–

pour Mousse, par Me E. Deshoulières, avocat, Mes Y. El Kaddouri, M. J. Heymans et D. Holemans, advocaten,

–

pour SNCF Connect, par Mes E. Drouard, J.-J. Gatineau et A. Ligot, avocats,

–

pour le gouvernement français, par M. R. Bénard, Mme B. Dourthe et M. B. Fodda, en qualité d’agents,

–

pour la Commission européenne, par MM. A. Bouchagiar et H. Kranenborg, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 5, paragraphe 1, sous c), de l’article 6, paragraphe 1, premier alinéa, sous b) et f), ainsi que de l’article 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’un litige opposant Mousse, une association, à la Commission nationale de l’informatique et des libertés (CNIL) (France) au sujet du rejet, par cette dernière, de la réclamation introduite par Mousse quant au traitement, par la société SNCF Connect, de données relatives à la civilité de ses clients lors de la vente en ligne de titres de transport.

3

Les considérants 1, 4, 10, 47 et 75 du RGPD énoncent :

[…]

[…]

[…]

[…]

4

L’article 1er de ce règlement, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :

« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »

5

Aux termes de l’article 2, paragraphe 1, dudit règlement :

« Le présent règlement s’applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu’au traitement non automatisé de données à caractère personnel contenues ou appelées à figurer dans un fichier. »

6

L’article 4 du même règlement, intitulé « Définitions », dispose :

« Aux fins du présent règlement, on entend par :

[…]

[…]

[…] »

7

L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :

« 1. Les données à caractère personnel doivent être :

[…]

[…] »

8

L’article 6 de ce règlement, intitulé « Licéité du traitement », dispose, à son paragraphe 1 :

« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[…] »

9

L’article 13 dudit règlement, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

[…]

[…] »

10

L’article 21 du même règlement, intitulé « Droit d’opposition », dispose, à son paragraphe 1 :

« La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice. »

11

Aux termes de son article 1er, la directive 2004/113/CE du Conseil, du 13 décembre 2004, mettant en œuvre le principe de l’égalité de traitement entre les femmes et les hommes dans l’accès à des biens et services et la fourniture de biens et services (JO 2004, L 373, p. 37), a pour objet d’établir un cadre pour lutter contre la discrimination fondée sur le sexe dans l’accès à des biens et services et la fourniture de biens et services, en vue de mettre en œuvre, dans les États membres, le principe de l’égalité de traitement entre les hommes et les femmes.

12

L’article 8 de la loi no 78-17, du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés (JORF du 7 janvier 1978, p. 227), dans sa version applicable au litige au principal, dispose :

« I A. La [CNIL] est une autorité administrative indépendante.

I. Elle est l’autorité de contrôle nationale au sens et pour l’application du [RGPD]. Elle exerce les missions suivantes :

[…]

2° Elle veille à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la présente loi et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union […] et les engagements internationaux de la [République française].

À ce titre :

[…]

13

SNCF Connect commercialise des titres de transport ferroviaire tels que des billets de train, des abonnements et des cartes de réduction par l’intermédiaire de son site Internet et d’applications en ligne. Les clients de cette entreprise sont obligatoirement tenus d’indiquer leur civilité, en cochant la mention « Monsieur » ou « Madame », lorsqu’ils achètent ces titres de transport sur ce site Internet ou ces applications en ligne.

14

Estimant que les conditions de collecte et d’enregistrement des données afférentes à la civilité de ces clients n’étaient pas conformes aux exigences du RGPD, Mousse a saisi la CNIL d’une réclamation contre SNCF Connect. À l’appui de cette réclamation, Mousse aurait fait valoir que la collecte de ces données n’était pas conforme au principe de licéité, consacré à l’article 5, paragraphe 1, sous a), du RGPD, dès lors qu’elle ne reposait sur aucun des fondements prévus à l’article 6, paragraphe 1, du RGPD. En outre, une telle collecte aurait méconnu le principe de minimisation des données, visé à l’article 5, paragraphe 1, sous c), du RGPD, ainsi que, notamment, les obligations de transparence et d’information découlant de l’article 13 du RGPD.

