CNIL doit revoir sa décision sur les civilités SNCF

Traitement de « Monsieur » et « Madame » par la SNCF : La CNIL enjointe à revoir sa copie

Introduction

Le 31 juillet 2025, le Conseil d'État a annulé la décision de la CNIL concernant la plainte déposée par l'association MOUSSE contre la SNCF pour le traitement des civilités « Monsieur » et « Madame ». Cette décision marque une étape importante dans la protection des données personnelles en France.

Contexte de la plainte

L'association MOUSSE a saisi la CNIL d'une plainte contre la SNCF Connect, reprochant à cette dernière de collecter de manière obligatoire les civilités de ses clients sans offrir d'option pour un genre neutre. La SNCF justifiait cette collecte par la nécessité de personnaliser ses communications commerciales, faciliter l'identification des passagers, et organiser certains services comme les compartiments réservés aux femmes seules.

Décision initiale de la CNIL

La CNIL avait rejeté la plainte, estimant que le traitement des civilités était nécessaire à l'exécution du contrat entre la SNCF et ses clients. Cependant, l'association a contesté cette décision devant le Conseil d'État, qui a posé une question préjudicielle à la CJUE.

Intervention de la CJUE

Dans son arrêt du 9 janvier 2025, la CJUE a remis en question la légalité du traitement des civilités par la SNCF, concluant que ce traitement n'était pas toujours nécessaire à l'exécution d'un contrat et que la personnalisation des communications commerciales pouvait être réalisée sans collecte obligatoire de la civilité.

Décision du Conseil d'État

Suite à l'arrêt de la CJUE, le Conseil d'État a statué que le traitement des civilités n'était pas nécessaire pour l'exécution d'un contrat ou pour l'intérêt légitime de personnalisation commerciale. Il a donc annulé la décision de la CNIL et ordonné à cette dernière de réexaminer la plainte.

Quelques pistes pour l'intégration opérationnelle dans votre dispositif :

- Revoir les politiques de collecte de données pour s'assurer qu'elles respectent les bases légales appropriées.

- Offrir des options de genre neutre dans les formulaires de collecte de données.

- Évaluer la nécessité de chaque donnée collectée par rapport aux services fournis.

- Mettre à jour les procédures de conformité pour intégrer les décisions récentes des juridictions européennes.