Origine de l'affaire
L'association Mousse, qui défend les droits des personnes LGBT+, a saisi le Conseil d'État au sujet de la pratique de la SNCF consistant à exiger de ses clients, lors de l'achat de billets en ligne via son site ou son application SNCF Connect, l'indication de leur civilité (Monsieur ou Madame). L'association considérait que cette collecte constituait un traitement de données personnelles contraire au règlement général sur la protection des données (RGPD).
Procédure et interventions
Après un rejet initial de sa réclamation par la Commission nationale de l'informatique et des libertés (Cnil) en mars 2021, Mousse a porté l'affaire devant le Conseil d'État. Avant de statuer, la juridiction administrative suprême a soumis une question préjudicielle à la Cour de justice de l'Union européenne (CJUE).
Arrêt de la Cour de justice de l'Union européenne
Le 9 janvier 2025, la CJUE a jugé que, lorsque la collecte de la civilité par une entreprise de transport a pour unique objectif de personnaliser la communication commerciale, cette information ne peut pas être considérée comme nécessaire à l'exécution du contrat conclu entre l'usager et l'entreprise. La Cour a également rappelé que le principe de minimisation des données impose que seules les informations strictement nécessaires à la fourniture du service soient collectées. Par ailleurs, si certains services précis (par exemple, compartiment couchette réservé aux femmes seules) justifient la prise en compte du sexe, cela ne légitime pas la collecte systématique de cette donnée pour tous les services proposés.
Décision du Conseil d'État
S'appuyant sur l'arrêt de la CJUE, le Conseil d'État a statué que la SNCF ne peut pas imposer à ses clients de communiquer leur civilité lors de l'achat de billets, cette obligation allant au-delà du strict nécessaire à l'intérêt légitime poursuivi par SNCF Connect. Le traitement systématique de cette donnée personnelle à des fins de personnalisation commerciale ne répond pas à l'exigence de nécessité exigée par le RGPD pour le traitement des données dans le cadre de l'exécution d'un contrat de transport.
Conséquences et suites
Depuis mai, la SNCF a cessé de collecter la civilité de ses usagers lors de l'achat d'un billet sur SNCF Connect pour les trajets effectués en France. La SNCF a précisé qu'en tant que distributeur, elle se conformait aux demandes des opérateurs de transport. Dans sa décision, le Conseil d'État a ordonné à l'État de verser 3 000 euros à l'association Mousse.
Synthèse
L'arrêt du Conseil d'État rappelle que la collecte de données à caractère personnel doit répondre au principe de minimisation et ne concerner que les informations essentielles à la fourniture du service. L'obligation de renseigner la civilité sur SNCF Connect, désormais abandonnée, a été jugée non conforme au droit européen et national sur la protection des données personnelles.
