Fiche Complète par Pierre Déjean
Affaire C‑ 394/23 09/01/2025
L‘arrêt et les parties :
La demande de décision préjudicielle porte sur l’interprétation de l’article 5, paragraphe 1, sous c), de l’article 6, paragraphe 1, premier alinéa, sous b) et f), ainsi que de l’article 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données Règlement – 2016/679 – FR – rgdp – EUR-Lex
Les parties sont : Mousse (association) requérante contre Commission nationale informatique et liberté (CNIL),
Le droit applicable au litige :
Droit de l’Union :
– Les considérants 1, 4, 10, 47 et 75 du RGPD, ainsi que les articles 1,2,4,5,6,13 et 21 de ce même règlement.
Droit français :
– L’article 8 de la loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés
(JORF du 7 janvier 1978, p. 227)
Résumé des faits et de la procédure :
SNCF Connect commercialise des titres de transport ferroviaire. L’association « Mousse »estime que les conditions de collecte et d’enregistrement ne sont pas conforme au RGPD. Elle a saisi la CNIL.
Devant cet organisme, l’association fait valoir que la collecte des données n’est pas conforme au principe de licéité (article 5§1a) du RGPD), car elle ne repose sur aucun des fondements prévus à l’article 6§1 et méconnait le principe de minimisation des données (article 5§1 c) [Voir ces articles – flèche ci dessous]. Enfin, elle ne respecte pas les obligations de transparence et d’information prévues à l’article 13 du Règlement.
| L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel »,prévoit :« 1. Les données à caractère personnel doivent être : a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ; […] c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; L’article 6 de ce règlement, intitulé « Licéité du traitement », dispose, à son paragraphe 1 : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ; c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ; e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. L’article 13 du règlement, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit : « 1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes : […] c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ; d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ; |
La CNIL a rejeté cette demande. Selon elle, le traitement des données était licite car il était nécessaire à l’exécution du contrat (article 6§1b)). Il était conforme au principe de minimisation des données, dès lors que s’adresser de manière personnalisée aux clients correspondait aux usages de communication commerciales, civiles et administratives.
Mousse à formé un recours contre cette décision devant le Conseil d’Etat, juridiction de renvoi qui pose deux questions préjudicielles.
Les questions préjudicielles reformulées par la Cour :
Première question
20 1 L’article 6§1b) et f) lu en combinaison avec l’article 5§1c) doit il être interprété en ce sens qu’un « traitement de données à caractère personnel relatives à la « civilité » des clients ayant pour finalité la personnalisation de la communication commerciale peut être considéré comme nécessaire à l’exécution du contrat (6§1b) ; ou nécessaire dans le cadre des intérêts légitimes poursuivis par le responsable du traitement » ? 2 .
Le raisonnement de la Cour
22 Tout traitement de données à caractère personnel doit être conforme aux principes énoncés à l’article 5 du RGPD et satisfaire aux conditions de licéité de l’article 6.
23-24 Les données doivent être traitées de manière licite loyale et transparente (5§1a)). Elles doivent être adéquates pertinentes et limitées à ce qui est nécessaire au regard des finalités du traitement. La Cour précise qu’il s’agit du principe de minimalisation des données expression du principe de proportionnalité. (voir, en ce sens, arrêt du 4 octobre 2024, Schrems (Communication de données au grand public), , EUR-Lex – 62021CJ0446 – EN – EUR-Lex points 49 et 50).
25-28 S’agissant de la licéité, l’article 6 prévoit une liste « exhaustive et limitative des cas ». Si la personne n’a pas consenti, le traitement peut cependant être justifié s’il correspond à un des cas prévus aux points b) à f). Ces justification sont interprétés restrictivement. Une seule justification suffit, il n’y pas lieu de déterminer si le traitement relève d’une autre justification. Le traitement doit être nécessaire c’est à dire qu’il ne peut pas être atteint aussi efficacement par des moyens moins « attentatoires aux droit fondamentaux » , en particulier aux droits au respect de la vie privée garantis aux articles 7 et 8 de la Charte des droits fondamentaux.
29 Le responsable doit informer la personne concernée des finalités du traitement et de sa base juridique (13§1c)).
30 La civilité est une donnée à caractère personnel et elle fait l’objet d’un traitement par SNCF Connect donc le RGPD est applicable à ce cas.
31 La Cour souligne deux prémisses : les personnes concernées n’ont pas consenti au traitement ; ce traitement n’est pas nécessaire au respect d’une obligation légale (6§1a) et c)). Donc la question porte sur les justifications prévues au point b) et f).
La Cour examine d’abord le cas de l’article 6§1 b).
32-34 6§1b) : un traitement est licite s’il est nécessaire à l’exécution d’un contrat avec la personne concernée. La Cour précise que ce traitement » doit être objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle« . Le responsable doit démontrer que l’objet principal du contrat ne pourrait être atteint sans ce traitement. Ce traitement ne doit pas être seulement utile. Il convient qu’il n’existât pas de solutions « praticables et moins intrusives ».
35 Lorsque le contrat consiste à fournir plusieurs services, chacun doit être évalué séparément.
36-40 Dans l’affaire, la personnalisation de la communication commerciale dans le respects des usages en la matière est la finalité du traitement de données. La communication commerciale peut être une finalité car la fourniture d’un service de transports implique une communication client. Cette communication peut nécessiter le respect d’usages et formules de politesse. Il n’est cependant pas nécessaire de la personnaliser en fonction du genre, notamment lorsqu’une alternative équivalente peut être trouvée dans la fourniture du service. Cette personnalisation ne paraît ni objectivement indispensable ni essentielle à l’exécution correcte du contrat. Des formules de politesses génériques et inclusives seraient possibles. La SNCF utilise déjà des telles formules. Elles sont sans incidence sur le service de transport.
