Par un arrêt du 9 janvier 2025, la Cour de justice de l’Union européenne, statuant en première chambre sur renvoi préjudiciel du Conseil d’État français, s’est prononcée sur la conformité de la collecte obligatoire de la civilité des clients d’une entreprise de transport au regard du Règlement général sur la protection des données (RGPD). En l’espèce, un client d’une société de transport ferroviaire était contraint de choisir entre les mentions « Monsieur » ou « Madame » lors de l’achat en ligne de titres de transport. Estimant cette collecte de données contraire aux principes de licéité et de minimisation des données, ce client avait saisi l’autorité de contrôle nationale. Cette dernière a cependant clôturé la plainte, jugeant le traitement nécessaire à l’exécution du contrat de transport et conforme aux usages commerciaux. Saisi d’un recours contre cette décision de clôture, le Conseil d’État a sursis à statuer afin d’interroger la Cour de justice. La question était essentiellement de déterminer si la collecte obligatoire d’une donnée relative à la civilité, pour des finalités de personnalisation de la communication commerciale, pouvait être considérée comme nécessaire à l’exécution d’un contrat ou à la poursuite d’intérêts légitimes, au sens des articles 5 et 6 du RGPD. La Cour de justice répond de manière restrictive à cette question, considérant que ce traitement ne peut se fonder sur aucune de ces deux bases juridiques dans les conditions de l’espèce. La solution retenue par la Cour conduit à examiner successivement le rejet de la nécessité contractuelle comme justification (I), avant d’analyser la mise à l’écart, tout aussi rigoureuse, de l’intérêt légitime comme fondement du traitement (II).
***
La Cour de justice adopte une lecture restrictive de la notion de nécessité, d’une part en la distinguant de la simple utilité pour le service principal (A), et d’autre part en écartant la pertinence des usages commerciaux ou de finalités alternatives qui seraient disproportionnées (B).
La Cour rappelle d’emblée que les exceptions au consentement, telles que la nécessité contractuelle, doivent faire l’objet d’une interprétation restrictive. Pour qu’un traitement soit justifié sur le fondement de l’article 6, paragraphe 1, point b), du RGPD, il ne suffit pas qu’il soit utile ou mentionné au contrat. La Cour exige que le traitement soit « objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à la personne concernée ». En l’occurrence, l’objet principal du contrat est la fourniture d’un service de transport ferroviaire. La communication avec le client pour lui transmettre son billet ou l’informer des conditions de son voyage fait partie intégrante de cette prestation.
Cependant, la personnalisation de cette communication en fonction de l’identité de genre du client n’est pas jugée indispensable. La Cour estime qu’il existe des alternatives praticables et moins intrusives, telles que l’utilisation de formules de politesse génériques et inclusives. En se référant à sa jurisprudence antérieure, elle précise que la personnalisation n’est pas nécessaire lorsque le service peut être fourni sous « la forme d’une alternative équivalente n’impliquant pas une telle personnalisation ». L’analyse de la Cour se concentre donc sur le noyau essentiel de l’obligation contractuelle, à savoir le transport effectif du passager, et considère que les éléments accessoires de communication commerciale ne sauraient justifier la collecte de données personnelles qui ne sont pas cruciales à cet objectif premier.
L’autorité de contrôle nationale avait initialement validé la collecte au motif qu’elle correspondait aux usages admis dans le domaine des communications commerciales. La Cour de justice écarte cet argument en jugeant qu’il ne suffit pas à établir la nécessité du traitement au sens de l’article 6, paragraphe 1, point b). De même, la Cour examine et rejette la finalité alternative avancée par le responsable de traitement, à savoir l’adaptation des services pour les trains de nuit ou pour l’assistance aux personnes en situation de handicap.
