« Data Privacy Day » : L’occasion de revenir sur la décision du 9 janvier 2025 de la CJUE qui rappelle que ‘Madame’ ou ’Monsieur’ n’est pas une donnée nécessaire à la réservation d’un titre de transport.
Le 9 janvier dernier, la CJUE censurait la CNIL et la SNCF qui avaient fait échec à la demande d’une association de supprimer l’exigence pour une personne de décliner sa « civilité » dans les procédures de réservation en ligne de titres de transport.
La SNCF justifiait que ce traitement avait pour finalité, en plus de la fourniture d’un service de transport ferroviaire, la personnalisation de la communication commerciale à l’égard du client. La CNIL avait elle aussi retenu le fait que s’adresser aux clients de manière personnalisée était un usage admis dans le domaine des communications commerciales, civiles et administratives.
Usage ne fait pas nécessité pour la CJUE : l’exigence de minimisation des données prévue à l’article 5, 1 c du RGPD impose que les données collectées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard des finalités de traitement.
La Cour européenne juge ainsi que « la personnalisation de la communication commerciale peut se limiter au traitement des noms et prénoms des clients, leur civilité et/ou leur identité de genre étant une information qui ne paraît pas strictement nécessaire dans ce contexte ». La SNCF peut en effet opter pour l’utilisation de formules de politesse génériques et inclusives dans sa communication sans que cela ait une incidence sur la fourniture de services de transport, objet principal du contrat en cause.
La CJUE fait ici une application logique d’un principe cardinal du RGPD, souvent non respecté : ne doivent être traitées que les données nécessaires à la finalité du traitement.
