La protection des données personnelles est au cœur des préoccupations des régulateurs et des citoyens. Récemment, la SNCF s’est retrouvée sous le feu des projecteurs en raison de sa pratique de collecte systématique de la civilité (Madame, Monsieur, âges etc.) de ses clients via son service en ligne SNCF Connect. Une affaire qui a conduit la Cour de justice de l’Union européenne (CJUE) à trancher sur la conformité de cette pratique au regard du RGPD.
🟠 1 – Un contentieux porté devant la CJUE
Tout est parti d’une plainte déposée par une association de défense des droits numériques auprès de la CNIL. Elle estimait que la collecte systématique de la civilité par SNCF Connect était excessive et contraire au RGPD. La CNIL, dans une première décision, avait pourtant validé cette pratique, considérant qu’elle était justifiée.
Face à cette réponse, l’association a décidé de porter l’affaire devant le Conseil d’État. Ce dernier, confronté à une question d’interprétation du RGPD, a saisi la CJUE afin d’obtenir un éclairage sur la légalité d’une telle collecte de données.
🟠 2 – Une pratique contraire au RGPD
Le 9 janvier 2025, la CJUE a rendu sa décision : la collecte systématique de la civilité des clients par une entreprise de transport, dans le but de personnaliser la communication commerciale, n’est ni indispensable à l’exécution d’un contrat d’achat de billet, ni justifiée par un intérêt légitime du responsable du traitement.
Autrement dit, exiger des clients qu’ils renseignent leur civilité lors d’un achat de billet en ligne n’a pas de fondement juridique valable si cette information n’est pas strictement nécessaire au service rendu.
🟠 3 – Le principe de minimisation des données rappelées à l’ordre
Cette décision s’appuie sur un principe fondamental du RGPD : la minimisation des données. Selon ce principe, une entreprise ne peut collecter que les informations strictement nécessaires aux finalités qu’elle poursuit.
Or, dans le cas de SNCF Connect, la CJUE a estimé que la finalité principale du service – permettre aux usagers d’acheter un billet de train – pouvait parfaitement être atteinte sans avoir à connaître la civilité de ses clients. Le traitement de cette donnée, effectué de manière systématique et généralisée, était donc disproportionné et contraire aux exigences du RGPD.
🟠 4 – Quelles conséquences pour les entreprises ?
Cette décision constitue un signal fort pour l’ensemble des entreprises traitant des données personnelles. Elle leur rappelle l’impératif de respecter les principes fondamentaux du RGPD, en particulier la minimisation des données et la proportionnalité du traitement.
Les entreprises doivent ainsi s’assurer que chaque donnée collectée répond à un besoin réel et légitime. Une collecte de données qui ne repose ni sur une nécessité contractuelle ni sur un intérêt légitime clairement établi risque d’être sanctionnée par les autorités de protection des données.
Enfin, la transparence reste une obligation incontournable : les responsables de traitement doivent informer les utilisateurs de manière claire et complète sur l’utilisation de leurs données. À défaut, ils s’exposent à des sanctions et à une remise en cause de leurs pratiques.
🟠 Conclusion
L’arrêt de la CJUE sur la collecte de la civilité par SNCF Connect illustre l’exigence croissante de conformité au RGPD dans le domaine de la gestion des données personnelles. Pour les entreprises, cette décision impose une vigilance accrue quant aux informations demandées à leurs clients. Une collecte excessive ou injustifiée de données peut non seulement être illégale, mais aussi nuire à leur image et à la confiance de leurs utilisateurs.
Pour en savoir plus / sources :
https://next-law.fr/2025/01/28/minimisation-des-donnees-la-cjue-contre-la-sncf/
https://justice.pappers.fr/decision/c5757d44a23d590e222bfcccafa44e82c3f7ff71
Loi anti-narcotrafic du 13 juin 2025 : une ambition freinée par la censure constitutionnelle. Adoptée dans un contexte d’urgence face à l’essor du narcotrafic en France, la loi du 13 juin 2025 visait à doter les autorités judiciaires et administratives de nouveaux outils pour lutter contre les réseaux criminels(I). Mais, si le texte a été promulgué, il n’a pas échappé au contrôle du Conseil constitutionnel, qui a censuré six de ses dispositions, dont les articles 5 et 15 (II).
L’intelligence artificielle (IA) transforme notre quotidien, mais son développement repose souvent sur l’exploitation de données personnelles. Dans ce contexte, la CNIL a publié, le 19 juin 2025, de nouvelles recommandations pour encadrer l’usage de la base légale de l’« intérêt légitime » pour le développement de systèmes d’intelligence artificielle. Ces recommandations visent à concilier innovation technologique et respect des droits fondamentaux. Ainsi, deux nouvelles fiches pratiques ont été publiées sur l'intelligence artificielle. La première précise les conditions d'usage de la base légale de l'intérêt légitime pour développer un système d'IA (I) et la seconde traite plus spécifiquement de la collecte de données via "moissonnage" ou "web scraping (II)
Le European Accessibility Act (EAA) – ou directive européenne sur l'accessibilité – entre en application le 28 juin 2025. Ce texte vise à renforcer l’égalité d’accès aux biens et services pour les personnes en situation de handicap, en imposant des obligations nouvelles aux entreprises privées. Il s’agit d’un changement profond dans la manière de concevoir et de fournir les produits et services numériques sur le marché européen.
Dans un arrêt du 19 novembre 2024, la Cour d’appel de Rennes a rappelé avec force qu’un prestataire informatique est tenu à une obligation d’information et de conseil renforcée, en particulier lorsqu’il intervient sur un système complexe pour un client non-professionnel du secteur dans lequel le prestataire se dit spécialiste.