15

Par une décision du 23 mars 2021, la CNIL a considéré que les faits reprochés à SNCF Connect ne constituaient pas des manquements aux dispositions visées du RGPD et qu’il y avait lieu de procéder à la clôture de la procédure d’examen de ladite réclamation. À l’appui de cette décision, la CNIL a constaté que le traitement des données en cause au principal était licite, en vertu de l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD, au motif qu’il était nécessaire à l’exécution du contrat de fourniture de services de transport concerné. En outre, la CNIL a relevé que, au regard de ses finalités, ce traitement était conforme au principe de minimisation des données, dès lors que le fait de s’adresser aux clients de manière personnalisée, en utilisant la civilité de ces derniers, correspondrait aux usages admis dans le domaine des communications commerciales, civiles et administratives.

16

Le 21 mai 2021, Mousse a formé un recours en annulation contre cette décision de la CNIL auprès du Conseil d’État (France), qui est la juridiction de renvoi. Dans sa requête, Mousse fait notamment valoir que l’obligation de cocher la mention « Monsieur » ou « Madame » lors d’un achat en ligne ne répond pas au principe de licéité consacré à l’article 5, paragraphe 1, sous a), du RGPD, ni au principe de minimisation des données, visé à l’article 5, paragraphe 1, sous c), de celui-ci, dès lors que cette mention ne serait pas nécessaire à l’exécution d’un contrat de fourniture de services de transport, ni aux fins des intérêts légitimes de SNCF Connect. Le fait que des mentions de cette nature sont utilisées dans la correspondance commerciale ne saurait suffire à rendre une telle obligation nécessaire. Enfin, une telle obligation serait de nature à porter atteinte au droit de voyager sans communiquer sa civilité, au droit au respect de la vie privée ainsi qu’à la liberté de définir librement son expression de genre, et engendrerait un risque de discrimination. S’agissant des ressortissants d’États dont l’état civil admettrait un « genre neutre », cette mention ne correspondrait pas à la réalité et pourrait porter atteinte, notamment, à leur liberté de circulation, garantie par le droit de l’Union.

17

La CNIL conclut au rejet de ce recours, faisant valoir que le traitement des données relatives à la civilité pourrait également se voir qualifié de nécessaire aux fins des intérêts légitimes poursuivis par SNCF Connect, en vertu de l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, et que les personnes concernées pourraient, selon leur situation particulière, faire valoir le droit d’opposition garanti à l’article 21 du RGPD.

18

Dans ce contexte, la juridiction de renvoi s’interroge notamment sur la question de savoir s’il peut être tenu compte, aux fins d’apprécier la nécessité du traitement des données en cause au principal, des usages admis dans les communications commerciales, civiles et administratives, de telle sorte que la collecte des données relatives à la civilité des clients, limitée aux mentions « Monsieur » ou « Madame », pourrait être licite et conforme au principe de minimisation des données. Cette juridiction s’interroge, en outre, sur le point de savoir si, afin d’apprécier la nécessité de cette collecte obligatoire et du traitement subséquent de données relatives à la civilité des clients, et alors que certains de ceux-ci considèrent qu’ils ne relèvent d’aucune des deux civilités, il y a lieu de tenir compte du fait que ces clients pourraient, après avoir fourni ces données au responsable du traitement aux fins de bénéficier du service concerné, exercer leur droit d’opposition à l’utilisation de telles données, pour des raisons tenant à leur situation particulière, au sens de l’article 21 du RGPD.

19

C’est dans ces conditions que le Conseil d’État a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

20

Par sa première question, la juridiction de renvoi cherche à savoir, en substance, si l’article 6, paragraphe 1, premier alinéa, sous b) et f), du RGPD, lu en combinaison avec l’article 5, paragraphe 1, sous c), de ce règlement, doit être interprété en ce sens que le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, peut être considéré comme étant nécessaire à l’exécution d’un contrat, au sens de ce point b), ou nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers, au sens de ce point f).

