Transport ferroviaire et doRGPD et données de genre : la CJUE rappelle les limites de la collecte par les entreprises de transportnnées personnelles : la CJUE encadre la collecte du genre des clients
Le Règlement général sur la protection des données (RGPD) impose que les données à caractère personnel soient traitées de manière adéquate, pertinente et limitée à ce qui est nécessaire. Ce principe, dit de minimisation des données (art. 5, 1-c RGPD), a récemment été au cœur d’un contentieux concernant la SNCF.
Une association de défense des droits LGBTQI+ a contesté devant la Cnil l’obligation, lors de l’achat d’un billet sur SNCF Connect, d’indiquer la civilité « Monsieur » ou « Madame ». La Cnil ayant rejeté cette demande, l’association a saisi le Conseil d’État, lequel a posé plusieurs questions préjudicielles à la Cour de justice de l’Union européenne (CJUE).
La civilité n’est pas indispensable à l’exécution du contrat de transport
La CJUE juge que la collecte de la civilité n’est pas nécessaire à l’exécution du contrat de transport. La fourniture d’un billet suppose de communiquer avec le client (envoi du titre, informations de perturbation, SAV), mais cette communication peut recourir à des formules de politesse génériques, sans identification fondée sur le genre.
Le transporteur ne démontre pas que l’absence de civilité empêcherait l’exécution correcte du contrat. L’indication erronée de la civilité est sans incidence sur la prestation. Des services particuliers (trains de nuit, assistance aux personnes handicapées) peuvent justifier ponctuellement la collecte, mais pas une collecte systématique et généralisée.
L’intérêt légitime ne peut justifier la collecte
La SNCF invoquait son intérêt légitime à personnaliser la communication commerciale. La CJUE rejette cet argument : pour être licite, un traitement fondé sur l’intérêt légitime doit être strictement nécessaire et proportionné. La personnalisation peut être assurée par d’autres moyens (utilisation du nom et du prénom) sans recourir à la civilité.
Les usages ou conventions sociales nationaux (par ex. l’usage de « Monsieur »/« Madame » en France) ne suffisent pas à justifier une collecte contraire au principe de minimisation.
Un droit d’opposition qui ne légitime pas un traitement illicite
Certains soutenaient que les clients pouvaient exercer leur droit d’opposition. La CJUE rappelle que ce droit ne vaut que face à un traitement déjà licite. Il ne peut légaliser un traitement qui ne respecte pas, en amont, l’exigence de nécessité.
Cette décision, qui dépasse le cas de la SNCF, est un rappel essentiel pour tous les responsables de traitement : la collecte doit être limitée au strict nécessaire, même lorsque des usages paraissent habituels. En pratique, organismes publics et privés doivent réexaminer leurs formulaires et processus de collecte. Les données de genre, comme parfois la date de naissance, ne peuvent être exigées que si elles sont directement et objectivement liées à la finalité du traitement.
Le Conseil d’État devra tirer les conséquences de la position de la CJUE. Cette orientation jurisprudentielle incite les acteurs économiques à renforcer leur vigilance dans l’application du principe de minimisation et à privilégier, lorsque cela suffit, des communications inclusives et génériques.
