La collecte de données relatives à la civilité des clients n’est pas objectivement indispensable, en particulier lorsqu’elle a pour finalité une personnalisation de la communication commerciale (9 janvier)
Arrêt Mousse, aff. C-394/23
Saisie d’un renvoi préjudiciel par le Conseil d’Etat (France), la Cour de justice de l’Union européenne s’est prononcée sur l’interprétation de plusieurs dispositions du règlement (UE) 2016/679 (dit « RGPD »), relatives à la licéité du traitement et au principe de minimisation. En l’espèce, une association a contesté auprès de la Commission nationale de l’informatique et des libertés (« CNIL ») la pratique d’une entreprise ferroviaire française obligeant ses clients à indiquer leur civilité (« Monsieur » ou « Madame ») lors de l’achat de titres de transport en ligne. La juridiction de renvoi interroge la Cour sur le point de savoir si la collecte des données de civilité des clients est conforme au principe de minimisation des données lorsque cette collecte vise à permettre une communication commerciale personnalisée à l’égard de ces clients. La Cour rappelle que, conformément au principe de minimisation des données, les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En outre, elle rappelle que le RGPD prévoit une liste exhaustive et limitative des cas dans lesquels un traitement de données à caractère personnel peut être considéré comme étant licite lorsqu’il est nécessaire à l’exécution du contrat ou lorsqu’il est nécessaire aux fins d’intérêts légitimes. Dans ce contexte, la Cour considère qu’une personnalisation de la communication commerciale fondée sur une identité de genre présumée en fonction de la civilité du client ne paraît pas objectivement indispensable afin de permettre l’exécution correcte d’un contrat de transport ferroviaire. Elle ne saurait par ailleurs être considérée comme poursuivant un intérêt légitime au regard de l’absence d’indication de cet intérêt au client lors de la collecte des données, de l’absence de sa nécessité ainsi que du risque de discrimination fondée sur l’identité de genre que fait courir cette collecte. (PC)