21

À titre liminaire, il convient de rappeler que l’objectif poursuivi par le RGPD, tel qu’il ressort de l’article 1er ainsi que des considérants 1 et 10 de celui-ci, consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la Charte et à l’article 16, paragraphe 1, TFUE [arrêt du 4 octobre 2024, Schrems (Communication de données au grand public), C-446/21, EU:C:2024:834, point 45 et jurisprudence citée].

22

Conformément à cet objectif, tout traitement de données à caractère personnel doit, notamment, être conforme aux principes relatifs au traitement de telles données énoncés à l’article 5 de ce règlement et satisfaire aux conditions de licéité énumérées à l’article 6 dudit règlement (arrêt du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, point 27 et jurisprudence citée).

23

L’article 5, paragraphe 1, sous a), du RGPD dispose que les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée.

24

Aux termes de l’article 5, paragraphe 1, sous c), de ce règlement, qui consacre le principe de minimisation des données, ces données doivent également être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Ce principe est une expression du principe de proportionnalité [voir, en ce sens, arrêt du 4 octobre 2024, Schrems (Communication de données au grand public), C-446/21, EU:C:2024:834, points 49 et 50 ainsi que jurisprudence citée].

25

S’agissant des conditions de licéité du traitement, ainsi que la Cour l’a jugé, l’article 6, paragraphe 1, premier alinéa, du RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite. Ainsi, pour qu’il puisse être considéré comme étant légitime, un traitement doit relever de l’un des cas prévus à cette disposition (arrêt du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, point 29 et jurisprudence citée).

26

Aux termes de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, le traitement de données à caractère personnel est licite si, et dans la mesure où, la personne concernée y a consenti pour une ou plusieurs finalités spécifiques. En l’absence d’un tel consentement, ou lorsque ce consentement n’a pas été donné de manière libre, spécifique, éclairée et univoque, au sens de l’article 4, point 11, de ce règlement, un tel traitement peut néanmoins être justifié lorsqu’il répond à l’une des exigences de nécessité mentionnées à l’article 6, paragraphe 1, premier alinéa, sous b) à f), dudit règlement [voir, en ce sens, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, points 91 et 92].

27

Dans ce contexte, les justifications prévues à cette dernière disposition, en ce qu’elles permettent de rendre licite un traitement de données à caractère personnel effectué en l’absence du consentement de la personne concernée, doivent faire l’objet d’une interprétation restrictive (arrêt du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, point 31 et jurisprudence citée).

28

En outre, ainsi que la Cour l’a jugé, lorsqu’il est possible de constater qu’un traitement de données à caractère personnel est nécessaire au regard de l’une des justifications prévues à l’article 6, paragraphe 1, premier alinéa, sous b) à f), du RGPD, il n’y a pas lieu de déterminer si ce traitement relève également d’une autre de ces justifications. Il y a lieu de préciser, à cet égard, que l’exigence de nécessité afférente à la justification retenue n’est pas remplie lorsque l’objectif poursuivi par ce traitement de données pourrait raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées, en particulier aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis aux articles 7 et 8 de la Charte, les dérogations et les restrictions au principe de la protection de telles données devant s’opérer dans les limites du strict nécessaire [voir, en ce sens, arrêts du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C-439/19, EU:C:2021:504, point 110 et jurisprudence citée, ainsi que du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 94].

29

Il convient, enfin, de préciser que, conformément à l’article 13, paragraphe 1, sous c), du RGPD, lorsque des données à caractère personnel sont collectées auprès de la personne concernée, il incombe au responsable du traitement d’informer celle-ci des finalités du traitement auquel sont destinées ces données ainsi que de la base juridique de ce traitement (arrêt du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, point 33 et jurisprudence citée).

