La Cour de justice de l'Union européenne a désapprouvé la SNCF, qui impose le choix entre « Monsieur » ou « Madame » lors de l'achat de billets en ligne. Elle juge cette collecte de données contraire au RGPD, et potentiellement discriminatoire.
Dans un arrêt rendu ce jeudi 9 janvier 2025, la Cour de justice de l'Union européenne (CJUE) a donné raison à l'association Mousse, qui contestait l'obligation imposée par la SNCF de choisir une civilité, Madame ou Monsieur, lors de l'achat d'un billet depuis son site internet.
Forcément, cette décision de la CJUE pourrait bouleverser les pratiques commerciales actuelles et avoir des répercussions majeures sur la manière dont les entreprises collectent les données personnelles de leurs clients, et leur proposent de s'identifier.
La décision contre la SNCF ? Une victoire pour la protection des données personnelles
Dans cette affaire, la CJUE a considéré que la collecte systématique de l'identité de genre n'était pas « objectivement indispensable » pour la vente de billets de train. La Cour souligne qu'une communication commerciale efficace peut parfaitement s'appuyer sur des formules de politesse génériques et inclusives, sans référence au genre du client.
Pour que vous ayez connaissance du contexte, l'affaire avait débuté lorsque l'association Mousse avait saisi la CNIL, le gendarme des données, en contestant cette obligation de la SNCF au regard du Règlement général sur la protection des données, le RGPD. La demande initiale fut rejetée, alors, l'association s'est tournée vers le Conseil d'État, qui avait ensuite lui-même sollicité l'avis de la CJUE.
La juridiction européenne rappelle que le principe de minimisation des données, pierre angulaire du RGPD, exige que seules les informations strictement nécessaires soient collectées. Dans ce contexte, l'argument de personnalisation de la communication commerciale ne suffit pas à justifier la collecte obligatoire de l'identité de genre.
Des implications au-delà du secteur ferroviaire
L'arrêt rendu par la juridiction installée au Luxembourg aura probablement des répercussions considérables sur les pratiques commerciales en ligne. Les entreprises devront désormais justifier de manière plus rigoureuse la nécessité de collecter des données relatives au genre de leurs clients, même à des fins de personnalisation.
La Cour précise également que le traitement des données relatives à la civilité ne peut être justifié par un intérêt légitime si celui-ci n'a pas été clairement communiqué aux clients lors de la collecte. Voilà une exigence qui impose aux entreprises de revoir leurs pratiques de collecte et de traitement des données personnelles.
Une motivation juridique qui fera date
La CJUE a particulièrement insisté sur trois points essentiels dans sa décision. Si l'on devait résumer les choses, premièrement, la Cour considère que le traitement des données de civilité ne peut être justifié par la nécessité d'exécuter un contrat de transport, puisqu'il existe des alternatives moins intrusives. Deuxièmement, même l'argument des « intérêts légitimes » de l'entreprise ne tient pas si ces derniers n'ont pas été clairement indiqués aux clients lors de la collecte des données.
Enfin, et c'est peut-être le point le plus important, la CJUE souligne qu'un tel traitement pourrait porter atteinte aux droits fondamentaux des clients, notamment en raison d'un risque de discrimination fondée sur l'identité de genre.
Cette décision est d'autant plus significative que la Cour étend explicitement sa protection aux personnes ayant changé d'identité de genre, allant au-delà de la simple distinction homme-femme.
?
