pourrait être regardée comme nécessaire, sans qu’y fasse obstacle le principe de minimisation des données ?

La CJUE développe son analyse en deux volets distincts, examinant successivement les art. 6 par. 1 let. b et 6 par. 1 let. f RGPD.

Art. 6 par. 1 let. b — Nécessité pour l’exécution du contrat

La CJUE commence par rappeler que la nécessité doit être objectivement indispensable à l’exécution du contrat. Autrement dit, deux conditions doivent être remplies :

1. Premièrement, le traitement doit être strictement nécessaire — et non pas simplement utile — à l’exécution du contrat. Le simple fait que le traitement soit mentionné dans les clauses contractuelles n’est pas suffisant pour établir cette nécessité.
2. Deuxièmement, il doit être démontré qu’aucune autre méthode moins intrusive ne permettrait d’atteindre le même objectif contractuel. En outre, l’évaluation de la nécessité doit être effectuée séparément pour chaque service lorsque le contrat consiste en plusieurs services ou plus éléments distincts.

La Cour reconnaît ensuite que la communication avec le client fait partie intégrante de la prestation de service, et que cette communication peut inclure des formules de politesse. En revanche, cette communication ne doit pas nécessairement être personnalisée selon le genre de la personne concernée, ce d’autant qu’une alternative équivalente sans personnalisation genrée est possible, et que la SNCF utilise déjà des formules neutres dans certains cas.

En d’autres termes,

le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne paraît ni objectivement indispensable ni essentiel afin de permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat.

Article 6 par. 1 let. f — Intérêt légitime

Pour recourir à l’intérêt légitime, trois conditions doivent être remplies.

1. La poursuite d’un intérêt légitime par le responsable du traitement ou un tiers ;
2. La nécessité du traitement pour la réalisation de cet intérêt ;
3. La mise en balance avec les droits fondamentaux des personnes concernées résultant en une absence de prévalence des droits sur l’intérêt légitime.

Considérant la situation du cas d’espèce, sur la première condition, la CJUE rappelle qu’il est obligatoire d’informer les clients de l’intérêt légitime poursuivi, et que la prospection commerciale peut constituer un intérêt légitime.

Pour remplir la deuxième condition, elle indique qu’une personnalisation de la communication commerciale peut se limiter aux noms et prénoms, et que les usages sociaux ou conventions sociales d’un État membre de l’UE ne permettent pas de justifier le traitement de données sur la civilité. En effet, l’art. 6 par. 1 let. f RGPD ne prévoit pas la prise en compte de ces critères cette disposition doit être interprétée de façon restrictive.

Sur la troisième condition, il est impératif de prendre en compte les attentes raisonnables des clients, la Cour estimant que le client d’une entreprise de transport n’est pas censé s’attendre à ce que cette entreprise traite des données relatives à sa civilité ou à son identité de genre dans le contexte de l’achat d’un titre de transport. En ce qui concerne le risque de discrimination fondé sur l’identité de genre, il reviendra au Conseil d’État d’en vérifier l’existence, “notamment à la lumière de la directive 2004/113, cette dernière mettant en œuvre le principe de l’égalité de traitement entre hommes et femmes dans l’accès aux biens et services et dans la fourniture de ceux-ci”.

Conclusion

Le traitement des données de civilité n’est pas nécessaire à l’exécution du contrat de transport ferroviaire, et ne peut être justifié par un intérêt légitime dans les circonstances décrites, particulièrement en l’absence d’information préalable sur l’intérêt poursuivi et en présence d’un risque de discrimination. La Cour souligne particulièrement l’importance de solutions alternatives moins intrusives, comme l’utilisation de formules de politesse génériques et inclusives.