41-42 SNCF Connect évoque deux autres finalités : l’adaptation des services pour les trains de nuit et l’assistance aux passagers en situation de handicap ; qui peuvent nécessiter le connaître l’identité de genre. Ces finalités ne justifient pas un traitement « systématique et généralisé » des données. Ce traitement serait disproportionné et contraire au principe de minimisation des données. En effet, il peut se limiter aux deux catégories sus-mentionnées.
La réponse de la Cour :
« Le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne paraît ni objectivement indispensable ni essentiel afin de permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat. »
La Cour examine ensuite le cas de l’article 6§1f)
45 Les traitements de données doivent répondre à trois conditions cumulatives : poursuite d’un intérêt légitime par les responsable du traitement ou un tiers ; nécessité du traitement de ces données ; non prévalence des intérêts, libertés et droits fondamentaux de la personne par rapport à l’intérêt légitime.
46-47 Premièrement, le responsable doit indiquer à la personne les intérêts légitimes poursuivis. Selon la Cour, ils ne se limitent pas aux intérêts consacrés par une loi. Sont ainsi légitimes ceux qui résultent de relation de clientèle pertinente et appropriée entre le responsable et la personne concernée.
48-49 Deuxièmement, le traitement doit être nécessaire. La juridiction de renvoi doit vérifier si des moyens moins attentatoires aux libertés ne pourraient pas suffire pour la poursuite de l’intérêt légitime. Cette nécessité doit être conjointement examinée avec le principe de minimisation des données prévu à l’article 5§1c) selon lequel les données personnelles « doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».
50-51 La non prévalence des intérêts, libertés et droits fondamentaux se déduit d’une pondération des droits et intérêts opposés en présence. Pondération effectuée par la juridiction de renvoi en fonction des circonstances. Les intérêts et droits peuvent prévaloir dans des circonstances où les personnes ne « s’attendent pas raisonnablement à un tel traitement ». Ce sera en tout état de cause à la juridiction de renvoi d’apprécier les trois conditions. Cependant, La Cour donne quelques indications susceptible de guider la juridiction de renvoi dans ses appréciations :
52-54 En ce qui concerne la première condition, la Cour ne dispose pas de suffisamment d’informations. SNCF Connect estime que la finalité de prospection commerciale pourrait nécessiter une personnalisation de la communication. Dans ce contexte, la Cour estime que la personnalisation de la publicité peut être assimilé à la prospection commerciale.
55-57 En ce qui concerne la condition de nécessité du traitement, la civilité et/ou l’identité de genre ne paraît pas strictement nécessaire à la lumière du principe de minimisation des données. SNCF Connect et le gouvernement français font valoir qu’il y a lieu de tenir compte des usages et conventions de chaque Etat membre afin de tenir compte de la diversité linguistique et culturelle. La Cour remarque que l’article 6§1f) ne prévoit pas qu’il faille considérer ce facteur. De plus, cet article doit être interprété restrictivement. Enfin, l’absence de traitement de la civilité ou de l’identité ne paraît pas de nature a affecter la diversité évoqués par SNCF Connect et le gouvernement français. Le responsable du traitement peut respecter les usages et conventions tout en employant des formules de politesse génériques, hors identité de genre.
58-59 En ce qui concerne la pondération des droits et intérêts opposés, il convient de tenir compte des attentes raisonnables de la personne concernée et de l’étendue de l’impact sur elle. [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C‑252/21, EU:C:2023:537, point 116]. Selon l’avocat général, le client d’une entreprise de transport n’est pas censé s’attendre à un traitement de civilité et d’identité de genre, ce qui serait le cas, en prospection uniquement commerciale.
60-62 En tout état de cause, l’intérêt légitime ne saurait prévaloir en cas de risque d’atteinte aux droits fondamentaux de la personne : possibilité de dommages physiques matériels ou de préjudice moral notamment dans le cas d’une discrimination. La juridiction de renvoi devra vérifier l’existence de cette discrimination à la lumière de la Directive 2004/113 relative à l’égalité hommes/femmes. La Cour précise que cette Directive trouve à s’applique aux discriminations concernant le changement d’identité de genre.
Réponse de la Cour :
« le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne peut pas être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers, lorsque :
– l’intérêt légitime poursuivi n’a pas été indiqué à ces clients lors de la collecte de ces données ; ou
– ledit traitement n’est pas opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime ; ou
– au regard de l’ensemble des circonstances pertinentes, les libertés et droits fondamentaux desdits clients sont susceptibles de prévaloir sur ledit intérêt légitime, notamment en raison d’un risque de discrimination fondée sur l’identité de genre.«
Deuxième question :
65 Y a t’il lieu de prendre en considération le droit d’opposition de la personne concernée à un traitement de données (article 21 RGPD), afin d’apprécier la nécessité du traitement de données dans le cadre de l’article 6§1f) ?
| « La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. » |
67 L’existence éventuelle d’un droit d’opposition suppose l’existence d’un d’un traitement licite et donc satisfaire préalablement à la condition de nécessité […qui est justement en cause]3.
Réponse de la Cour :
[... « n’y a pas lieu de prendre en considération l’existence éventuelle d’un droit d’opposition de la personne concernée, au titre de l’article 21 de ce règlement.« ]
1 La numérotation reprend celle de la Cour.
2 Les termes entre guillemets sont pour l’essentiel ceux employés par la Cour, la mise en italique par la rédaction permet de souligner leur particulière importance.
3NDLR