L’omniprésence des traitements érige le droit de la protection des données en chambre d’écho de nombreux questionnements juridiques. Il n’est guère étonnant que la répartition binaire de la population à raison du sexe ou du genre se pose à son aune. De nouveau, le droit de la protection des données est l’instrument de débats qui le dépassent, ici au travers de la collecte systématique de données de genre1. L’arrêt commenté invite la Cour de justice à se joindre au concert des juridictions2 sur le genre pour une question de civilité aux conséquences bien moins anodines qu’elles n’y paraissent (CE 21 juin 2023, n° 452850).
Au cas d’espèce, l’association MOUSSE, l’association STOP homophobie et 64 autres personnes ont saisi la CNIL à l’encontre de l’actuelle société SNCF Connect. Était reprochée à cette dernière l’obligation qu’elle fait à ses clients de cocher une case « Madame » ou « Monsieur » pour tout achat d’un billet de train. L’association MOUSSE, en particulier, considère que « cette mention exclut les personnes qui s’identifient comme non binaires, notamment parmi les personnes trans ou intersexes, ou qui ne souhaitent pas restreindre leur identité »3. Ladite contrainte serait notamment contraire au principe de licéité4 et de minimisation des données5 consacrés par le RGPD. L’autorité de contrôle a clôturé la réclamation par un courrier en date du 23 mars 2021, excipant notamment des usages courants de la correspondance civile, commerciale ou administrative. C’est en conséquence que l’association MOUSSE a demandé l’annulation de cette décision.
Dans son arrêt du 21 juin 2023, le Conseil d’État, suivant en cela les conclusions de son rapporteur public, relève deux difficultés sérieuses d’interprétation du droit de l’Union européenne qui justifient les questions préjudicielles transmises à la Cour de justice. La première est centrée sur le principe de minimisation des données et les bases juridiques du traitement, à savoir sa nécessité pour l’exécution du contrat et les intérêts légitimes du responsable de traitement. La seconde complète la première sur la prise en considération d’un exercice fructueux du droit d’opposition une fois les données litigieuses collectées pour évaluer la licéité du traitement.
À l’analyse, les deux questions préjudicielles doivent être recentrées. Sont en cause la licéité du traitement et la minimisation des données traitées. Sans prétendre anticiper sur les réponses de la Cour de justice, la question principale est, en l’absence de consentement de la personne concernée, celle de la nécessité de traiter d’une donnée relative à « un aspect essentiel de l’intimité de la personne », son identité de genre6, aux seules fins de communiquer avec elle. Les deux questions se distinguent par l’échelle à laquelle elles se posent : au niveau du traitement pour la première, des données pour la seconde.
Licéité du traitement des données de civilité
Le principe de licéité7 requiert que tout traitement soit fondé sur l’une des bases juridiques limitativement et exhaustivement énumérées par l’article 6 du Règlement général sur la protection des données (RGPD)8. L’approche par les risques, qui préside à l’esprit du RGPD9, justifie que les traitements fondés sur une nécessité ne fassent pas l’objet d’un contrôle a priori par une autorité publique. Lorsque celle-ci dépend d’une mise en balance des intérêts en concours, la conformité à l’article 6 dépend d’une analyse que le responsable de traitement doit simplement documenter10. L’exercice du droit d’opposition permet à la personne concernée de la remettre en cause11 au regard de sa situation particulière12. Dans les deux cas, la formulation des questions préjudicielles ne manquera pas de faire difficulté, moins pour évaluer la nécessité, notion autonome du droit de l’Union13, que pour déterminer l’objet du principe invoqué.
S’agissant de la base juridique, le texte du RGPD détermine que la licéité s’applique au traitement14. Quoique « les données à caractère personnel doivent être traitées de manière licite »15, « le traitement n’est licite que si, et dans la mesure où, une des conditions » listées par l’article 6 est remplie16. L’analyse du Comité européen de la protection des données est également en ce sens17. Elle se justifie par l’atteinte portée par tout traitement au droit fondamental à la protection des données18. C’est la nécessité de cette ingérence dans son principe même qu’il s’agit de considérer. En d’autres termes, la question de la prise en compte des usages couramment admis en matière de communications civiles, commerciales et administratives pour le seul emploi de « Madame » et « Monsieur » n’est pas pertinente. C’est la nécessité du traitement aux fins d’identification du cocontractant, en ce compris la civilité, qui doit être évaluée. Deux bases juridiques sont visées : la nécessité du traitement pour l’exécution du contrat19 et sa nécessité pour la poursuite des fins légitimes du responsable de traitement20. A priori, la première n’est pas discutable puisqu’il s’agit pour le responsable de traitement de pouvoir identifier le cocontractant pour le facturer, émettre un billet nominatif ou fournir un suivi de commandes. La seconde ne devrait pas non plus poser de difficulté. Les finalités poursuivies par la SNCF21 ne manquent pas de légitimité, sous réserve pour les intérêts ou les libertés et droits fondamentaux de la personne concernée de prévaloir sur ces fins22.
