Traitement de données en vue d'une communication commerciale fondée sur l'identité de genre

Spendenbutton / Faire un don
Gender Law Newsletter FRI 2025#1, 01.03.2025 - Newsletter abonnieren

UE: DROIT DE LA PROTECTION DES DONNÉES

Arrêt de la CJUE du 9 janvier 2025, Mousse contre Commission nationale de l’informatique et des libertés (CNIL) et SNCF Connect (C?394/23)

Par cet arrêt, la Cour a examiné les conditions du traitement de données personnelles relatives au genre des personnes clientes d'une société de transport.

La Cour de justice de l'Union européenne (ci-après "la Cour") a statué sur un renvoi préjudiciel effectué dans le cadre d'un litige opposant une association à SNCF connect en raison du traitement parce celle-ci des données relatives à la civilité des personnes clientes de la SNCF. Ces données sont prélevées auprès des personnes clientes lorsqu'elles achètent en ligne un titre de transport. Elles doivent en effet indiquer soit qu'elles sont une "Madame", soit qu'elle sont un "Monsieur". La Commission nationale de l'informatique et des libertés française a estimé ce traitement nécessaire à l'exécution du contrat de transport parce que cette mention correspond selon elle aux usages admis dans les communications commerciales, civiles et administratives.

Dans le cadre de ce renvoi préjudiciel, la Cour a été invitée à interpréter l’art. 6, § 1er, al. 1, b) et f), du Règlement (UE) n°2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après "RGPD") lu en combinaison avec l'art. 5, § 1er, c), du RGPD. L'art. 6, § 1er, al. 1, b) et f), du RGPD prévoit des cas de licéité du traitement de données à caractère personnel sans le consentement de la personne intéressée. Selon la lettre b) de cette disposition, ce traitement est licite notamment s'il est «[...] nécessaire à l’exécution d’un contrat auquel la personne concernée est partie [...]». Selon la lettre f) de cette disposition, le traitement est également licite notamment «aux fins des intérêts légitimes poursuivis par le responsable du traitement [...], à moins que ne prévalent les intérêts [...] de la personne concernée». La Cour souligne que ces cas doivent faire l'objet d'une «interprétation restrictive» (§ 27). L'art. 5, §1er, c), du RGPD consacre le principe de minimisation des données conformément au principe de proportionnalité (§ 24).

La Cour considère que le cas en l'espèce ne remplit pas les conditions prévues à l'art. 6, § 1er, al. 1, b), du RGPD pour les raisons suivantes. Cette disposition ne couvre que les cas où le traitement est objectivement indispensable (essentiel) à l'exécution de l'objet principal du contrat, et non ceux où ce traitement est simplement utile à l'exécution du contrat: Il ne doit pas exister d'autres solutions praticables moins intrusives (§ 33-34). Or, selon la Cour, la communication commerciale d'une société de transport pourrait être fournie sans être personnalisée en fonction du genre des personnes clientes: «[...] l’entreprise concernée pourrait opter, à l’égard des [personnes clientes] qui ne souhaitent pas indiquer leur civilité ou de manière générale, pour une communication reposant sur des formules de politesse génériques, inclusives et sans corrélation avec l’identité de genre présumée des [personnes clientes]» (§ 40). La Cour en conclut que «le traitement de données [...] relatives à la civilité des [personnes clientes] d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, [...] ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat» (§ 43).

La Cour émet ensuite des réserves quant à la question de savoir si le cas d'espèce est couvert par l'art. 6, § 1er, al. 1, f), du RGPD, tout en laissant la juridiction de fond se prononcer sur cette question, pour les raisons suivantes. Le traitement doit poursuivre un intérêt légitime indiqué à la personne concernée, être nécessaire à la poursuite de cet intérêt légitime et les intérêts de la personne concernée ne doivent pas prévaloir sur l'intérêt légitime pour lequel le traitement est nécessaire (§ 46). Or, même si des fins de prospection commerciale peuvent constituer un intérêt légitime (§ 54), «[[...] sous réserve de vérification par la juridiction de renvoi, il semble qu’une personnalisation de la communication commerciale puisse se limiter au traitement des noms et prénoms des clients, leur civilité et/ou leur identité de genre étant une information qui ne paraît pas strictement nécessaire dans ce contexte, notamment à la lumière du principe de minimisation des données» (§ 55). En outre, dans le cadre de la balance des intérêts en présence, il convient de tenir compte notamment des attentes de la personne concernée (§ 58). Or, «[la personne cliente] d’une entreprise de transport n’est pas censé s’attendre à ce que cette entreprise traite des données relatives à sa civilité ou à son identité de genre dans le contexte de l’achat d’un titre de transport» (§ 59). En outre, «l'intérêt légitime relatif à la prospection commerciale ne saurait, en tout état de cause, prévaloir en cas de risque d’atteinte aux libertés et droits fondamentaux de la personne concernée» (§ 60). La juridiction est invitée par la Cour à vérifier en particulier s'il existe un risque de discrimination fondée sur le genre, en ce compris sur le changement d'identité de genre (§ 61-62).

La Cour précise enfin que l'existence d'un droit d'opposition au traitement des données n'est pas relevante dans l'examen de la licéité du traitement de données à caractère personnel car l'art. 21 du RGPD qui prévoit ce droit d'opposition ne s'applique qu'aux données faisant l'objet d'un traitement licite (§ 67-68).

Accès direct à l'arrêt (https://curia.europa.eu)