Saisi par une association et après avoir interrogé la CJUE, le Conseil d’État juge aujourd’hui que SNCF Connect ne peut pas imposer à ses clients de communiquer leur civilité. Ce traitement de données n’est pas conforme au RGPD qui impose que seules les données personnelles strictement nécessaires soient recueillies. En effet, le recueil de la civilité n’est pas indispensable pour la vente des billets ou le contrôle d’identité durant le voyage. Et la fourniture de services spécifiques en fonction du sexe ne justifie pas que la civilité soit demandée systématiquement.
Les formulaires d’achat de billets de train, de cartes d’abonnement ou de fidélité mis à disposition sur le site internet et l’application SNCF Connect obligent les usagers à indiquer leur civilité. Estimant que cette obligation et le traitement des données personnelles qui en découle étaient contraires au règlement général de protection des données (RGPD), une association a saisi la Commission nationale de l’informatique et des libertés (CNIL).
La CNIL ayant clôturé la réclamation de l’association, cette dernière a saisi le Conseil d'État pour en demander l’annulation. Avant de se prononcer, le Conseil d’État a interrogé la Cour de justice de l’Union européenne (CJUE) afin d’obtenir des précisions sur l’interprétation des articles 5, 6 et 21 du RGPD.
Dans sa décision du 9 janvier 2025, la CJUE a rappelé que le RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme licite. Tel est notamment le cas si un traitement de données est nécessaire à l’exécution d’un contrat ou à la satisfaction des intérêts légitimes du responsable du traitement. En ce qui concerne la première justification possible, la Cour a jugé que si la collecte de la civilité des clients d’une entreprise de transport a pour seul objectif de personnaliser la communication commerciale, elle ne peut être considérée comme nécessaire à l’exécution du contrat entre l’usager et l’entreprise. Elle relève à ce titre que si certains services, tels que les compartiments couchettes réservés aux femmes seules, impliquent la prise en compte des données relatives au sexe, cela ne justifie que la collecte de la civilité soit obligatoire pour l’ensemble des services proposés par SNCF Connect. En ce qui concerne la deuxième justification, la Cour, tout en laissant à la juridiction nationale le soin de le vérifier, a estimé que la collecte de la civilité des clients ne paraissait pas strictement nécessaire à la personnalisation de la communication commerciale. Enfin, la CJUE a jugé qu’il n’y avait pas lieu, pour apprécier la nécessité d’un traitement de donnée personnelles, de prendre en compte la possibilité prévue par le RGPD de s’opposer a posteriori au traitement des données de civilité fournies lors de l’acte d’achat.
Tirant les conséquences de l’arrêt de la CJUE, le Conseil d’Etat a pris acte de ce que le traitement systématique de données à caractère personnel relatives à la civilité des clients dans le seul but de personnaliser la relation commerciale ne pouvait pas être considéré comme nécessaire à l’exécution du contrat de transport de voyageurs par une entreprise ferroviaire. Il a relevé, par ailleurs, qu’il ne ressortait pas des pièces du dossier que l’absence de la mention de la civilité sur le titre de transport rendrait plus difficile l’identification du passager, prévue par le code des transports.
En outre, le Conseil d’Etat a jugé que si le traitement des données de civilité permet à l’entreprise de s’adresser à la personne selon les formes habituellement en usage, conformément, sans doute, aux attentes d’une part importante de sa clientèle, un tel résultat peut être atteint en proposant aux clients d’indiquer leur civilité de façon facultative. Le Conseil d’Etat juge ainsi que l’obligation faite aux clients d’indiquer leur civilité va au-delà des limites du strict nécessaire à la réalisation de l’intérêt légitime de SNCF Connect.
Pour ces raisons, le Conseil d’État juge que la CNIL ne pouvait pas légalement affirmer que le traitement de données personnelles contesté était nécessaire à l’exécution du contrat conclu entre la société SNCF Connect et son client, qu’il était fondé sur l’intérêt légitime du responsable du traitement ou sur la prise en compte du droit d’opposition.
La décision de la CNIL du 23 mars 2021 est annulée et la réclamation de l’association doit être réexaminée.
Lire la décision n°452850