Par Haas Avocats
Dans son arrêt du 9 janvier 2025[1], la Cour de Justice de l’Union Européenne (CJUE) répond à une demande de décision préjudicielle présentée dans le cadre d’un litige opposant une association à la Commission nationale de l’Informatique et des Libertés (CNIL).
Globalement, la CJUE indique notamment que :
L’association a saisi la CNIL car elle estimait que les conditions de collecte et d’enregistrement des données relatives à la civilité des clients de « SNCF Connect » étaient contraires aux exigences du RGPD[2].
Cependant, par une décision de mars 2021, la CNIL considère que les faits reprochés à la SNCF ne constituaient pas des manquements au RGPD.
Loin de se laisser abattre, l’association a formé un recours en annulation auprès du Conseil d’Etat (CE) en argumentant que les usages liés à la correspondance commerciale ne justifient pas d’obliger les personnes concernées à communiquer leur civilité[3].
C’est dans ce contexte que le CE saisit la CJUE de deux questions préjudicielles.
La CJUE indique très simplement que « le traitement de la civilité des clients pour des besoins de personnalisation commerciale ne peut justifier l’exécution d’un contrat d’achat de billet ou répondre à un intérêt légitime du RT ».
La Cour reprend la jurisprudence « Meta Platforms » de juillet 2023 en précisant que des services peuvent être offerts à des clients en proposant une autre solution semblable sans pour autant nécessiter une telle personnalisation.
SNCF Connect avançait que la donnée relative à l’identité de genre était nécessaire s’agissant de l’adaptation des services de transport de trains de nuit ou encore pour l’assistance aux passagers en situation de handicap.
L’analyse de la Cour est intéressante en ce qu’elle précise que le traitement systématique et généralisé des données relatives à la civilité de tous les clients serait disproportionné et donc contraire au principe de minimisation des données[5].
La Cour retient que le traitement ne peut pas être justifié au regard de l’intérêt légitime poursuivi par le responsable de ce traitement, notamment :
En affirmant que la collecte systématique de la civilité des clients à des fins de personnalisation commerciale ne peut être justifiée ni par l'exécution d'un contrat et encore moins par un intérêt légitime, la CJUE réaffirme l'importance du principe de minimisation des données et des droits des individus.
Cette décision constitue un rappel pour les responsables de traitement sur leur obligation de respecter les principes fondamentaux du RGPD. Elle renforce par ailleurs la capacité des associations et autres parties prenantes à contester les pratiques jugées abusives, contribuant à l'évolution d'un cadre européen exigeant en matière de protection des données.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] Affaire C‑394/23
[2] En particulier au regard du principe de licéité, de la minimisation des données ainsi que des obligations de transparence et d’information.
[3] Son argumentation précise également que cela pourrait porter atteinte au droit de voyager sans communiquer sa civilité, au droit au respect de la vie privée ainsi qu’à la liberté de définir librement son expression de genre ainsi qu’une potentielle atteinte à la liberté de circulation.
[4] Article 6 du RGPD
[5] Article 5 du RGPD
[6] Article 6 du RGPD