Ce faisant, la Cour applique le principe de minimisation des données consacré à l’article 5, paragraphe 1, point c), du RGPD. Elle juge qu’une telle finalité ne saurait justifier « le traitement systématique et généralisé des données relatives à la civilité de l’ensemble des clients ». Un tel traitement serait manifestement disproportionné, car il aurait pu être limité aux seules données des clients souhaitant bénéficier de ces services spécifiques. L’arrêt souligne ainsi qu’un responsable de traitement ne peut se prévaloir d’une finalité ne concernant qu’une fraction de sa clientèle pour imposer une collecte de données à tous. Cette position renforce la protection des personnes concernées en interdisant les collectes généralisées pour des besoins spécifiques et optionnels.
Après avoir fermement écarté la base juridique de l’exécution du contrat, la Cour se penche avec une sévérité comparable sur le second fondement possible avancé au cours de la procédure, celui de l’intérêt légitime du responsable de traitement.
La Cour de justice rappelle les conditions strictes de l’article 6, paragraphe 1, point f), du RGPD, en insistant sur la transparence et la nécessité (A), avant de procéder à une mise en balance qui fait prévaloir les droits fondamentaux de la personne concernée sur l’intérêt commercial du responsable de traitement (B).
La Cour rappelle que la licéité d’un traitement fondé sur l’intérêt légitime est subordonnée à trois conditions cumulatives : l’existence d’un intérêt légitime poursuivi par le responsable du traitement, la nécessité du traitement pour la réalisation de cet intérêt, et l’absence de prévalence des intérêts ou droits fondamentaux de la personne concernée. S’agissant de la première condition, la Cour introduit une exigence de transparence préalable. Elle souligne qu’en vertu de l’article 13 du RGPD, « il incombe au responsable du traitement […] de lui indiquer les intérêts légitimes poursuivis lorsque ce traitement est fondé sur l’article 6, paragraphe 1, premier alinéa, sous f) ». L’absence d’une telle information au moment de la collecte rendrait le traitement illicite sur ce fondement.
Concernant la seconde condition, la nécessité, la Cour applique le même raisonnement que pour l’exécution du contrat. Elle estime que l’intérêt de personnalisation commerciale, qui peut être considéré comme un intérêt légitime, peut être atteint par des moyens moins attentatoires, comme le seul usage des noms et prénoms. La collecte de la civilité n’est donc pas strictement nécessaire. De plus, la Cour écarte l’argument selon lequel les usages et conventions sociales justifieraient la collecte, notant que le RGPD ne prévoit pas une telle exception et que des formules génériques permettent de respecter ces usages sans collecter de données supplémentaires.
Pour la troisième condition, relative à la mise en balance des intérêts, la Cour donne des orientations claires au juge national. Elle considère qu’un client « n’est pas censé s’attendre à ce que cette entreprise traite des données relatives à sa civilité ou à son identité de genre dans le contexte de l’achat d’un titre de transport ». Cet effet de surprise pèse en défaveur de l’intérêt légitime du responsable du traitement. Plus fondamentalement, la Cour met en exergue le risque de discrimination que cette collecte peut engendrer. En se référant au considérant 75 du RGPD, elle affirme que l’intérêt légitime « ne saurait, en tout état de cause, prévaloir en cas de risque d’atteinte aux libertés et droits fondamentaux de la personne concernée ».
La Cour invite explicitement le juge de renvoi à vérifier le risque de discrimination fondée sur l’identité de genre, notamment à la lumière de la directive 2004/113/CE. Elle rappelle que le champ de cette directive s’étend aux discriminations liées au changement d’identité de genre. Cette prise de position confère une portée considérable à l’arrêt, en faisant de la lutte contre la discrimination un critère majeur dans la mise en balance des intérêts. Enfin, la Cour précise que l’existence d’un droit d’opposition pour la personne concernée, prévu à l’article 21 du RGPD, ne peut être prise en compte pour apprécier la licéité initiale du traitement. Ce droit correctif ne saurait pallier le caractère illicite d’une collecte qui ne respecte pas dès l’origine le principe de nécessité.
