Vu la procédure suivante :

Par une décision du 21 juin 2023, le Conseil d’Etat, statuant au contentieux sur la requête de l’association MOUSSE tendant à l’annulation pour excès de pouvoir de la décision du 23 mars 2021 par laquelle la Commission nationale de l’informatique et des libertés a rejeté sa plainte à l’encontre de la société responsable du site OUI.sncf, a sursis à statuer jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions suivantes :

1°) Peut-il être tenu compte, pour apprécier le caractère adéquat, pertinent et limité à ce qui est nécessaire de la collecte de données au sens des dispositions du c) du paragraphe 1 de l’article 5 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit « A », et la nécessité de leur traitement au sens des b) et f) du paragraphe 1 de l’article 6 du A, des usages couramment admis en matière de communications civiles, commerciales et administratives, de sorte que la collecte des données relatives aux civilités des clients, limitée aux mentions « Monsieur » ou « Madame », pourrait être regardée comme nécessaire, sans qu’y fasse obstacle le principe de minimisation des données '

2°) Y a-t-il lieu, pour apprécier la nécessité de la collecte obligatoire et du traitement des données relatives à la civilité des clients, et alors que certains clients estiment qu’ils ne relèvent d’aucune des deux civilités et que le recueil de cette donnée n’est pas pertinent en ce qui les concerne, de tenir compte de ce que ceux-ci pourraient, après avoir fourni cette donnée au responsable de traitement en vue de bénéficier du service proposé, exercer leur droit d’opposition à son utilisation et à sa conservation en faisant valoir leur situation particulière, en application de l’article 21 du A '

Par un arrêt C-394/23 du 9 janvier 2025, la Cour de justice de l’Union européenne s’est prononcée sur ces questions.

Vu les autres pièces du dossier, y compris celles visées par la décision du Conseil d’Etat du 21 juin 2023 ;

Vu :

— la Constitution, notamment son Préambule ;

— la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;

— le traité sur l’Union européenne ;

— le traité sur le fonctionnement de l’Union européenne ;

— la charte des droits fondamentaux de l’Union européenne ;

— le règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

— le code des transports ;

— la loi n° 78-17 du 6 janvier 1978 ;

— l’arrêt C-394/23 du 9 janvier 2025 de la Cour de justice de l’Union européenne ;

— le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Bruno Delsol, conseiller d’Etat,

— les conclusions de M^me Esther de Moustier, rapporteure publique ;

La parole ayant été donnée, après les conclusions, à la SCP Sevaux, Mathonnet, avocat de la CNIL et à la SCP Gatineau, Fattaccini, Rebeyrol, avocat de la société SNCF Connect ;

Considérant ce qui suit :

1. L’association MOUSSE, mandataire de personnes physiques, a saisi la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation à l’encontre de la société SNCF Voyageurs, à laquelle a succédé par la suite la société OUI.sncf et aujourd’hui la société SNCF Connect, au motif que les conditions dans lesquelles était collectée et enregistrée la civilité des clients lors de l’achat de billets de train, de cartes d’abonnement et de réduction sur le site internet ou les applications de la société méconnaissaient certaines dispositions du règlement (UE) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE, dit « A ». Par un courrier du 23 mars 2021, la CNIL a fait savoir à l’association qu’elle estimait que les faits reprochés à la société ne constituaient pas des manquements aux dispositions invoquées du A et que, par conséquent, elle procédait à la clôture de la réclamation. L’association MOUSSE demande l’annulation de cette décision et présente également des conclusions aux fins d’injonction et d’amende administrative, à l’encontre de la société SNCF Connect.

2. Aux termes de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « I.- La Commission nationale de l’informatique et des libertés est une autorité administrative indépendante. Elle est l’autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du 27 avril 2016. Elle exerce les missions suivantes :/ () 2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. A ce titre :/ () d) Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée ou par un organisme, une organisation ou une association, examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire () ».

3. Il résulte des dispositions mentionnées au point 2 qu’il appartient à la Commission nationale de l’informatique et des libertés (CNIL) de procéder, lorsqu’elle est saisie d’une plainte ou d’une réclamation tendant à la mise en œuvre de ses pouvoirs, à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner. Elle dispose, à cet effet, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués au regard de la législation ou de la réglementation qu’elle est chargée de faire appliquer, du sérieux des indices relatifs à ces faits, de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été et, plus généralement, de l’ensemble des intérêts généraux dont elle a la charge. L’auteur d’une plainte peut déférer au juge de l’excès de pouvoir le refus de la CNIL d’y donner suite. Il appartient au juge de censurer celui-ci, le cas échéant, pour un motif d’illégalité externe et, au titre du bien-fondé de la décision, en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Toutefois, lorsque l’auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l’égard des données à caractère personnel la concernant, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, le pouvoir d’appréciation de la CNIL pour décider des suites à y donner s’exerce, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir.

