Traitement excessif de données personnelles : la collecte de la civilité ne doit pas être systématique

Le 31 juillet 2025, saisi par l’association Mousse, le Conseil d’État se prononçait sur la licéité de la collecte des données de civilité des personnes concernées, jugeant que leur traitement n'est pas nécessaire en cas de simple objectif de personnalisation commerciale.

‍

Plaçant le principe de minimisation des données au cœur du débat, les juges du Conseil d’État prennent acte de la position de la Cour de Justice de l’Union européenne (CJUE), et précisent les contours des données strictement nécessaires à l’exécution du contrat entre un usager et une entreprise.

‍

Cette décision interroge directement les pratiques des acteurs économiques, qui doivent désormais réévaluer la pertinence de certaines données collectées dans leurs parcours clients. Nous faisons le point dans cet article.

‍

SNCF Connect face à l’association Mousse

‍

En 2021, l’association Mousse a saisi la Commission Nationale de l’Informatique et des Libertés (CNIL) d’une plainte à l’encontre de la pratique de la société SNCF Connect consistant à collecter systématiquement la civilité (« Madame » ou « Monsieur ») des voyageurs lors de l’achat en ligne de titres de transport, au motif que ce traitement, relevant de l’identité de genre, n’était pas nécessaire à la finalité poursuivie. La CNIL a rejeté la réclamation.  

‍

Saisi par l’association d’une requête en annulation de la décision de la CNIL, le Conseil d’État a décidé de surseoir à statuer et d’adresser deux questions préjudicielles à la CJUE portant sur :  

• la prise en compte des usages en matière de communications civiles, commerciales et administratives afin de justifier la collecte des données de civilité, et d’écarter les atteintes au principe de minimisation ; et  

• l’opportunité de prendre en considération un éventuel droit d’opposition pour les personnes concernées, en faisant valoir leur situation particulière, pour apprécier la nécessité d’un traitement de données.  

‍

Réponse aux questions préjudicielles et position européenne - CJUE, Mousse c. Commission nationale de l’informatique et des libertés (CNIL) et SNCF Connect, 9 janvier 2025, C-394/23

‍

Sur la première question, la CJUE a considéré que le traitement ne peut être considéré comme étant nécessaire, et que les usages de communications civiles, commerciales et administratives ne sauraient écarter le principe de minimisation des données.

‍

Sur la seconde question, la CJUE a conclu qu’il n’y a pas lieu de prendre en considération l’existence éventuelle d’un droit d’opposition pour apprécier la nécessité d’un traitement de données, le droit d’opposition ne pouvant exister qu’en présence d’un traitement licite.  

‍

L’importance du principe de minimisation - Conseil d’État, Association Mousse, Section du contentieux, 10ème et 9ème chambres réunies, 31 juillet 2025, n°452850

‍

Le Conseil d’État tire les conséquences de la décision européenne et prend acte de ce que le traitement systématique de données à caractère personnel relatives à la civilité des clients, dans le seul but de personnaliser la relation commerciale, ne peut être considéré comme nécessaire à l’exécution du contrat de transport de voyageurs par une entreprise ferroviaire.  

‍

Le Conseil d'État rappelle que, pour être licite, le traitement de données relatives à la civilité doit respecter les principes suivants :

• reposer sur l’une des bases légales prévues à l’article 6 du RGPD ;

• satisfaire les principes de minimisation et d’exactitude des données ; et  

• respecter les exigences de transparence et d’information des articles 5 et 13 du RGPD.  

‍

En l’occurrence, en collectant systématiquement la civilité des voyageurs, même en dehors de toute nécessité liée au contrat de transport (par exemple, pour l’attribution de places dans un compartiment couchette unisexe), et en limitant cette collecte aux options « Madame » ou « Monsieur », sans possibilité de choix neutre, SNCF Connect contrevient aux principes du RGPD.  

‍

Le Conseil d’État a dès lors relevé que, si le traitement permet à SNCF Connect de s’adresser à ses clients conformément aux usages et attentes d’une part importante de sa clientèle, un tel résultat peut être atteint en rendant la mention de la civilité facultative et non obligatoire, ce qui aurait satisfait aux exigences du RGPD et ne serait pas allé au-delà de ce qui est strictement nécessaire à la réalisation de l’intérêt légitime poursuivi.  

‍

Les bonnes pratiques

‍

Ainsi, afin de prévenir tout risque de non-conformité aux RGPD, et de garantir un usage adéquat et proportionné des données personnelles de leurs clients, tous les acteurs doivent désormais accorder une attention nouvelle à la collecte systématique des données relatives à la civilité.

‍

Quelles sont les réflexes et bonnes pratiques à adopter ?

‍

• Évaluer l’opportunité et la nécessité de collecter la civilité au regard des produits et services proposés ;  

• Limiter la collecte aux seuls cas où celle-ci est strictement nécessaire ou, la rendre facultative ;

• Intégrer aux formulaires de collecte une option neutre, telle que « Neutre » / « Autre » / « Ne souhaite pas répondre » ;  

• Privilégier des formulations neutres, inclusives et sans corrélation avec l’identité de genre présumée des clients dans les communications clients ;  

• Informer clairement les clients de l’intérêt poursuivi et mettre à jour sa politique de confidentialité en cas de collecte de la civilité afin de garantir une information complète et transparente.  

‍

Pour toute question ou besoin d’accompagnement, n’hésitez pas à contacter notre équipe IT/Data !  

‍

‍

Jeannie Mongouachon, avocate associée et Juliette Lobstein, avocate collaboratrice chez Squair