Il est illégal de demander l’identité de genre, à la SNCF

La SNCF, comme bien d'autres entreprises, administrations, nous impose la fourniture de beaucoup trop d'informations (comme en Allemagne, où un jugement a interdit la collecte des email et n° de téléphone) par rapport au service proposé. L’association Mousse a saisi le Conseil d’État pour dénoncer la pratique de SNCF Connect "qui oblige systématiquement ses clients à indiquer leur civilité" lors de l’achat de billets sur internet.

Elle vient de gagner ! Victoire d'autant plus importante qu'avant sa réponse le Conseil d'Etat français a interrogé la Cour de Justice de l’Union européenne (CJUE) afin d’obtenir des précisions sur l’interprétation des articles 5, 6 et 21 du RGPD. Et que la décision finale désavoue la CNIL qui avait émis un avis contraire en 2021.

L’association Mousse lutte contre les discriminations sociales, politiques ou économiques à l’encontre des lesbiennes, gays, bi et trans. Elle fournit d'ailleurs sur l'un de ses sites la documentation et les démarches pour agir en justice contre tout acte, propos, ... LGBTphobes.

Elle estime que "cette obligation et le traitement des données personnelles qui en découlait étaient contraires au règlement général de protection des données (RGPD)", rappelle le Conseil d’État dans un communiqué du jeudi 31 juillet.

Minimisation des données collectées (article 5.1 du RGPD)

"Le principe de minimisation prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées."

Pour sa réponse, le Conseil d'Etat s'est basé sur une décision du 9 janvier 2025 de la Cour de Justice de l'Union Européenne (CJUE), laquelle précise qu'une collecte de données n'est licite que "si un traitement de données est nécessaire à l’exécution d’un contrat ou à la satisfaction des intérêts légitimes du responsable du traitement".

Le Conseil d'Etat a donc interrogé la CJUE ("question préjudicielle") sur le point spécifique de la civilité. La réponse est précise et claire : "le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne paraît ni objectivement indispensable ni essentiel afin de permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat".

Par ailleurs, pour la CJUE, "le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne peut pas être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement".

De son côté, le Conseil d'Etat précise que, "si certains services, tels que les compartiments couchettes réservés aux femmes seules, impliquent la prise en compte des données relatives au sexe, cela ne justifie pas que la collecte de la civilité soit obligatoire pour l’ensemble des services proposés par SNCF Connect".

Le Conseil d'Etat conclut que "le recueil de la civilité n’est pas indispensable pour la vente des billets ou le contrôle d’identité durant le voyage. Et la fourniture de services spécifiques en fonction du sexe ne justifie pas que la civilité soit demandée systématiquement".

Une 1e action auprès de la CNIL, négative

En mars 2021, l’association Mousse avait déposé une réclamation auprès de la Commission nationale informatique et libertés (CNIL), laquelle l'avait rejetée. Elle estimait que le traitement de données personnelles contesté était nécessaire à l’exécution du contrat conclu entre la société SNCF Connect et son client, et qu’il était fondé sur l’intérêt légitime du responsable du traitement ou sur la prise en compte du droit d’opposition.

A ce titre, elle avait clôturé la réclamation de l’association. L'arrêt du Conseil d'Etat étant d'un niveau juridique supérieur, la décision de la CNIL du 23 mars 2021 est annulée et la réclamation de l’association doit être réexaminée par la CNIL, bien sûr en prenant en compte l'avis du Conseil d'Etat et de la CJUE. 

Dans les faits, SNCF Connect, dans un communiqué transmis à l’AFP, précise qu'elle avait anticipé cette décision et que, "depuis mai, la civilité n’est plus une donnée collectée par SNCF Connect pour l’achat d’un billet de train en France". Cette société se défausse en mentionnant qu’"en tant que distributeur, SNCF Connect appliquait ce que les opérateurs de transport demandaient."

Par ailleurs, le Conseil d’État condamne l’État à verser 3.000 € à l’association Mousse.