Le RGPD, bouclier contre les atteintes aux droits fondamentaux des minorités de genre
CJUE, 9 janvier 2025, Mousse contre Commission nationale de l’informatique et des libertés (CNIL), et SNCF Connect
Mousse, est une association qui agit en justice contre les propos, les violences et les discriminations LGBTphobes. Celle-ci a saisi la Commission nationale de l’informatique et des libertés (CNIL), en estimant que la SNCF ne respectait pas le Règlement général de protection des données (RGPD), qui protège l’utilisation des données à caractère personnel des citoyens européens depuis 2016. Mousse reproche en l’espèce la pratique systématique et généralisée par la compagnie ferroviaire de demander la civilité de ses usagers lorsqu’ils achètent un billet de train sur l'application SNCF Connect. Cette pratique porterait en effet préjudice aux personnes ne s’identifiant pas à la mention de genre indiquée sur leur état civil, ou encore aux normes de genre binaire. La CNIL assure dans sa décision rendue le 23 mars 2021 que cette pratique est bien conforme aux exigences du RGPD dès lors qu’elle correspond: “aux usages admis dans le domaine des communications commerciales, civiles et administratives.”
L’association forme alors un recours en annulation auprès du Conseil d’État, qui décide de surseoir à statuer pour poser deux questions préjudicielles devant la Cour de justice de l’Union européenne (CJUE).
La première interroge le juge européen sur le fait de savoir si cette pratique de la SNCF peut être considérée comme étant limitée à ce qui est strictement nécessaire, dans le respect du principe de minimisation des données, de manière conforme aux articles 5 et 6 du RGPD. La seconde question porte elle sur l’appréciation même de ce caractère nécessaire en considération de la possibilité offerte par l’article 21 du même Règlement, qui permet aux citoyens d’exercer leur droit d’opposition à l’utilisation et à la conservation de cette donnée.
La Cour développe longuement sa réponse sur la première question. À ce titre, elle rappelle que “les données à caractère personnel doivent être traitées de manière licite, loyale et transparente” (Article 5 du RGPD), le caractère licite de ces données étant lui-même strictement défini à son article 6, qui prévoit une liste exhaustive et limitative de ces cas. À partir de cette liste, la Cour va chercher à déterminer si l’usage par la SNCF de la civilité de ses usagers est nécessaire à l’exécution du contrat qui lie les deux parties. En vertu d’une jurisprudence constante, il ne doit pas exister d’autres solutions moins intrusives pour l’exécution de ce contrat, la Cour vient donc apprécier in concreto ce principe en l’appliquant aux faits de l’espèce. Elle constate ainsi que l’indication d’une civilité inexacte serait en réalité sans incidence sur la fourniture des services de transport, dès-lors, cette donnée ne peut être considérée ni comme indispensable, ni comme essentielle à l’exécution correcte dudit contrat. La Cour émet cependant deux réserves, puisqu’elle a observé certaines exceptions, où l’identification de l'identité de genre des usagers se trouvait en effet indispensable à l’exécution du contrat et donc justifiée au regard du RGPD. Parmi ces cas, on retrouve les billets de trains de nuit qui comportent des voitures réservées aux personnes ayant une même identité de genre, ou encore certains passagers en situation de handicap qui nécessitent une assistance. Ces exceptions ne sauraient toutefois justifier selon la Cour le traitement systématique et généralisé de ces données sur l’ensemble des clients de l’entreprise.
Dès lors que la Cour a observé dans un premier temps l’inadéquation de cette pratique avec les objectifs visés au regard du RGPD, elle s'adonne dans un second temps à vérifier si l’atteinte à la protection des données à caractère personnel pourrait se justifier par la poursuite d’un intérêt légitime, nécessaire, qui s’effectue dans le respect des droits fondamentaux des usagers. La Cour répond successivement que, la personnalisation de la publicité semble en effet constituer un intérêt légitime pour l’entreprise; cependant, la civilité est une information qui ne paraît pas strictement nécessaire dans ce contexte, notamment à la lumière du principe de minimisation des données. Enfin, la Cour s’attarde sur l’existence de risques d’atteinte aux droits fondamentaux des usagers, particulièrement au regard du considérant 75 du RGPD, lequel s’attache à protéger les droits et libertés des personnes physiques de telles menaces. À ce titre, elle invoque la directive de 2004 relative au principe de l’égalité de traitement entre les femmes et les hommes dans l’accès et la fourniture de biens et services en spécifiant que celle-ci a également vocation à s’appliquer sans distinction aux discriminations qui trouvent leur origine dans le changement d’identité de genre d’une personne.
Sur la seconde question, la Cour écarte rapidement son intérêt, puisqu’elle rappelle que si les données en question ne font pas l’objet d’un traitement licite au regard de l’article 6 du RGPD, alors l’article 21 du même texte ne trouve lui-même pas à s’appliquer.
Du point de vue de la protection des données personnelles, le RGPD prouve une nouvelle fois son efficacité à assurer la protection de la vie privée des usagers de la SNCF. L’analyse que fait la Cour de celui-ci vient cependant lui donner une portée inédite en matière de protection des droits des minorités de genre. En effet, la CJUE s'interroge ici de façon sous-jacente sur les atteintes qui pourraient être portées aux droits fondamentaux des personnes transgenre et intersexes. Elle aura par ailleurs l’occasion de se positionner plus concrètement en ce sens dans un arrêt « Deldit » rendu très récemment par lequel elle juge que la rectification de données relatives à l’identité de genre ne peut être subordonnée à la preuve d’un traitement chirurgical.
La Cour de justice semble donc aujourd’hui adopter une vision alignée sur les recommandations de l’OMS en matière de protection des droits des personnes trans ainsi que sur la définition du genre retenue par la Convention d’Istanbul. Pour autant, ces questions portées devant les cours nationales sont loin d’être anecdotiques, puisqu'elles s’inscrivent dans un climat politique extrêmement clivant sur le sujet. En témoigne la récente décision de la Cour suprême britannique qui fait reposer la définition légale de la femme uniquement sur son sexe biologique, ou encore les récentes lois “anti-trans” adoptées aux États-Unis sous le mandat de Donald Trump dont la légalité est aujourd’hui contestée devant les tribunaux.
Marine DAHI
M2 DEDH