« Madame/Monsieur » sur la plateforme SNCF Connect, c’est bientôt fini !
Avec sa décision du 9 janvier 2025, la Cour de justice de l’Union européenne a considéré que le traitement des données personnelles relatives à la civilité des clients (« Madame », « Monsieur ») lors de l’achat de billets de train en ligne est contraire au RGPD. Pour la Cour, cette pratique de la SNCF n’est pas indispensable à l’exécution du contrat, car sa seule finalité réside dans la personnalisation de la communication commerciale de l’entreprise.

Par Pierre Michel, Maître de conférences à l’Université Lumière Lyon 2
Dans quel contexte la CJUE s’est-elle prononcée ?
À l’origine de cette décision européenne se trouve l’association Mousse qui avait saisi la CNIL pour s’opposer à la société SNCF qui impose à ses clients d’indiquer leur identité de genre, par l’intermédiaire de la civilité binaire, pour acheter un billet de train. Pour l’association, le fait de contraindre des personnes transgenres, intersexes ou non-binaires à cocher une case « Madame » ou « Monsieur » constitue une violation des principes essentiels du RGPD. En effet, le traitement de cette donnée personnelle est effectué sans le consentement des clients qui n’ont d’autres choix que d’indiquer leur identité de genre, faute de quoi il n’est pas possible d’acquérir le billet de train. En outre, aucune obligation légale n’impose à la SNCF d’effectuer un tel traitement.
Par courrier du 23 mars 2021, la CNIL a écarté les griefs des associations LGBT+ en affirmant, d’une part, que l’exécution du contrat de transport par la SNCF nécessite le traitement de ces données controversées et, d’autre part, que la prise en compte de la civilité correspond à des usages communs en matière de communications civiles, commerciales et administratives. L’association a alors demandé au Conseil d’État d’annuler pour excès de pouvoir la décision de l’autorité de contrôle.
Le Conseil d’État, par une décision du 21 juin 2023, a décidé de surseoir à statuer en renvoyant deux questions préjudicielles à la CJUE. Sans évoquer la seconde question relative au droit d’opposition, la question principale posée par la juridiction administrative était de savoir si le traitement de données à caractère personnel relatives à la civilité des clients dans la seule finalité de personnaliser la communication commerciale en fonction de l’identité de genre est conforme aux principes de licéité et de minimisation des données du RGPD ?
Pourquoi les principes du RGPD n’ont-ils pas été respectés par la SNCF ?
Au préalable, la juridiction européenne rappelle que tout traitement de données à caractère personnel doit être conforme aux principes de l’article 5 du règlement, et en particulier celui de minimisation des données. Ce principe implique que les données personnelles soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (§24). Autrement dit, seules les données essentielles peuvent être traitées.
Puis, la CJUE rappelle que le RGPD contient une liste exhaustive et limitée de situations dans lesquelles le traitement de données personnelles est considéré comme licite, dont notamment le cas où la personne concernée donne son consentement au traitement de ses données. Mais, en l’absence d’un tel consentement, le RGPD prévoit plusieurs possibilités autorisant le traitement de données, dont la nécessité de satisfaire les intérêts légitimes poursuivis par le responsable de traitement, ainsi que la nécessité du traitement pour l’exécution du contrat. En pareille hypothèse, le traitement des données est licite. Qu’en est-il alors des civilités « Madame » et « Monsieur » ?
D’abord, la CJUE se prononce sur la licéité du traitement de données à caractère personnel fondé sur la nécessité d’exécuter le contrat entre les clients et la SNCF. Pour ce faire, il faut que le traitement des données soit « objectivement indispensable » pour exécuter correctement le contrat conclu entre le responsable de traitement et la personne dont les données sont employées (§ 33). Or, la civilité n’est pas collectée et traitée par la SNCF dans la finalité d’exécuter le contrat de transport, mais uniquement pour personnaliser leurs communications commerciales (transmission du titre de transport, informations sur un retard éventuel, services après-vente…). Il n’y a donc aucun caractère indispensable à ce traitement de données.
Ensuite, la CJUE se penche sur la justification du traitement des données au regard de la condition de l’intérêt légitime, à savoir la communication personnalisée de la SNCF. Après avoir rappelé et précisé les trois conditions de l’intérêt légitime (précision, nécessité, respect des droits fondamentaux), le juge européen énonce qu’il appartient au Conseil d’État d’apprécier chacune d’entre elles. La CJUE exprime toutefois ses doutes quant à la licéité de la condition de la poursuite d’un intérêt légitime, car la nécessité du traitement de données reste toujours contestable par rapport à sa finalité de prospection commerciale et qu’un risque de discrimination fondée sur l’identité de genre existe.
Est-ce la fin de « Madame » et « Monsieur » dans les formulaires en ligne ?
Sans anticiper la décision à venir du Conseil d’État, cette jurisprudence de la CJUE souligne la démarche volontariste du juge européen dans sa lecture du RGPD. À l’inverse de la CNIL dont la décision était marquée par une logique conséquentialiste, le juge européen ne s’est pas embarrassé des retombées potentielles de la contrariété du traitement des données relatives à la civilité dans les formulaires en ligne.
Effectivement, le fait d’affirmer que le traitement de données relatives à la civilité binaire n’est pas conforme au principe de licéité et de minimisation des données revient à ordonner en creux la suppression de « Madame/Monsieur » dans l’ensemble des formulaires en ligne de la SNCF, mais aussi et surtout de tous les autres organismes, privés comme publics, de l’Union européenne pour lesquels l’identité de genre ne constitue pas une donnée pertinente. S’adressant directement à la SNCF, la CJUE l’invite d’ailleurs à recourir à des formules de « politesses génériques, inclusives et sans corrélation avec l’identité de genre présumées des clients » (§ 40) dans sa communication commerciale. En effet, nul besoin d’un traitement de données sur la civilité pour rédiger une communication sans considération du genre de la clientèle.
À l’avenir, les mentions genrées de civilité devraient peu à peu disparaître des formulaires numériques des divers organismes publics et privés, à moins que l’identité de genre de la personne concernée ne soit nécessaire à l’exécution du contrat.