30

En l’occurrence, il y a lieu d’observer qu’il n’est pas contesté que la civilité, qui correspond à une identité de genre masculine ou féminine, peut être qualifiée de « donnée à caractère personnel » lorsqu’elle se rapporte à une personne identifiée, au sens de l’article 4, point 1, du RGPD, et que cette donnée fait l’objet d’un « traitement », au sens de l’article 4, point 2, du RGPD, dans la mesure où elle est collectée et enregistrée par SNCF Connect dans le contexte de la vente en ligne de titres de transport. Par conséquent, ce traitement, qui revêt, par ailleurs, un caractère automatisé, relève du champ d’application matériel de ce règlement, en vertu de l’article 2, paragraphe 1, de celui-ci.

31

En outre, la question posée par la juridiction de renvoi repose sur deux prémisses, à savoir, d’une part, que le traitement de données en cause au principal est effectué sans le consentement des personnes concernées, au sens de l’article 4, point 11, et de l’article 6, paragraphe 1, premier alinéa, sous a), du RGPD, et, d’autre part, que ce traitement n’est pas nécessaire au respect d’une obligation légale à laquelle le responsable du traitement serait soumis, au sens de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD. La question posée porte donc exclusivement sur la possibilité d’invoquer les justifications visées aux points b) et f) de l’article 6, paragraphe 1, premier alinéa, du RGPD, dans le cadre du traitement de données en cause au principal.

32

L’article 6, paragraphe 1, premier alinéa, sous b), du RGPD dispose qu’un traitement de données à caractère personnel est licite s’il est « nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ».

33

À cet égard, pour qu’un traitement de données à caractère personnel soit regardé comme étant nécessaire à l’exécution d’un contrat, au sens de cette disposition, il doit être objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à la personne concernée. Le responsable de ce traitement doit ainsi être en mesure de démontrer en quoi l’objet principal de ce contrat ne pourrait être atteint en l’absence dudit traitement (arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C-17/22 et C-18/22, EU:C:2024:738, point 43 ainsi que jurisprudence citée).

34

Le fait qu’un tel traitement soit mentionné dans le contrat ou qu’il soit seulement utile à l’exécution de celui-ci est, en soi, dépourvu de pertinence à cet égard. En effet, l’élément déterminant aux fins de l’application de la justification visée à l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD est que le traitement de données à caractère personnel effectué par le responsable du traitement soit essentiel afin de permettre l’exécution correcte du contrat conclu entre celui-ci et la personne concernée et, partant, qu’il n’existe pas d’autres solutions praticables et moins intrusives (arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C-17/22 et C-18/22, EU:C:2024:738, point 44 ainsi que jurisprudence citée).

35

Dans ce contexte, lorsque le contrat consiste en plusieurs services ou en plusieurs éléments distincts d’un même service qui peuvent être exécutés indépendamment les uns des autres, l’applicabilité de l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD doit être évaluée séparément dans le contexte de chacun de ces services [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 100].

36

En l’occurrence, il est constant que l’objet principal du contrat en cause au principal est la fourniture aux clients d’un service de transport ferroviaire. Selon la juridiction de renvoi, le traitement de données en cause au principal a pour finalité la personnalisation de la communication commerciale à l’égard du client, dans le respect d’usages couramment admis en la matière.

37

Ainsi que M. l’avocat général l’a observé, en substance, au point 42 de ses conclusions, la communication commerciale peut constituer une finalité faisant partie intégrante de la prestation contractuelle concernée, dès lors que la fourniture d’un tel service de transport ferroviaire implique, en principe, de communiquer avec le client aux fins, notamment, de lui transmettre un titre de transport par voie électronique, de l’informer d’éventuels changements affectant le voyage correspondant ainsi que de permettre des échanges avec le service après-vente. Cette communication peut nécessiter le respect d’usages et comporter notamment des formules de politesse, aux fins de témoigner du respect de l’entreprise concernée à l’égard de son client et, ce faisant, de sauvegarder l’image de marque de cette entreprise.

