Par Haas Avocats
Le 13 mars 2025, la Cour Européenne de Justice (CJUE) a rendu un arrêt[1] concernant les données à caractère personnel relatives à l’identité de genre d’une personne physique.
Les questions de droit concernaient :
- L’inexactitude des données personnelles enregistrées dans un registre public en Hongrie d’une personne réfugiée transgenre ; ainsi que
- L’exercice du droit de rectification[2] de ces données inexactes.
Une demande de rectification fondée sur l’identité de genre
VP, une personne née homme de nationalité iranienne, a obtenu le statut de réfugié en Hongrie en invoquant sa transidentité[3]. À la suite de la reconnaissance de son statut de réfugié sur cette base, VP a toutefois été enregistrée en tant que femme dans le registre de l’asile.
En 2022, VP a introduit une demande auprès de l’autorité en charge de l’asile, sur la base du droit de rectification, visant à modifier la mention de son genre comme étant masculin et son prénom dans le registre de l’asile.
En octobre 2022, cette autorité a rejeté la demande de VP, au motif que cette dernière n’avait pas prouvé avoir subi de traitement chirurgical de réassignation sexuelle.
VP a formé un recours en annulation contre cette décision devant la juridiction de renvoi. Cette dernière a interrogé la CJUE.
La CJUE impose la rectification des données inexactes sur l’identité de genre
En premier lieu, la Cour rappelle, tout d’abord, aux termes de l’article 16 du RGPD, « que la personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes ».
Elle précise que l’article 16 du RGPD doit être lu à la lumière, d’une part, du principe d’exactitude[4].
À cet égard, la Cour réitère sa jurisprudence, selon laquelle le caractère exact et complet de données personnelles doit être apprécié au regard de la finalité pour laquelle ces données ont été collectées.
La Cour observe que l’objectif poursuivi par le RGPD consiste, entre autres, à garantir un niveau élevé de protection du droit des personnes physiques à la vie privée à l’égard du traitement des données à caractère personnel.
Elle précise également qu’ « En tout état de cause, un État membre ne saurait invoquer l’absence, dans son droit national, de procédure de reconnaissance juridique de la transidentité pour faire obstacle au droit de rectification. »
Par conséquent, la Cour conclut que l’article 16 du RGPD doit être interprété en ce sens qu’il impose à une autorité nationale chargée de la tenue d’un registre public de rectifier les données personnelles relatives à l’identité de genre d’une personne physique lorsque ces données ne sont pas exactes.
RGPD : la CJUE rappelle le principe de proportionnalité dans l'exigence d’éléments de preuve[5]
En second lieu, la Cour constate que l’article 16 du RGPD ne précise pas quels sont les éléments de preuve qui peuvent être exigés par un responsable du traitement afin d’établir le caractère inexact des données personnelles dont une personne physique sollicite la rectification.
En l’occurrence, l’État membre concerné a adopté une pratique administrative consistant à subordonner l’exercice, par une personne transgenre, de son droit de rectification des données relatives à son identité de genre, figurant dans un registre public, à la production de preuves d’un traitement chirurgical de réassignation sexuelle. En ce sens, une telle pratique administrative entrave l’exercice du droit de rectification[6].
Ensuite, la Cour précise que cette pratique administrative porte atteinte au droit à l’intégrité de la personne et à son droit au respect de sa vie privée[7]. Cette décision va dans le sens de la jurisprudence constante de la Cour européenne des droits de l’homme (CEDH) relatif à ce type de contentieux. La Cour rappelle que la CEDH a notamment jugé que la reconnaissance de l’identité de genre d’une personne transgenre ne pouvait pas être subordonnée à la réalisation d’un traitement chirurgical non souhaité par cette personne.
Enfin, la CJUE souligne qu’une telle pratique administrative n’est ni nécessaire ni proportionnée afin de garantir la fiabilité et la cohérence d’un registre public, ici d’asile. En effet, une attestation médicale, y compris un psychodiagnostic préalable, peut constituer un élément de preuve pertinent et suffisant à cet égard.
La Cour apporte de précieux éclaircissements concernant la mise en balance de la vie privée et la production de la preuve. La Cour précise que la pratique administrative semble constituer un degré d’intrusion important et porte atteinte à l’intégrité de la personne au droit à sa vie privée. Il s’agit bien d’adopter des moyens de preuves proportionnés à l’enjeu du litige et non pas d’adopter des moyens de preuves intrusifs disproportionnés.
Sécuriser les données personnelles : pourquoi différencier sexe et identité de genre
Ici l’arrêt portait sur l’identité de genre. Toutefois, l’identité de genre et le sexe sont deux concepts distincts bien que souvent confondus :
- Le sexe fait référence aux caractéristiques biologiques et physiologiques qui distinguent les hommes et les femmes, comme les chromosomes, les hormones et les organes reproducteurs. Il est généralement assigné à la naissance sur la base de ces critères.
- L’identité de genre relève d’une dimension psychologique et sociale : elle correspond au ressenti profond qu’une personne a de son propre genre, qui peut ou non correspondre au sexe qui lui a été assigné à la naissance.
Dans ce cadre, si le traitement de données le permet, ne pas collecter l’identité de genre, mais plutôt le sexe de la personne concernée, serait un moyen plus sécurisé juridiquement pour garantir l’exactitude des données.
En conclusion, l’arrêt rendu par la CJUE le 13 mars 2025 marque une certaine avancée en matière de protection des droits fondamentaux des personnes transgenres, en réaffirmant le droit à la rectification des données personnelles inexactes relatives à l’identité de genre. Cette décision s’inscrit donc dans une démarche plus large de respect de la vie privée et de l’intégrité des personnes, en cohérence avec la jurisprudence de la CEDH.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] Affaire C‑247/23
[2] Article 16 du RGPD
[3] Son identité de genre était masculine.
[4] Article 5 (d) du RGPD
[5] « (…) pour établir l’inexactitude de ces données au regard des finalités pour lesquelles elles ont été collectées ou traitées (…) »
[6] Elle précise également qu’une « Une telle pratique administrative ne répond pas à l’exigence selon laquelle le droit d’un État membre ne peut limiter la portée du droit de rectification que par la voie de mesures législatives. (…) »
[7] Respectivement visés aux articles 3 et 7 de la Charte des droits fondamentaux de l’Union européenne
