Le principe de minimisation des données : un pilier du RGPD
Le Règlement général sur la protection des données (RGPD) impose que les données à caractère personnel soient adéquates, pertinentes et limitées à ce qui est strictement nécessaire aux finalités poursuivies (art. 5 § 1-c). Ce principe, dit de minimisation des données, oblige les responsables de traitement à ne collecter que l’information indispensable.
L’affaire SNCF Connect : quand la civilité devient un problème juridique
L’association LGBT+ Mousse a dénoncé la pratique de SNCF Connect qui, lors de la réservation en ligne de billets, oblige systématiquement les clients à indiquer une civilité (« Madame / Monsieur »). Considérant que cette exigence viole le RGPD, l’association a saisi la CNIL, qui a rejeté sa réclamation en mars 2021. Persistant, Mousse a porté l’affaire devant le Conseil d’État, lequel, par décision du 21 juin 2023, a saisi la CJUE d’une question préjudicielle.
Par son arrêt du 9 janvier 2025 (aff. C-394/23), la CJUE a jugé que la collecte obligatoire des données de genre n’est pas nécessaire à l’exécution d’un contrat de transport. La Cour a souligné que des formules de politesse neutres et inclusives suffiraient pour communiquer avec les clients, et que l’intérêt légitime ne peut justifier un tel traitement que s’il est explicite, strictement nécessaire et proportionné, conditions non réunies ici.
À la lumière de l’arrêt de la CJUE, le Conseil d’État, dans son arrêt du 31 juillet 2025, a reconnu que la CNIL avait commis une erreur de droit, annulé sa décision initiale et condamné l’État à verser 3 000 € à l’association Mousse. Il a affirmé que la collecte systématique de la civilité binaire excédait les limites du strict nécessaire et ne pouvait se fonder sur l’intérêt légitime invoqué par la SNCF.
Vers la disparition des mentions « Madame / Monsieur » ?
Cette jurisprudence ouvre la voie à la suppression progressive des mentions genrées dans les formulaires numériques, aussi bien pour les opérateurs privés que pour les organismes publics de l’Union européenne, lorsque l’identité de genre n’a pas de lien direct avec l’exécution du contrat.
Des exceptions pourraient subsister uniquement dans les cas où la donnée est réellement nécessaire, par exemple pour certaines prestations personnalisées.
À retenir :
- Principe de minimisation (RGPD art. 5 § 1-c) : ne collecter que les données strictement nécessaires.
- CJUE 9 janvier 2025 (C-394/23) : la civilité binaire n’est pas indispensable au contrat de transport et ne peut être justifiée par un intérêt légitime non proportionné.
- SNCF Connect doit rendre la mention de civilité facultative, et d’autres acteurs publics ou privés devront adapter leurs formulaires pour se conformer au RGPD.