38

Cependant, il apparaît qu’une telle communication ne doit pas nécessairement être personnalisée en fonction de l’identité de genre du client concerné. En effet, selon la jurisprudence, la personnalisation de contenus n’apparaît pas nécessaire pour offrir des services à un client lorsque ces services peuvent, le cas échéant, lui être fournis sous la forme d’une alternative équivalente n’impliquant pas une telle personnalisation, de sorte que cette dernière n’est pas objectivement indispensable à une finalité faisant partie intégrante desdits services [voir, en ce sens, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 102].

39

S’agissant des services en cause au principal, une personnalisation de la communication commerciale, fondée sur une identité de genre présumée en fonction de la civilité, ne paraît ni objectivement indispensable ni essentielle afin de permettre l’exécution correcte du contrat concerné, au sens de la jurisprudence rappelée aux points 33 et 34 du présent arrêt.

40

En effet, une solution praticable et moins intrusive semble exister, dès lors que l’entreprise concernée pourrait opter, à l’égard des clients qui ne souhaitent pas indiquer leur civilité ou de manière générale, pour une communication reposant sur des formules de politesse génériques, inclusives et sans corrélation avec l’identité de genre présumée des clients. Du reste, ainsi que M. l’avocat général l’a observé aux points 49 et 50 de ses conclusions, il semble, sous réserve de vérification par la juridiction de renvoi, que SNCF Connect utilise déjà de telles formules et que, en outre, l’indication d’une civilité inexacte serait sans incidence sur la fourniture des services de transport concernés, ce qui tendrait à confirmer que le traitement de données en cause au principal n’est pas objectivement indispensable pour exécuter l’objet principal du contrat.

41

Dans ce contexte, il convient encore de préciser que, lors de l’audience, SNCF Connect a fait valoir que le traitement de données en cause au principal poursuivait une seconde finalité, à savoir l’adaptation des services de transport pour les trains de nuit, comportant des voitures réservées aux personnes ayant une même identité de genre, et pour l’assistance aux passagers en situation de handicap. Selon SNCF Connect, cette finalité d’adaptation des services de transport peut nécessiter de connaître l’identité de genre des clients concernés.

42

Or, cette seconde finalité ne saurait justifier le traitement systématique et généralisé des données relatives à la civilité de l’ensemble des clients de l’entreprise concernée, y compris les clients voyageant de jour ou n’étant pas en situation de handicap. En effet, un tel traitement serait disproportionné et, à ce titre, contraire au principe de minimisation des données, rappelé au point 24 du présent arrêt, dès lors qu’il aurait pu se limiter aux données relatives à l’identité de genre des seuls clients qui souhaitent voyager en train de nuit ou bénéficier d’une assistance personnalisée en raison d’un handicap.

43

Ainsi, l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD, lu en combinaison avec l’article 5, paragraphe 1, sous c), de celui-ci, doit être interprété en ce sens que le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne paraît ni objectivement indispensable ni essentiel afin de permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considéré comme étant nécessaire à l’exécution de ce contrat.

44

L’article 6, paragraphe 1, premier alinéa, sous f), du RGPD prévoit qu’un traitement de données à caractère personnel est licite s’il est « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et les droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ».

45

Selon une jurisprudence constante, cette disposition prévoit trois conditions cumulatives pour que les traitements de données à caractère personnel qu’elle vise soient licites, à savoir, premièrement, la poursuite d’un intérêt légitime par le responsable du traitement ou par un tiers, deuxièmement, la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi et, troisièmement, la condition que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers [arrêts du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 106, ainsi que du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, point 37].