4. Il ressort des pièces du dossier que l’association MOUSSE demande l’annulation pour excès de pouvoir de la décision du 23 mars 2021 par laquelle la présidente de la CNIL a clôturé sa plainte relative aux conditions de collecte et de traitement de la civilité de ses clients par la société OUI.sncf, devenue SNCF Connect.

5. Aux termes de l’article 5 du A : " 1. Les données à caractère personnel doivent être: a) traitées de manière licite, loyale et transparente au regard de la personne concernée () ; c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ; d) exactes et, si nécessaire, tenues à jour; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder « . Aux termes de son article 6 : » 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ; c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ; e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant./ Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions. " L’article 13 du A impose une obligation d’information de toute personne dont des données à caractère personnel sont collectées, à la charge du responsable du traitement. Enfin, son article 21 ouvre à la personne concernée le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’article 6, paragraphe 1, point f).

6. Dans le cadre de la réclamation qu’elle a adressée à la CNIL, l’association MOUSSE faisait valoir que, pour acheter en ligne un billet de train, un abonnement ou une carte de réduction sur le site internet ou l’application « OUI.sncf », désormais SNCF Connect, les clients devaient indiquer obligatoirement leur civilité, en ayant le choix entre seulement deux mentions, « Monsieur » ou « Madame ». Selon elle, un tel traitement de données n’est pas licite, au sens du a) du paragraphe 1 de l’article 5 du A, car il ne repose sur aucun des fondements prévus par le paragraphe 1 de l’article 6, il méconnaît les principes de minimisation de la collecte des données et d’exactitude également prévus par les c) et d) du paragraphe 1 l’article 5 et, enfin, la SNCF ne respecte pas les exigences en termes de transparence et d’information qu’impliquent le a) du paragraphe 1 de l’article 5 et l’article 13. Elle soutenait que l’entreprise ne devrait pas recueillir de telles données ou devrait, à tout le moins, proposer une ou plusieurs possibilités supplémentaires, telles que « neutre » ou « autres ».

7. Les dispositions du A, combinées avec le droit à la protection de la vie privée, ne font pas, par elles-mêmes, obstacle à ce que soit traitée une donnée relative à la civilité d’une personne, à la condition, toutefois, que le traitement satisfasse à l’une des conditions de licéité mentionnées au paragraphe 1 de l’article 6 du A et aux principes de nécessité et de minimisation qui découlent de l’article 5. Pour décider de procéder à la clôture de la réclamation dont elle était saisie, la CNIL, d’une part, a relevé que, dans le cadre de la fourniture de prestations de services de transport par la société, le contrat conclu avec son client constituait la base légale du traitement. Ainsi, parmi les différentes bases légales prévues par le paragraphe 1 de l’article 6 du A, elle a estimé que le traitement litigieux relevait de celle prévue au b), selon lequel un traitement est licite s’il est « nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ». D’autre part, elle a estimé que la collecte de la civilité des clients pouvait être regardée comme nécessaire au regard des finalités du traitement, au sens du c) de l’article 5, et donc comme satisfaisant à l’exigence de minimisation des données, dès lors que s’adresser à des clients en utilisant leur civilité correspond aux usages en matière de communications civiles, commerciales et administratives. En défense, elle soutient notamment que le traitement de la civilité pourrait en outre être regardé comme nécessaire aux fins des intérêts légitimes poursuivis par la société SNCF Connect au sens du f) du 1 de l’article 6 et que les personnes concernées pourraient, en fonction de leur situation particulière, faire valoir le droit d’opposition qui leur est garanti par l’article 21.

Sur la base légale prévue au b) du 1 de l’article 6 du A, relative à l’exécution d’un contrat :

8. En premier lieu, par l’arrêt C-394/23 du 9 janvier 2025 se prononçant sur les questions dont le Conseil d’Etat statuant au contentieux l’a saisie à titre préjudiciel dans le présent litige, la Cour de justice de l’Union européenne a dit pour droit que le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne paraît ni objectivement indispensable ni essentiel afin de permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat.

9. En deuxième lieu, aux termes de l’article L. 2224-11 du code des transports, « Les entreprises de transports routiers, ferroviaires ou guidés peuvent subordonner le voyage de leurs passagers à la détention d’un titre de transport nominatif. Dans ce cadre, le passager est tenu, lorsque l’entreprise de transport le lui demande, de présenter un document attestant son identité afin que soit vérifiée la concordance entre celle-ci et l’identité mentionnée sur son titre de transport ». Toutefois, il ne ressort pas des pièces du dossier que l’absence de la mention de la civilité « Monsieur » ou « Madame » sur le titre de transport serait de nature à rendre plus difficile l’identification du passager.

10. En troisième lieu, si la société SNCF Connect fait valoir que le traitement de données relatives au sexe de la personne peut être regardé comme indispensable à des services tels que la réservation dans des trains de nuit proposant des services de couchette dans des compartiments réservés aux femmes seules, une telle circonstance, ainsi que la Cour de justice de l’Union européenne l’a relevé dans son arrêt déjà mentionné, ne justifiait pas que la mention de la civilité fût exigée pour l’ensemble des prestations en cause dans le présent litige.

