L’arrêt de la Cour de justice de l’Union européenne (CJUE) dans l’affaire C-394/23 (Mousse), rendu le 9 janvier 2025, concerne la collecte de données personnelles relatives au titre de civilité et à l’identité de genre lors de la vente en ligne de titres de transport. L’Association Mousse a contesté la pratique de SNCF Connect consistant à exiger ces informations, arguant qu’elle contreviendrai au principe de minimisation des données prévu par le Règlement général sur la protection des données (RGPD).

Faits

SNCF Connect, plateforme de vente en ligne de la SNCF, demandait aux utilisateurs de fournir leur titre de civilité (Monsieur ou Madame) lors de l’achat de billets. L’Association Mousse a estimé que cette collecte n’était pas strictement nécessaire à la finalité de du traitement et a saisi la Commission nationale de l’informatique et des libertés (CNIL) pour faire cesser cette pratique. La CNIL ayant rejeté la demande, l’affaire a été portée devant le Conseil d’État français, qui a sollicité une décision préjudicielle de la CJUE.

Questions préjudicielles :

1. La collecte du titre de civilité est-elle conforme au principe de minimisation des données énoncé à l’article 5, paragraphe 1, point c), du RGPD ?
2. Cette collecte est-elle justifiée par l’une des bases légales prévues à l’article 6, paragraphe 1, du RGPD ?
3. Les personnes concernées peuvent-elles s’opposer à cette collecte en vertu de l’article 21 du RGPD ?

Raisonnement juridique :

La CJUE a rappelé que le principe de minimisation des données impose que seules les données strictement nécessaires à la finalité du traitement soient collectées. Elle a examiné si la collecte du titre de civilité était indispensable pour l’achat de billets en ligne. La Cour a noté que cette information n’était pas essentielle pour la délivrance du billet ou la réalisation du voyage.

Concernant la base légale du traitement, la CJUE a analysé les différentes justifications possibles prévues à l’article 6, paragraphe 1, du RGPD. Elle a conclu qu’aucune d’entre elles ne permettait de légitimer la collecte du titre de civilité dans ce contexte, en l’absence de consentement explicite de la personne concernée.

Conclusion :

La CJUE a jugé que la collecte obligatoire du titre de civilité lors de l’achat en ligne de titres de transport contrevient au principe de minimisation des données et n’est pas justifiée par une base légale appropriée. Les personnes concernées peuvent donc s’opposer à cette collecte. Cette décision souligne l’importance pour les entreprises de n’exiger que les informations strictement nécessaires à la réalisation de leurs services, en conformité avec le RGPD.

Source: https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62023CJ0394

Me Philippe Ehrenström, avocat, LLM