46

S’agissant, premièrement, de la condition relative à la poursuite d’un intérêt légitime, il y a lieu de préciser que, conformément à l’article 13, paragraphe 1, sous d), du RGPD, il incombe au responsable du traitement, au moment où des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, de lui indiquer les intérêts légitimes poursuivis lorsque ce traitement est fondé sur l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement. En l’absence de définition de la notion d’« intérêt légitime » par le RGPD, un large éventail d’intérêts est, en principe, susceptible d’être considéré comme étant légitime. En particulier, cette notion n’est pas limitée aux intérêts consacrés et déterminés par une loi [voir, en ce sens, arrêts du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 107, ainsi que du 4 octobre 2024, Koninklijke Nederlandse Lawn Tennisbond, C-621/22, EU:C:2024:857, points 38, 40 et 41 ainsi que jurisprudence citée].

47

Ainsi, il ressort du considérant 47 du RGPD qu’un tel intérêt légitime pourrait, par exemple, exister dans le cas d’une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement.

48

En ce qui concerne, deuxièmement, la condition relative à la nécessité du traitement des données à caractère personnel pour la réalisation de l’intérêt légitime poursuivi, et eu égard à la jurisprudence rappelée au point 28 du présent arrêt, il incombe à la juridiction de renvoi de vérifier si l’intérêt légitime du traitement des données poursuivi ne peut raisonnablement être atteint de manière aussi efficace par d’autres moyens moins attentatoires aux libertés et aux droits fondamentaux des personnes concernées, un tel traitement devant être opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime.

49

Dans ce contexte, il y a également lieu de rappeler que la condition tenant à la nécessité du traitement doit être examinée conjointement avec le principe de minimisation des données, consacré à l’article 5, paragraphe 1, sous c), du RGPD, selon lequel les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C-17/22 et C-18/22, EU:C:2024:738, point 52 ainsi que jurisprudence citée).

50

Enfin, en ce qui concerne, troisièmement, la condition tenant à ce que les intérêts ou les libertés et les droits fondamentaux de la personne concernée par la protection des données ne prévalent pas sur l’intérêt légitime du responsable du traitement ou d’un tiers, la Cour a jugé que celle-ci implique une pondération des droits et des intérêts opposés en présence qui dépend, en principe, des circonstances concrètes du cas particulier et que, par conséquent, il revenait à la juridiction de renvoi concernée d’effectuer cette pondération en tenant compte de ces circonstances spécifiques. Ainsi qu’il ressort du considérant 47 du RGPD, les intérêts et les droits fondamentaux de la personne concernée peuvent, en particulier, prévaloir sur l’intérêt du responsable du traitement lorsque des données à caractère personnel sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un tel traitement (voir, en ce sens, arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C-17/22 et C-18/22, EU:C:2024:738, points 53 et 54 ainsi que jurisprudence citée).

51

En l’occurrence, s’il appartient, en définitive, à la juridiction de renvoi d’apprécier si, s’agissant du traitement de données à caractère personnel en cause au principal, les trois conditions rappelées au point 45 du présent arrêt sont remplies, il est loisible à la Cour, statuant sur renvoi préjudiciel, d’apporter des précisions visant à guider cette juridiction dans cette détermination (voir, par analogie, arrêt du 12 septembre 2024, HTB Neunte Immobilien Portfolio et Ökorenta Neue Energien Ökostabil IV, C-17/22 et C-18/22, EU:C:2024:738, point 55 ainsi que jurisprudence citée).

52

S’agissant de la première condition, visée au point 46 du présent arrêt, il appartiendra à la juridiction de renvoi de vérifier si un intérêt légitime a été indiqué par SNCF Connect à ses clients, conformément à l’article 13, paragraphe 1, sous d), du RGPD, au stade de la collecte des données en cause au principal. Ainsi que M. l’avocat général l’a relevé au point 58 de ses conclusions, cette disposition impose d’informer directement les personnes concernées de l’intérêt légitime poursuivi au moment de cette collecte, sans quoi ladite collecte ne saurait être justifiée sur le fondement de l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement. Le dossier dont dispose la Cour ne permet pas d’apprécier si cette exigence a été respectée dans le cadre de l’affaire au principal.

