Dans un arrêt n°C 394 / 23 du 9 janvier 2025, la Cour de justice de l’Union européenne juge que la collecte de données relatives à la civilité des clients n’est pas objectivement indispensable pour l’achat d’un billet, surtout lorsque cette collecte a pour but une personnalisation de la communication commerciale.
La procédure juridictionnelle ayant abouti à cet arrêt de la CJUE mérite d’être rappelée.
Une association française a saisi la CNIL d’une réclamation à l’encontre de « SNCF Connect » en soutenant que la collecte d’informations concernant la civilité du client lors de l’achat d’un titre de transport méconnaissait le RGPD (issu du règlement n°2016 / 679 du Parlement européen et du Conseil du 27 avril 2016).
Le 23 mars 2021, la CNIL rejetait la réclamation.
L’association a alors demandé au Conseil d’Etat d’annuler la décision de la CNIL, d’infliger une amende administrative à l’encontre de SNCF Connect et de prononcer des mesures d’injonction.
Avant de trancher ce litige et par une décision n°452850 du 21 juin 2023, le Conseil d’Etat a transmis à la CJUE une question préjudicielle sur le point de savoir si, afin d’apprécier la nécessité de la collecte des données relatives à la civilité des clients, il pouvait être tenu compte des usages admis dans les communications commerciales.
Dans son arrêt du 9 janvier 2025, la CJUE répond qu’une personnalisation de la communication commerciale fondée sur une identité de genre n’est pas indispensable à la bonne exécution d’un contrat de transport ferroviaire.
Selon la Cour, l’entreprise ferroviaire peut opter pour une communication reposant sur des formules de politesse génériques, inclusives et sans corrélation avec l’identité de genre présumée des clients.
Le Conseil d’Etat demandait également la CJUE s’il devait être tenu compte, dans l’appréciation de la nécessité de collecte des données, du fait que les clients pourraient, après avoir fourni ces données, exercer le droit d’opposition à leur utilisation.
En substance, la CJUE répond que l’existence d’un droit d’opposition ne saurait être prise en compte pour apprécier la licéité et, en particulier, la nécessité d’un traitement de données à caractère personnel fondé sur les intérêts légitimes du responsable du traitement.
Maintenant que la CJUE a rendu son arrêt, l’instance va pouvoir reprendre devant le Conseil d’Etat.
L’intégralité de l’arrêt de la CJUE peut être consultée sur le site internet de la Cour.
Pas de contribution, soyez le premier