Sur la base légale prévue au f) du 1 de l’article 6 du A, relative aux intérêts légitimes du responsable de traitement :

11. Par son arrêt du 9 janvier 2025 déjà mentionné, la Cour de justice de l’Union européenne a dit pour droit que le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne peut pas être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers, lorsque l’intérêt légitime poursuivi n’a pas été indiqué à ces clients lors de la collecte de ces données, ou que le traitement n’est pas opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime, ou qu’au regard de l’ensemble des circonstances pertinentes, les libertés et droits fondamentaux des clients sont susceptibles de prévaloir sur l’intérêt légitime poursuivi, notamment en raison d’un risque de discrimination fondée sur l’identité de genre.

12. S’il est vrai que le traitement des données « Monsieur » ou « Madame » met l’entreprise en mesure de s’adresser à la personne selon les formes habituellement en usage, conformément, sans doute, aux attentes d’une part importante de sa clientèle, un tel résultat aurait pu être également atteint, sans méconnaître les exigences fixées par le A et rappelées au point 5, en proposant aux clients d’indiquer leur civilité de façon facultative et non obligatoire. Pour les raisons exposées au point 9, le traitement en litige ne pouvait pas davantage être justifié, en l’espèce, par l’intérêt qui s’attache à l’identification des passagers. Pour les raisons exposées au point 10, l’intérêt qui s’attache à l’exécution de certains services particuliers proposés par SNCF Connect ne pouvait justifier l’ensemble du traitement contesté. Par suite, ce traitement ne pouvait être regardé comme restant dans les limites du strict nécessaire pour la réalisation d’un intérêt légitime, sans qu’il soit besoin de se prononcer sur les deux autres conditions qui découlent du f) du 1 de l’article 6.

Sur la prise en compte du droit d’opposition :

13. Par son arrêt du 9 janvier 2025 déjà mentionné, la Cour de justice de l’Union européenne a dit pour droit que le f) du 1 de l’article 6 du A doit être interprété en ce sens que, afin d’apprécier la nécessité d’un traitement de données à caractère personnel au titre de cette disposition, il n’y a pas lieu de prendre en considération l’existence éventuelle d’un droit d’opposition de la personne concernée, au titre de l’article 21 de ce règlement.

14. Il résulte de tout ce qui précède que la CNIL ne pouvait légalement clôturer la plainte de l’association MOUSSE au motif que la collecte obligatoire des civilités « Monsieur » ou « Madame », telle qu’elle était imposée à la date de sa décision, était nécessaire à l’exécution du contrat conclu entre la société SNCF Connect et son client, au sens et pour l’application du paragraphe 1, b), de l’article 6 du A, et que sa décision ne pouvait pas davantage être fondée sur l’intérêt légitime du responsable du traitement prévu au f) du même 1 ni sur la prise en compte du droit d’opposition garanti par l’article 21.

15. Par suite, sans qu’il soit besoin d’examiner les autres moyens de la requête, l’association MOUSSE est fondée à soutenir que la décision par laquelle la CNIL a clôturé la plainte qu’elle avait déposée au nom de personnes physiques doit être annulée. Il appartient à la CNIL, ressaisie de la plainte par l’effet de la présente annulation, d’apprécier si et dans quelle mesure elle doit faire usage des pouvoirs qui lui sont attribués par les articles 20 à 23, relatifs aux mesures correctrices et aux sanctions, de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui lui permettent notamment de délivrer une injonction à un responsable de traitement ou son sous-traitant, ou de lui infliger une amende. Il s’ensuit que les conclusions présentées par l’association requérante aux fins d’injonction et d’amende à l’encontre de la société SNCF Connect ne peuvent qu’être rejetées. Enfin, il y a lieu, dans les circonstances de l’espèce, de mettre une somme de 3 000 euros à la charge de l’Etat, en application de l’article L. 761-1 du code de justice administrative.

D E C I D E :

— -------------

Article 1er : La décision du 23 mars 2021 par laquelle la Commission nationale de l’informatique et des libertés a clôturé la plainte de l’association MOUSSE est annulée.

Article 2 : L’Etat versera une somme de 3 000 euros à l’association MOUSSE en application de l’article L. 761-1 du code de justice administrative.

Article 3 : Le surplus des conclusions de la requête est rejeté.

Article 4 : La présente décision sera notifiée à l’association MOUSSE, à la Commission nationale de l’informatique et des libertés et à la société SNCF Connect.

Délibéré à l’issue de la séance du 2 juillet 2025 où siégeaient : M. Christophe Chantepy, président de la section du contentieux, présidant ; M. Bertrand Dacosta, M^me Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M^me Rozen Noguellou, M. Nicolas Polge, M. Vincent Daumas, M. Jérôme Goldenberg, conseillers d’Etat et M. Bruno Delsol, conseiller d’Etat-rapporteur.

Rendu le 31 juillet 2025.

Le président :

Signé : M. Christophe Chantepy

Le rapporteur :

Signé : M. Bruno Delsol

La secrétaire :

Signé : M^me Magali Méaulle