S’agissant du droit d’opposition, le juge ne devrait pas avoir à prendre en considération la réponse à donner à son exercice éventuel en considération d’une situation particulière pour statuer sur la licéité du traitement dans son ensemble. Tout d’abord, les termes de l’article 21.1 lui donnent pour objet le seul traitement quand certains autres droits ont spécifiquement pour objet les données : le droit d’accès23, le droit de rectification24, le droit à l’effacement25 et le droit à la portabilité26.
Ensuite, le droit en cause est ouvert à la personne concernée pour lui permettre de contester a posteriori, in casu et in concreto, la nécessité du traitement pour les fins légitimes poursuivies par son responsable. Refuser de tenir compte de son issue au stade de l’examen de la licéité serait préserver l’effet utile du droit d’opposition, en même temps que l’esprit du règlement tenant à l’approche par les risques. À cette occasion, la Cour de justice pourrait nettement distinguer entre une licéité a priori et in abstracto déterminée unilatéralement et documentée par le responsable de traitement et une analyse a posteriori, in casu, in concreto et contradictoire provoquée par l’exercice du droit d’opposition par la personne concernée. Une telle réponse ne manquerait pas de dissiper le trouble suscité par la lettre de l’article 6.1, f, RGPD, qui vise « les intérêts ou les libertés et droits fondamentaux de la personne concernée ». Celle du droit d’opposition souligne l’exception tirée d’une situation particulière.
Affirmer que le principe de licéité n’est pas pertinent lorsque seule se pose la question du traitement de certaines catégories de données n’est pas établir sa conformité au RGPD dans son entier. L’exigence de nécessité est également mise en œuvre au niveau de la donnée par le principe de minimisation.
Minimisation des données traitées
Le principe de minimisation est présenté comme donnant expression tantôt au principe de proportionnalité27, tantôt au principe de nécessité28. L’essentiel demeure. Il s’agit de vérifier que l’ampleur des données, objet du traitement, est nécessaire et proportionnée à l’objectif poursuivi. Ce principe s’impose, quelle que soit la base juridique du traitement. Dans les termes du RGPD, il s’agit de vérifier que les données traitées sont « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées »29.
Au cas d’espèce, les finalités poursuivies sont le traitement des commandes (fourniture des prestations, paiement, suivi après-vente), la gestion du compte client (commande simplifiée, suivi des commandes), la communication (suivi de commande, gestion du compte client, information voyageur, prospection commerciale), l’amélioration du service mobilité, la personnalité de l’offre et des services et la lutte contre la fraude30. De tout cela, et en forme d’aveu, le Conseil d’État n’a lui-même retenu qu’un seul motif sur le fondement duquel la nécessité de traiter les données relatives à la civilité pourrait prendre appui : les usages couramment admis en matière de communications civiles, commerciales et administratives. La formulation laisse à penser qu’il convient de leur donner une certaine densité normative, pour mieux les faire peser dans la balance quand aucun autre fondement n’est raisonnable. Invoquer cet usage comme seul fondement de la nécessité, c’est déjà reconnaître que la civilité n’est pas un élément adéquat et pertinent pour établir l’identité des personnes31 pour les autres finalités poursuivies. C’est le sexe ou le genre qui devraient être renseignés lorsque cet élément de l’identité s’avère adéquat et pertinent pour la finalité du traitement. Pourtant, de façon générale et paradoxale, l’observation empirique des catégories de données collectées montre que la précision sur la civilité est bien plus souvent requise que l’information relative au sexe ou au genre. Quant aux usages auxquels il est fait référence, les responsables de traitement admettent d’ores et déjà, lorsque le sexe du destinataire est inconnu, de recourir à la formule d’appel « Madame ou Monsieur, ». Surtout, et à vouloir intégrer toute personne dans la formule, il suffit d’un « Bonjour, » sans que les usages n’en soient complètement bouleversés. La CNIL, d’ailleurs, dans sa lettre informant de la clôture de la plainte écrivit que « rien n’interdit évidemment, à un responsable de traitement, de ne pas utiliser de civilité »32. Cela ne fait pas obstacle à la personnalisation de la communication. Les noms et prénoms du destinataire sont, à cet égard, un meilleur moyen, car plus approprié.
