Dans un arrêt du 9 janvier 2025, la Cour de justice clarifie les conditions dans lesquelles un titre de civilité révélant l’identité de genre peut être demandé en vertu du Règlement général sur la protection des données (RGPD). Elle établit à cette occasion un lien explicite avec le droit de la non-discrimination.
1. L’affaire concerne la pratique de la société nationale des chemins de fer français (SNCF), qui consiste à demander systématiquement un titre de civilité lors de l’achat de billets en ligne. Les clients sont tenus de cocher « Monsieur » ou « Madame » pour finaliser leur achat. Selon le requérant, cette pratique viole le RGPD.
2. Le RGPD a pour objectif d’assurer un niveau élevé de protection des données à caractère personnel. Conformément à cet objectif, tout traitement de données à caractère personnel doit reposer sur une base juridique prévue par le RGPD. Les données doivent être traitées de manière licite, loyale et transparente à l’égard de la personne concernée. Enfin, le principe de minimisation des données s’applique : le traitement doit se limiter aux données strictement nécessaires aux finalités poursuivies.
3. Le Conseil d’État français a demandé à la Cour de justice si la pratique de la SNCF pouvait se fonder sur l’une des bases juridiques de l’article 6 du RGPD, à savoir la « nécessité pour l’exécution d’un contrat » ou la « nécessité aux fins des intérêts légitimes poursuivis ». Le Conseil avait déjà écarté les fondements de l’« obligation légale » ou du « consentement ».
4. Concernant la première base juridique (nécessité pour l’exécution d’un contrat), la SNCF soutenait avoir besoin du titre de civilité pour sa communication commerciale, les billets étant envoyés par voie électronique.
La Cour de justice rejette cet argument. Selon elle, il existe une solution pratique et moins intrusive : une formule de politesse générique et inclusive qui ne permet pas de déduire l’identité de genre. La SNCF utiliserait d’ailleurs déjà ce type de formules (telles que « Merci, bon voyage » ou « Bonjour »). Il n’est donc pas nécessaire d’imposer la communication du titre de civilité.
5. Concernant la deuxième base juridique (nécessité aux fins des intérêts légitimes), la SNCF faisait valoir que le marketing direct constitue un intérêt légitime, justifiant la collecte du titre de civilité lors de l’achat de billets.
La Cour de justice reconnaît que le marketing direct peut être un intérêt légitime. Elle juge cependant que le titre de civilité n’est pas nécessaire à cette fin, dès lors que la SNCF peut se contenter du prénom et du nom. Elle rappelle à ce sujet le principe de minimisation des données.
La Cour met ensuite en balance les intérêts et droits de la personne concernée. Elle constate que celle-ci ne s’attend pas à ce qu’une entreprise traite des données relatives à son titre de civilité ou à son identité de genre dans le cadre de l’achat d’un billet de transport. En outre, la Cour de justice estime que le Conseil d’État doit examiner s’il existe un risque de discrimination fondée sur l’identité de genre, au sens de la directive genre (Directive 2004/113). Elle insiste en particulier sur les discriminations liées à un changement d’identité de genre.
6. Par cet arrêt, la Cour de justice énonce pour la première fois un ensemble de lignes directrices relatives au traitement de données à caractère personnel en lien avec l’identité de genre et la transition de genre. Elle vérifie rigoureusement si la collecte de telles données est effectivement nécessaire à la finalité invoquée.
Dans le contexte de cette affaire, la Cour juge que la collecte d’un titre de civilité n’est ni nécessaire à l’exécution du contrat, ni à la poursuite d’un intérêt légitime. Il est important de noter que, dans ce cas, l’indication d’un titre de civilité était obligatoire pour acheter un billet en ligne, et se limitait à « Monsieur » ou « Madame ». La Cour ne se prononce donc pas (encore) sur la pratique consistant à demander un titre de manière facultative, ou à proposer davantage d’options à cocher.
Enfin, il est frappant que la Cour traite cette affaire uniquement sur la base de l’article 6 du RGPD, qui couvre les fondements juridiques de l’« exécution d’un contrat » et de l’« intérêt légitime ». Ce faisant, elle indique implicitement que l’identité de genre ne constitue pas une catégorie particulière de données à caractère personnel au sens de l’article 9 du RGPD. Or, l’article 9 est plus strict et n’autorise pas le traitement sur les bases de l’« exécution d’un contrat » ou de l’« intérêt légitime ».
Compte tenu de la définition des catégories particulières de données, nous estimons qu’il est correct que l’identité de genre, en tant que telle, ne relève pas de l’article 9 du RGPD. Toutefois, la Cour de justice attire également l’attention sur le risque de discrimination lié à un changement d’identité de genre. Un tel changement peut être associé à un diagnostic de dysphorie de genre, ce qui pourrait être considéré comme une « donnée relative à la santé », et donc relever d’une catégorie particulière de données. Néanmoins, la Cour reste, pour l’instant, dans le cadre de l’article 6 du RGPD. Cela signifie qu’en théorie, il est possible de traiter des données relatives à (un changement de) l’identité de genre sur la base de l’« exécution d’un contrat » ou d’un « intérêt légitime ».