53

Dans ce contexte, il convient de préciser que, dans ses observations écrites, SNCF Connect s’est référée à une finalité de prospection commerciale, qui pourrait nécessiter une personnalisation de la communication et, par conséquent, le traitement des données en cause au principal.

54

À cet égard, selon le considérant 47, dernière phrase, du RGPD, le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. En particulier, la personnalisation de la publicité peut être assimilée à la prospection commerciale dans un tel contexte [voir, par analogie, arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 115].

55

S’agissant de la deuxième condition, visée au point 48 du présent arrêt, sous réserve de vérification par la juridiction de renvoi, il semble qu’une personnalisation de la communication commerciale puisse se limiter au traitement des noms et prénoms des clients, leur civilité et/ou leur identité de genre étant une information qui ne paraît pas strictement nécessaire dans ce contexte, notamment à la lumière du principe de minimisation des données.

56

Dans leurs observations écrites respectives, SNCF Connect et le gouvernement français font valoir que, afin d’apprécier la nécessité d’un traitement de données à caractère personnel, il y a lieu de tenir compte des usages et des conventions sociales propres à chaque État membre, en particulier pour préserver la diversité linguistique et culturelle, évoquée au considérant 4 du RGPD. Il convient cependant de relever, d’une part, que l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD ne prévoit pas la prise en compte des usages et des conventions sociales aux fins d’apprécier le caractère nécessaire d’un tel traitement, étant précisé que cet article doit faire l’objet d’une interprétation restrictive, ainsi qu’il est rappelé au point 27 du présent arrêt.

57

D’autre part, l’absence de traitement de données relatives à la civilité ou à l’identité de genre des clients concernés ne paraît pas être de nature à affecter cette diversité. En effet, ainsi qu’il ressort du point 40 du présent arrêt, il est loisible au responsable du traitement de respecter ces usages et conventions sociales en utilisant, à l’égard des clients qui ne souhaitent pas indiquer leur civilité ou de manière générale, des formules de politesse génériques, inclusives et sans corrélation avec l’identité de genre de ces clients, de sorte que l’argumentation développée par SNCF Connect et par le gouvernement français ne saurait, en tout état de cause, prospérer.

58

S’agissant de la troisième condition, visée au point 50 du présent arrêt, et de la pondération des droits et des intérêts opposés en présence, à savoir ceux du responsable du traitement, d’une part, et ceux de la personne concernée, d’autre part, il importe de tenir compte, notamment, des attentes raisonnables de la personne concernée ainsi que de l’étendue du traitement concerné et de l’impact de celui-ci sur cette personne [arrêt du 4 juillet 2023, Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social), C-252/21, EU:C:2023:537, point 116].

59

Ainsi que M. l’avocat général l’a observé, en substance, au point 70 de ses conclusions, sous réserve de vérification par la juridiction de renvoi, le client d’une entreprise de transport n’est pas censé s’attendre à ce que cette entreprise traite des données relatives à sa civilité ou à son identité de genre dans le contexte de l’achat d’un titre de transport. Tel serait le cas, en particulier, si ce traitement était réalisé uniquement à des fins de prospection commerciale.

60

L’intérêt légitime relatif à la prospection commerciale ne saurait, en tout état de cause, prévaloir en cas de risque d’atteinte aux libertés et droits fondamentaux de la personne concernée. En effet, ainsi qu’il ressort du considérant 75 du RGPD, des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter d’un traitement de données à caractère personnel qui est susceptible d’entraîner des dommages physiques, matériels ou un préjudice moral, notamment lorsqu’un tel traitement peut donner lieu à une discrimination.

61

Dans ce contexte, en particulier, il appartiendra à la juridiction de renvoi de vérifier l’existence du risque de discrimination fondée sur l’identité de genre, allégué par Mousse, notamment à la lumière de la directive 2004/113, cette dernière mettant en œuvre le principe de l’égalité de traitement entre hommes et femmes dans l’accès aux biens et services et dans la fourniture de ceux-ci.

