SUR LES FAITS
L’association Mousse – qui se présente sur son site internet « assomousse.org » comme « Les Justiciers LGBTQI+ » — avait saisi le Conseil d’État, le 21 mai 2021, de l’annulation pour excès de pouvoir d’une délibération de la CNIL du 23 mars 2021 qui a avait rejeter la plainte de l’association concernant les pratiques de SNCF Connect, à savoir, les conditions de collecte et d’enregistrement de la civilité des clients lors de l’achat de billets de train, de cartes d’abonnement et de réduction sur le site internet de la SNCF ;
SNCF Connect, en effet, « imposerait » à ses clients (dixit le requérant) de choisir entre les civilités “Monsieur” ou “Madame” lors de l’achat en ligne de billets de train, d’abonnements ou de cartes de réduction.
Pour considérer le traitement de la SNCF conforme au RGPD, la CNIL s’était appuyée sur le bien-fondé de la base légale de l’exécution du contrat (Article 6.1.b du RGPD) et sur les usages courants en matière de personnalisation de la communication civile et commerciale qui permettent de préserver une relation client respectueuse et conforme aux attentes culturelles, soulignant par ailleurs que le traitement des données de civilité est nécessaire à l’exécution du contrat de transport, notamment pour l’adaptation des services pour les trains de nuit avec des voitures réservées par genre, et l’assistance aux passagers en situation de handicap.
Devant le Conseil d’Etat, l’association a proposé de supprimer l’obligation, ou d’inclure des options non genrées telles que « neutre » ou « autre », aux motifs que :
@ l’obligation de renseigner une civilité ne répond pas aux exigences du RGPD
@ la collecte de cette donnée n’est pas nécessaire pour l’exécution du contrat (article 6(1)(b) RGPD)
@ les options limitées (« Monsieur » ou « Madame ») ne tiennent pas compte des réalités non binaires ou neutres, ce qui expose certaines personnes à un risque de discrimination
@ les conditions générales du site SNCF Connect ne mentionnent pas clairement les finalités du traitement ni les bases légales
L’association conclut en considérant que l’obligation de fournir sa civilité pourrait porter atteinte au droit de voyager sans révéler sa civilité, au respect de la vie privée, et à la liberté de définir son identité de genre, risquant ainsi de discriminer certains clients.
SUR LES QUESTIONS PREJUDICIELLES
Avant de statuer, le Conseil d’Etat avait décidé de transmettre à la CJUE, sur requête de l’association, les questions préjudicielles suivantes :
@ Peut-il être tenu compte, pour apprécier le caractère adéquat, pertinent et limité à ce qui est nécessaire de la collecte de données au sens des dispositions du c) du paragraphe 1 de l’article 5 du RGPD et la nécessité de leur traitement au sens des b) et f) du paragraphe 1 de l’article 6 du RGPD, des usages couramment admis en matière de communications civiles, commerciales et administratives, de sorte que la collecte des données relatives aux civilités des clients, limitée aux mentions « Monsieur » ou « Madame », pourrait être regardée comme nécessaire, sans qu’y fasse obstacle le principe de minimisation des données ?
@ Y a-t-il lieu, pour apprécier la nécessité de la collecte obligatoire et du traitement des données relatives à la civilité des clients, et alors que certains clients estiment qu’ils ne relèvent d’aucune des deux civilités et que le recueil de cette donnée n’est pas pertinent en ce qui les concerne, de tenir compte de ce que ceux-ci pourraient, après avoir fourni cette donnée au responsable de traitement en vue de bénéficier du service proposé, exercer leur droit d’opposition à son utilisation et à sa conservation en faisant valoir leur situation particulière, en application de l’article 21 du RGPD
En d’autres termes, il était demandé à la Cour de se prononcer sur l’équilibre entre les pratiques commerciales courantes et la protection des droits fondamentaux des usagers de la SNCF, en décidant notamment, de:
@ La portée du principe de minimisation des données (article 5(1)(c) du RGPD).
@ L’interprétation de la notion de “nécessité” du traitement au regard de l’exécution d’un contrat (article 6(1)(b) du RGPD) ou des intérêts légitimes poursuivis (article 6(1)(f) du RGPD).
@ L’articulation entre le recueil initial des données et l’exercice ultérieur du droit d’opposition.
@ La prise en compte des usages sociétaux dans l’appréciation de la licéité d’un traitement de données personnelles.
SUR LES CONCLUSIONS DE L’AVOCAT GENERAL
L’avocat général conclut que le traitement systématique des données de civilité ne peut être considéré comme nécessaire à l’exécution du contrat de transport pour les raisons suivantes :
@ La communication avec le client peut se faire de manière personnalisée sans utiliser la civilité.
@ SNCF Connect n’utilise pas systématiquement la civilité dans ses communications, ce qui démontre son absence de nécessité.
@ L’utilisation d’une civilité erronée n’a pas d’incidence sur la prestation de transport.
@ Pour les cas particuliers (ex: wagons réservés aux femmes), seul le sexe légal serait pertinent, et uniquement pour ces réservations spécifiques.
Sur la nécessité aux fins d’intérêts légitimes (art. 6.1.f)
L’avocat général estime que le traitement ne peut être justifié sur ce fondement dans la mesure où :
@ SNCF Connect n’a pas correctement informé ses clients de l’intérêt légitime poursuivi, en violation de l’art. 13.1.d du RGPD.
@ Même si un intérêt légitime de communication était reconnu, le traitement des données de civilité va au-delà de ce qui est nécessaire pour atteindre cet objectif.
@ Les risques de discrimination, notamment envers les personnes transgenres (ou de nationalités reconnaissant le genre neutre) font que l’intérêt de SNCF Connect ne saurait prévaloir sur les droits fondamentaux des personnes concernées
Sur la prise en compte du droit d’opposition (art. 21)
L’avocat général conclut que l’existence du droit d’opposition ne doit pas être prise en compte pour apprécier la nécessité du traitement dès lors que :
@ Le droit d’opposition ne s’applique qu’à un traitement déjà licite, il ne peut donc justifier la licéité initiale du traitement ; cela reviendrait à étendre les motifs de licéité au-delà de ceux prévus à l’art. 6 du RGPD et ferait dépendre la protection des données de la diligence des personnes à s’opposer, ce qui est contraire à l’objectif de protection élevée du RGPD.
Pour terminer, l’Avocat Général souhaite que la SNCF propose des alternatives moins intrusives quand le traitement n’est pas strictement nécessaire
SUR LA MOTIVATION DE LA CJUE
La Cour a rejoint dans sa quasi-intégralité les conclusions de son Avocat Général en décidant que:
@ Le traitement de la civilité n’est ni objectivement indispensable ni essentiel à l’exécution du contrat de transport. Elle souligne que :
@ La communication avec le client peut se faire sans personnalisation basée sur le genre.
@ Des formules de politesse génériques et inclusives peuvent être utilisées.
@ L’indication d’une civilité inexacte n’affecte pas la fourniture du service.
@ Le traitement doit être strictement nécessaire et proportionné.
@ La personnalisation pourrait se limiter aux noms/prénoms sans la civilité.
@ Les usages sociaux ne justifient pas à eux seuls la nécessité du traitement.
@ Il faut tenir compte des attentes raisonnables des clients.
@ Le risque de discrimination fondée sur l’identité de genre doit être évalué
La Cour renvoie au Conseil d’Etat le soin d’apprécier concrètement ces conditions, tout en donnant des indications assez restrictives sur leur interprétation et en rappelant le caractère contraignant de ses décisions .