Bien moins qu’une position de principe d’un opérateur privé, le refus de céder aux demandes de l’association tient certainement à des enjeux pratiques non négligeables. La civilité est systématiquement requise lors de la collecte de données d’identification des personnes33. La CNIL, une fois encore, a souligné « l’impact, le coût et les délais de mise en œuvre de cette modification »34. Il faudrait modifier les nombreux formulaires de collecte mais encore tous les documents émis à partir du traitement. Si l’intérêt économique des responsables de traitement ne peut être ignoré, il ne saurait l’emporter sur le principe de minimisation, parce qu’il met en œuvre le droit fondamental à la protection des données. Qui plus est, il ne s’agit pas d’un choix de société qu’il conviendrait de laisser aux instances nationales lesquelles ont déjà supprimé la nécessité de mentionner « Madame » ou « Monsieur » dans certaines de leurs correspondances35. La civilité n’est pas un élément de l’état des personnes36.
En guise de conclusion, le RGPD ne sera pas le fossoyeur de l’emploi de la civilité. S’il condamne vraisemblablement le traitement de cette donnée lorsqu’il n’est pas consenti, parce qu’à son aune il est futile, il ne s’applique qu’aux traitements de données à caractère personnel. Le RGPD peut être le levier d’une cause, mais il ne demeure qu’un moyen.
1. Sur cette question, v. not., E. Bonifay et S. Sereno, « Le genre à l’épreuve des algorithmes », Revue pratique de la prospective et de l’innovation n° 2, nov. 2022, dossier 14.
2. V. not., sur la question de la mention du sexe neutre à l’état civil, Civ. 1re, 4 mai 2017, n° 16-17.189, D. 2017. 1399, et les obs. 
, note J.-P. Vauthier et F. Vialla ; ibid. 1404, note B. Moron-Puech ; ibid. 2018. 919, obs. RÉGINE ; AJ fam. 2017. 354, obs. J. Houssier ; ibid. 329, obs. A. Dionisi-Peyrusse ; RTD civ. 2017. 607, obs. J. Hauser ; CEDH 31 janv. 2023, n° 76888/17, Y. c/ France (arrêt non définitif, car objet d’une demande de renvoi devant la grande chambre), D. 2023. 239, et les obs. ; ibid. 400, point de vue B. Moron-Puech ; AJ fam. 2023. 168, obs. L. Brunet ; ibid. 70, obs. A. Dionisi-Peyrusse ; AJCT 2023. 376, obs. P. Jacquemoire .
3. Audience cruciale devant le Conseil d’État le 31 mai 2023 à 14 h pour la reconnaissance du sexe neutre, Assomousse.org, 31 mai 2023.
4. RGPD, art. 5.1, a.
5. RGPD, art. 5.1, c.
6. CEDH 31 janv. 2023, préc., § 75.
7. RGPD, art. 5.1, a.
8. CJUE 4 mai 2023, aff. C-60/22, UZ c/ Bundesrepublik Deutschland, pt 56, D. 2023. 951 .
9. V. not., E. Brunet, Règlement général sur la protection des données à caractère personnel - Genèse de la réforme et présentation globale, Dalloz IP/IT 2016. 567 .
10. RGPD, art. 5.2 et 24.
11. O. Tambou, Manuel de droit européen de la protection des données à caractère personnel, Bruylant, 2020, p. 207, n° 236.
12. RGPD, art. 21.1.
13. Comp., en application de la dir. 95/46/CE et pour une solution transposable au RGPD, CJUE, gr. ch., 16 déc. 2008, aff. C-524/06, Heinz Huber, pt 52, AJDA 2009. 245, chron. E. Broussy, F. Donnat et C. Lambert ; RSC 2009. 197, obs. L. Idot .
14. V. en ce sens, T. Douville, Droit des données à caractère personnel, Gualino, 2021, nos 164 et 171 s.
15. RGPD, art. 5.1, a.
16. RGPD, art. 6.1.
17. Lignes directrices 2/2019 sur le traitement des données à caractère personnel au titre de l’art. 6, § 1, pt b), du RGPD dans le cadre de la fourniture de services en ligne aux personnes concernées, Comité européen de la protection des données, 8 oct. 2019, spéc. n° 2 ; rappr., avis 06/2014 sur la notion d’intérêt légitime poursuivi par le responsable du traitement des données au sens de l’art. 7 de la dir. 95/46/CE, Groupe de travail « Article 29 », WP217, 9 avr. 2012, spéc. p. 14.
