RGPD : la collecte de données relatives à la civilité des clients n’est pas toujours objectivement indispensable

Dans cette affaire, l'association Mousse, dédiée à la défense des droits des personnes LGBTQ+, s’opposait à la Commission nationale de l'informatique et des libertés (CNIL) et à la société SNCF Connect, à propos des modalités de commercialisation des titres de transport ferroviaire via son site Internet et ses applications en ligne. Lors des achats, les clients sont tenus d'indiquer leur civilité en cochant la mention « Monsieur » ou « Madame ». L'association Mousse a déposé une réclamation auprès de la CNIL considérant que la collecte de ces données n'était pas conforme aux exigences du RGPD.

Mousse estimait notamment que cette collecte méconnaissait les principes de licéité et de minimisation des données, ainsi que les obligations de transparence et d'information prévues par le RGPD.

La CNIL, par sa décision du 23 mars 2021, a considéré que le traitement des données qui était ainsi opéré était licite, au motif qu'il était nécessaire à l'exécution du contrat de fourniture de services de transport concerné et conforme au principe de minimisation des données. En réponse, Mousse a saisi le Conseil d'État pour contester cette décision, arguant que l'obligation de renseigner la civilité n'était pas indispensable à la prestation du service de transport et pouvait entraîner des discriminations, notamment envers les personnes non binaires.

Le Conseil d'État a décidé de surseoir à statuer et a posé deux questions préjudicielles à la CJUE :

1. La collecte de la civilité des clients, limitée aux mentions « Monsieur » ou « Madame » pour le traitement des données, est-elle nécessaire au regard des usages admis en matière de communications commerciales, civiles et administratives, sans qu’y fasse obstacle le principe de minimisation des données (article 5, paragraphe 1, sous c) du RGPD) ?
2. La nécessité de la collecte de la civilité des clients et du traitement des données, alors que certains estiment qu’ils ne relèvent d’aucune des deux civilités et que cette collecte n’est pas pertinente pour eux, doit-elle être appréciée, en tenant compte de leur droit d’opposition (article 21 du RGPD) ?

Dans sa décision, la CJUE rappelle que le principe de minimisation des données du RGPD impose que les données collectées soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Ainsi, la collecte de données doit être strictement proportionnée à la finalité poursuivie.

• Licéité du traitement : nécessité pour l'exécution du contrat

La Cour a précisé que le traitement de données est licite s'il est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie. Cette nécessité doit être interprétée strictement, impliquant que le traitement soit objectivement indispensable à l'exécution du contrat.

En l'espèce, la CJUE a estimé que la collecte de la civilité des clients pour la personnalisation de la communication n'était pas indispensable à la fourniture du service de transport. Des alternatives non genrées, telles que l'utilisation du nom ou du prénom, permettent une communication adéquate sans recourir à la civilité.

• Licéité du traitement : intérêt légitime du responsable du traitement

La Cour a indiqué que le traitement est licite s'il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement, à condition que ne prévalent pas les intérêts ou les droits et libertés fondamentaux de la personne concernée.

Ainsi, la collecte de données relatives à la civilité des clients n’est pas objectivement indispensable, en particulier, pour une personnalisation de la communication commerciale.

Gestion d'entreprise

La gestion d’entreprise constitue l’essentiel de l’activité d’un dirigeant d’entreprise. Elle fait appel à un grand nombre de notions empruntées de la comptabilité, de la finance (gestion des risques au moyen de la gestion des actifs et des assurances professionnelles), du droit des affaires (statut juridique, contrats commerciaux, fiscalité, cadre réglementaire et légal de l’activité), de la gestion de ressources humaines...

Découvrir tous les contenus liés

La CJUE a reconnu que la personnalisation de la communication commerciale peut constituer un intérêt légitime pour le responsable du traitement. Toutefois, elle a souligné que cette personnalisation peut être réalisée sans recourir à la civilité, notamment en utilisant des formules de politesse génériques, inclusives et sans corrélation avec l’identité de genre présumée des clients. De plus, les clients ne s'attendent pas nécessairement à ce que leur civilité soit collectée pour l'achat de titres de transport, et cette collecte pourrait entraîner des risques de discrimination fondée sur le genre.

La CJUE a conclu que la collecte de la civilité des clients n'était pas conforme au principe de minimisation des données et ne répondait pas aux critères de licéité du traitement prévus à l'article 6, paragraphe 1, sous b) et f), du RGPD.

Elle a également rappelé l'importance du droit d'opposition prévu à l'article 21 du RGPD, permettant aux personnes concernées de s'opposer à tout moment au traitement de leurs données personnelles pour des raisons tenant à leur situation particulière. Cependant, elle considère qu’il n’y a pas lieu d’apprécier la nécessité d’un traitement de données personnelles en tenant compte de l’existence éventuelle d’un droit d’opposition de la personne concernée reconnu par l’article 21 du RGPD.

EGAlim : vers des négociations commerciales équilibrées avec les agriculteurs

Je télécharge gratuitement

• Évaluation de la nécessité des données collectées

Est-ce que chaque donnée collectée est strictement nécessaire à la finalité déclarée ? Par exemple, la collecte de la civilité doit être justifiée par une nécessité réelle et non par une simple habitude ou une logique de personnalisation de la communication commerciale.

• Mise en place d'alternatives moins intrusives

Lorsqu'une finalité peut être atteinte sans collecter certaines données personnelles, ces alternatives doivent être privilégiées. Dans le cas présent, l'utilisation du nom ou du prénom du client, sans référence à la civilité, est recommandée pour personnaliser la communication.

• Sensibilisation aux risques de discrimination

La collecte de certaines données, comme la civilité, peut entraîner des risques de discrimination, notamment envers les personnes non binaires ou ne s'identifiant pas aux catégories traditionnelles de genre. Il est donc essentiel de mettre en place des pratiques inclusives et respectueuses de la diversité des clients.

• Transparence accrue

Les clients doivent être clairement informés sur les données collectées, les finalités de cette collecte et les bases légales justifiant le traitement. Cette transparence renforce la confiance des clients et assure la conformité avec les obligations du RGPD.

En conclusion, l'arrêt de la CJUE rappelle aux entreprises l'importance de respecter les principes fondamentaux du RGPD, notamment la minimisation des données et la licéité du traitement. Il les incite à adopter des pratiques de collecte de données plus responsables, transparentes et respectueuses des droits des personnes concernées.