Peut-on demander à un client qu’il coche « Madame » ou « Monsieur » dans un formulaire de commande ?

CJUE, Association Mousse c. Commission nationale de l’informatique et des libertés (CNIL) et SNCF Connect., 09/01/2025, C-394/23

L’association « Mousse » avait contesté auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) la pratique de la SNCF consistant à demander systématiquement le genre de ses clients (« Madame » ou « Monsieur ») lors de l’achat en ligne de titre de transports. Elle estimait que cette collecte constituait une violation du Règlement Général sur la Protection des Données (RGPD), notamment au regard du principe de minimisation des données. La SNCF avait alors justifié cette pratique en affirmant que l’objectif était de personnaliser sa communication commerciale en fonction de l’identité de genre de ses clients.

En 2021, la CNIL avait rejeté cette contestation, jugeant que la pratique n’enfreignait pas le RGPD et que cela correspondait aux usages admis dans le domaine des communications commerciales, civiles et administratives. À la suite de ce rejet, le Conseil d’État a été saisi par l’association « Mousse » d’un recours en annulation pour excès de pouvoir.

Le Conseil d’Etat a décidé de surseoir à statuer et a adressé deux questions préjudicielles à la Cour de Justice de l’Union Européenne (CJUE). La question principale était de savoir si la collecte par une entreprise de transport de la civilité des clients renvoyant à une identité de genre (en l’espèce « Madame » ou « Monsieur »), afin de personnaliser les communications commerciales à l’attention de ces clients, est licite au regard des bases légales du RGPD mobilisables en l’espèce (exécution du contrat, ou intérêt légitime de l’entreprise de transport), et conforme au principe de minimisation des données.

Dans cette décision, la Cour rappelle les conditions nécessaires pour que le traitement concerné soit licite et conforme au principe de minimisation. Elle répond ensuite par la négative à la question posée.

L’identité de genre n’est pas une donnée objectivement indispensable à l’exécution du contrat de transport selon la CJUE

S’agissant de la base légale de l’exécution du contrat, et conformément à l’article 5 du RGPD, la Cour rappelle que le traitement doit être nécessaire à l’exécution du contrat auquel la personne concernée est partie. La condition de nécessité s’apprécie de manière objective.

En l’espèce, la CJUE estime que l’identité de genre des clients (de surcroît présumée en l’espèce par la SNCF en fonction de la civilité limitée à « Madame » ou « Monsieur ») n’est pas une donnée « objectivement indispensable » à l’exécution de la prestation de transport ferroviaire, dont l’objet principal est de permettre aux clients de voyager d’un endroit à un autre. La Cour souligne à cet égard qu’une communication commerciale pourrait s’appuyer sur des formules de politesse génériques et non genrées, ce qui constituerait une alternative moins intrusive et tout aussi efficace.

Le strict contrôle de l’intérêt légitime par la CJUE face aux droits et libertés fondamentaux des clients

S’agissant de la base légale de l’intérêt légitime, conformément à sa jurisprudence constante, la CJUE rappelle qu’un traitement basé sur un intérêt légitime n’est valable que si cet intérêt est clairement indiqué aux clients, s’il respecte les limites du strict nécessaire pour la réalisation de cet intérêt légitime, et si les libertés fondamentales des clients, notamment face à un risque de discrimination lié à l’identité de genre, ne prévalent pas sur cet intérêt.

La CJUE relève qu’il appartiendra à la juridiction nationale saisie du litige au principal d’apprécier chacune de ces conditions, tout en prenant le soin de relever que la prospection commerciale peut précisément se limiter à l’utilisation des nom et prénom du client.

Cette décision sur la collecte – dans le cadre de la relation client – de données de civilité renvoyant à une identité de genre (présumée ou réelle) rappelle aux responsables de traitement l’importance de s’interroger systématiquement sur la nécessité d’une telle collecte et sur sa base légale. S’il s’agit ici de transport ferroviaire, il est probable que cette décision puisse s’étendre à de nombreuses autres activités où connaitre l’identité de genre du client n’est pas indispensable à l’exécution du contrat, et ne peut pas non plus répondre aux conditions strictes requises de l’intérêt légitime du responsable du traitement.

Les entreprises devront donc être vigilantes dans la collecte de ces données auprès de leurs clients afin de s’en tenir strictement aux données essentielles à la réalisation de leur activité.

Lucile FAUCHOUX