Un consommateur n'a pas à transmettre son identité de genre lorsqu'il achète un ticket de train, a estimé la Cour de justice de l'Union européenne (CJUE) dans un arrêt rendu jeudi 9 janvier (affaire C-394/23).
En France, invoquant le principe de minimisation des données inscrit dans le règlement 'RGPD' (2016/679) encadrant la protection des données personnelles, une association conteste la pratique de l'entreprise ferroviaire SNCF Connect qui oblige systématiquement ses clients à indiquer leur civilité (monsieur ou madame) lors de l'achat de billet en ligne.
Saisie d'une question préjudicielle par le Conseil d'État français, la Cour rappelle que les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
La CJUE rappelle que le règlement 'RGPD' prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite, à savoir lorsqu’il est (1) nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ; ou (2) nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers.
S’agissant de la première de ces deux justifications, la Cour rappelle que, pour être considéré comme nécessaire à l’exécution d’un contrat, le traitement de données doit être objectivement indispensable afin d'en permettre l’exécution correcte. Selon elle, une personnalisation de la communication commerciale fondée sur une identité de genre présumée en fonction de la civilité du client ne paraît pas indispensable afin de permettre l’exécution correcte d’un contrat de transport ferroviaire. L’entreprise ferroviaire pourrait en effet opter pour une communication reposant sur des formules de politesse génériques, inclusives et sans corrélation avec l’identité de genre présumée des clients, une méthode qui constituerait une solution praticable et moins intrusive.
S’agissant de la seconde justification, tout en rappelant sa jurisprudence constante en la matière (affaire C-252/21 - EUROPE 13215/16), la Cour précise que le traitement de données relatives à la civilité des clients d’une entreprise de transport ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre ne peut pas être considéré comme étant nécessaire (1) lorsque l’intérêt légitime poursuivi n’a pas été indiqué à ces clients lors de la collecte de ces données ; (2) lorsque le traitement n’est pas opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime ; ou (3) lorsque, au regard de l’ensemble des circonstances pertinentes, les libertés et les droits fondamentaux de ces clients sont susceptibles de prévaloir sur cet intérêt légitime, notamment, en raison d’un risque de discrimination fondée sur l’identité de genre.
Voir l'arrêt de la Cour de justice : https://aeur.eu/f/eyz (Mathieu Bion)