62

Il convient de préciser, à cet égard, que le champ d’application de cette directive ne saurait être réduit aux seules discriminations découlant de l’appartenance à l’un ou à l’autre genre. Compte tenu de son objet et de la nature des droits qu’elle vise à protéger, ladite directive a également vocation à s’appliquer aux discriminations qui trouvent leur origine dans le changement d’identité de genre d’une personne (voir, par analogie, arrêt du 27 avril 2006, Richards, C-423/04, EU:C:2006:256, point 24 et jurisprudence citée).

63

Par conséquent, l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, lu en combinaison avec l’article 5, paragraphe 1, sous c), de ce règlement, doit être interprété en ce sens que le traitement de données à caractère personnel relatives à la civilité des clients d’une entreprise de transport, ayant pour finalité une personnalisation de la communication commerciale fondée sur leur identité de genre, ne peut pas être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable de ce traitement ou par un tiers, lorsque :

64

Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la première question que l’article 6, paragraphe 1, premier alinéa, sous b) et f), du RGPD, lu en combinaison avec l’article 5, paragraphe 1, sous c), de ce règlement, doit être interprété en ce sens que :

65

Par sa seconde question, la juridiction de renvoi cherche à savoir, en substance, si l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD doit être interprété en ce sens que, afin d’apprécier la nécessité d’un traitement de données à caractère personnel au titre de cette disposition, il y a lieu de prendre en considération l’existence éventuelle d’un droit d’opposition de la personne concernée, au titre de l’article 21 du RGPD.

66

L’article 21, paragraphe 1, du RGPD dispose que la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur les points e) ou f) de l’article 6, paragraphe 1, premier alinéa, de ce règlement, y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour un tel traitement qui prévalent sur les intérêts ainsi que les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.

67

L’applicabilité de l’article 21 du RGPD et, par conséquent, l’existence éventuelle d’un droit d’opposition supposent l’existence d’un traitement licite, fondé en l’occurrence sur l’article 6, paragraphe 1, premier alinéa, sous f), de ce règlement. Or, afin d’être licite, un tel traitement se doit préalablement de satisfaire à la condition de stricte nécessité, visée au point 48 du présent arrêt.

68

Ainsi que M. l’avocat général l’a observé aux points 80 et 82 de ses conclusions, il résulte donc des termes et de l’économie des dispositions concernées que l’existence d’un droit d’opposition ne saurait être prise en considération aux fins de l’appréciation de la licéité et, en particulier, de la nécessité du traitement de données à caractère personnel en cause au principal.

69

Cette interprétation est confirmée par l’objectif poursuivi par le RGPD, qui est, à la lumière du considérant 10 de celui-ci, d’assurer un niveau élevé de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel. En effet, toute autre interprétation aurait pour effet d’affaiblir les exigences visées à l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD, en étendant les motifs de licéité du traitement concerné, alors même que cette disposition doit recevoir une interprétation restrictive, eu égard à la jurisprudence rappelée au point 27 du présent arrêt.

70

Eu égard à l’ensemble des considérations qui précèdent, il y a lieu de répondre à la seconde question que l’article 6, paragraphe 1, premier alinéa, sous f), du RGPD doit être interprété en ce sens que, afin d’apprécier la nécessité d’un traitement de données à caractère personnel au titre de cette disposition, il n’y a pas lieu de prendre en considération l’existence éventuelle d’un droit d’opposition de la personne concernée, au titre de l’article 21 du RGPD.

71

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (première chambre) dit pour droit :

Lenaerts

von Danwitz

Arastey Sahún

Kumin

Ziemele

Ainsi prononcé en audience publique à Luxembourg, le 9 janvier 2025.

Le greffier

A. Calot Escobar

Le président

K. Lenaerts