18. CJUE, gr ch., 8 avr. 2014, Digital Rights ireland, aff. C-293/12 et C-594/12, pt 36, AJDA 2014. 773 ; ibid. 1147, chron. M. Aubert, E. Broussy et H. Cassagnabère ; D. 2014. 1355, et les obs. , note C. Castets-Renard ; ibid. 2317, obs. J. Larrieu, C. Le Stanc et P. Tréfigny ; Légipresse 2014. 265 et les obs. ; RTD eur. 2014. 283, édito. J.-P. Jacqué ; ibid. 283, édito. J.-P. Jacqué ; ibid. 2015. 117, étude S. Peyrou ; ibid. 168, obs. F. Benoît-Rohmer ; ibid. 786, obs. M. Benlolo-Carabot .
19. RGPD, art. 6.1, b.
20. RGPD, art. 6.1, f.
21. « Les informations que Vous communiquez sur le Site permettent à SNCF Connect ainsi qu’à leurs Partenaires, de traiter et d’exécuter les Commandes passées sur le Site, le cas échéant, de gérer le fonctionnement de l’Espace Client, de proposer des offres et services personnalisés, et de lutter contre la fraude. Elles permettent également à SNCF Connect de gérer votre abonnement à leurs lettres d’informations » (art. 17 des conditions générales de vente, accessibles sur sncf-connect.com).
22. RGPD, art. 6.1, f.
23. RGPD, art. 15.
24. RGPD, art. 16.
25. RGPD, art. 17.
26. RGPD, art. 20.
27. CJUE 8 déc. 2022, aff. C-180/21, Inspektor v. Inspektorata kam Visshia sadeben savet, pt 96, D. 2022. 2224 .
28. CJUE 20 oct. 2022, aff. C-77/21, pt 58, D. 2022. 1904 ; RTD com. 2023. 137, obs. T. Douville .
29. RGPD, art. 5.1, c.
30. Art. 17 des conditions générales de vente précitées et charte de confidentialité.
31. À titre de comparaison, en matière pénale, les agents verbalisateurs sont habilités à recueillir « le nom et l’adresse » ou l’identité du contrevenant (C. pr. pén., art. 529-4, I et II). Et pour fiabiliser ces données, ils peuvent obtenir communication auprès des administrations publiques et des organismes de sécurité sociale, sans que le secret professionnel puisse leur être opposé, des renseignements, strictement limités aux nom, prénoms, date et lieu de naissance des contrevenants, ainsi qu’à l’adresse de leur domicile. Ils sont tenus au secret professionnel » (C. transp., art. L. 2241-2-1, al. 1er).
32. Audience cruciale devant le Conseil d’État le 31 mai 2023 à 14 h pour la reconnaissance du sexe neutre, préc.
33. V. par ex., et parmi bien d’autres, annexe de l’arrêté du 16 juin 2023 portant création d’un traitement automatisé de données à caractère personnel relatif à la mise en œuvre de l’accompagnement vers l’emploi des ressortissants de Défense mobilité dénommé « PEG@SE ».
34. Audience cruciale devant le Conseil d’État le 31 mai 2023 à 14 h pour la reconnaissance du sexe neutre, préc.
35. À la suite d’une intervention du Défenseur des droits dans le cadre d’un règlement amiable (règl. amiable ra-2021-024 du 27 mai 2021 relatif à la suppression de la mention relative à la qualité (ou « civilité ») des contribuables par l’administration fiscale), la loi n° 2019 1479 du 28 déc. 2019 de finances pour 2020 a modifié l’art. 6 CGI. Il disposait que l’imposition sur le revenu était établie « au nom de l’époux, précédée de la mention "Monsieur ou Madame" ». Elle est désormais établie « aux [seuls] noms des époux ».
36. Circ. n° 5575/SG du 21 févr. 2012 relative à la suppression des termes « Mademoiselle », « nom de jeune fille », « nom patronymique », « nom d’épouse » et « nom d’époux » des formulaires et correspondances des administrations ; v. égal., parmi d’autres, décis. mld-2015-228 du 6 oct. 2015 relative au cadre juridique applicable aux établissements bancaires concernant l’identification de leurs clients transgenres ; comp., entre autres, classant la civilité parmi les données de l’état civil, Délib. de la formation restreinte n° SAN-2022-009 du 15 avr. 2022 concernant la société Dedalus Biologie, pt 76.
