Pourquoi ne faudra-t-il plus demander Madame ou Monsieur à vos clients ? [ABO]

Demain, il se pourrait bien que vous supprimiez les cases Madame et Monsieur de vos sites internet, qu’ils soient liés au tourisme ou non, en France et en Europe.

L'affaire a commencé à une époque où la France toussait à nouveau très fort. Alors qu'il était nécessaire de porter un masque dans les moyens de transport, l'Association Mousse a attaqué en justice SNCF Connect.

Non pas sur le port obligatoire de ce moyen de protection, mais sur un autre sujet.

Il était alors reproché au site internet marchand du transporteur de collecter et d’enregistrer la civilité (Madame ou Monsieur) des clients lors de l'achat de billets de train, de cartes d'abonnement et de réduction.

Cette association, qui agit en justice contre les violences et les discriminations LGBTphobes, affirme que dans le cadre du règlement général de protection des données (RGPD), cette collecte d'informations personnelles n'est pas conforme.

Deux mois plus tard, la Commission nationale de l’informatique et des libertés (CNIL) rend son avis. La CNIL rejette alors cette réclamation, l’estimant infondée.

Sauf que la bataille ne s'arrête pas là et nous la décryptons avec Chloé Rezlan, co-fondatrice du cabinet Adeona Avocats.

La CNIL a alors estimé que la collecte des civilités ne constituait pas une violation du RGPD.

Suite à cela, l'association a formé un recours devant le Conseil d'État pour "excès de pouvoir", afin de faire annuler la décision de la commission. Dans le même temps, l'institution a porté l'affaire au Luxembourg.

Il a transmis deux questions préjudicielles à la Cour de justice de l'Union européenne (CJUE), acceptées par l'instance, selon un article publié sur Dalloz.

L'association Mousse demande donc s'il est justifié de collecter les civilités (Monsieur ou Madame), malgré les usages couramment admis, au regard du principe de minimisation des données (en invoquant l'article 5.1.c du RGPD).

Elle souhaite aussi savoir, dans le cas où un client souhaiterait s’opposer à l’usage de sa civilité (via l’article 21 RGPD), comment SNCF Connect peut justifier sa collecte obligatoire d'information, au moment de l'achat du billet.

Un double questionnement judicieux, puisque le raisonnement est inversé, c'est au tribunal de démontrer l'existence de la nécessité. L'instance européenne a rendu sa décision le 9 janvier dernier.

Pour rappel, le règlement sur la protection des données précise que le traitement des données est considéré comme licite lorsqu’il est nécessaire à la bonne exécution d’un contrat (article 6.b du RGPD).

Sauf que dans le cas présent, "l’identité de genre ne paraît ni objectivement indispensable ni essentielle pour permettre l’exécution correcte d’un contrat et, partant, ne peut pas être considérée comme nécessaire à l’exécution de ce contrat," précise l'arrêt de la Cour.

De plus, SNCF Connect justifiait cette demande de civilité dans le cadre du contrôle des billets et pour l’envoi de publicités ou de messages personnalisés.

À cela, la CJUE s’est également opposée.

"Il apparaît qu’une telle communication ne doit pas nécessairement être personnalisée en fonction de l’identité de genre du client concerné.

S’agissant des services en cause au principal, une personnalisation de la communication commerciale fondée sur une identité de genre présumée en fonction de la civilité ne paraît ni objectivement indispensable ni essentielle pour permettre l’exécution correcte du contrat concerné," précise l'arrêt.

Ce n’est pas tout ce que nous apprenons.

Dans le cadre de la deuxième question préjudicielle posée par l'association, nous découvrons aussi que la Cour donne une nouvelle fois tort au site du transporteur ferroviaire.

Le fait qu’un client puisse bénéficier d’un droit d’opposition à cette collecte après coup ne justifie en aucune manière la collecte initiale obligatoire.

"La collecte obligatoire de la civilité n’est pas nécessaire à l’exécution d’un contrat, ni justifiable par un intérêt légitime, sauf conditions très strictes.

Elle précise également que l’existence d’un droit d’opposition ne saurait rendre légitime un traitement inutile dès le départ," résume Chloé Rezlan.

Ces décisions jurisprudentielles ont été récemment suivies par le Conseil d'État.

La plus haute juridiction française a rendu son avis le 31 juillet 2025 sur le cas exposé, notamment sur l'annulation de la décision de la CNIL. Elle explique en effet que le seul but de personnaliser la relation commerciale entre l'entreprise et le client ne pouvait justifier la demande de civilité.

Elle n’est pas une donnée nécessaire à l’exécution du contrat de transport de voyageurs par une entreprise ferroviaire. De plus, l’absence de cette mention ne rendrait pas plus difficile la vérification de l’identité des passagers une fois dans le train.

"Le Conseil d’État suit la CJUE et juge que la civilité n’est pas objectivement indispensable à la conclusion ou à l’exécution du contrat de transport.

L’article L. 2224-11 du Code des transports exige certes un titre nominatif, mais pas nécessairement une civilité. Le traitement ne remplit donc pas la condition de nécessité requise par l’article 6-1-b du RGPD," explique l’avocate.

De plus, pour la plus haute instance administrative, si les données de civilité permettent à l'entreprise de s’adresser à ses clients "selon les formes habituellement en usage, conformément, sans doute, aux attentes d’une part importante de sa clientèle," ce même résultat pourrait être atteint en demandant de façon facultative de décliner leur civilité.

En somme, le Conseil d'État a annulé la décision de la CNIL, en date du 23 mars 2021.

"Le Conseil d’État renvoie donc la commission à ses obligations, donc de réexaminer la plainte de l’association Mousse, à la lumière du RGPD tel qu’interprété par la CJUE.

Elle devra décider si une injonction ou une sanction administrative doit être prise à l’égard de SNCF Connect.

L’association ne peut pas obtenir directement du juge l’injonction ou l’amende qu’elle demandait. C’est bien à la CNIL qu’il revient d’user de ses pouvoirs correcteurs, en vertu des articles 20 à 23 de la loi « Informatique et Libertés," nous précise Chloé Rezlan.

Par cette décision, l'institution demande non pas à la CNIL de trancher, mais d'appliquer le droit tel que dicté par la CJUE.

Ainsi, SNCF Connect devra recevoir une injonction de se conformer à la récente jurisprudence ou s’exposera à une sanction pour non-respect de la loi. Dans tous les cas, cette bataille judiciaire doit être prise au sérieux par les acteurs du tourisme et au-delà.

"Cette décision de principe met en lumière un décalage entre les usages commerciaux traditionnels et les exigences strictes du RGPD. Les pratiques consistant à imposer une civilité ou toute autre donnée de personnalisation doivent être réévaluées à l’aune des critères de nécessité et de minimisation.

Pour les agences de voyages, tour-opérateurs, hébergeurs ou plateformes, cette jurisprudence impose une remise à plat des formulaires de réservation, de création de compte ou d’édition de documents.

Sauf à pouvoir démontrer une nécessité objective (sécurité, conformité réglementaire, etc.), ces données doivent devenir facultatives.

Cette affaire rappelle que chaque donnée personnelle collectée doit faire l’objet d’un examen rigoureux de sa légalité. Les entreprises du tourisme, souvent engagées dans des démarches de personnalisation et de segmentation, doivent s’assurer que leurs interfaces respectent pleinement les exigences du RGPD," conclut-elle.

Pour rappel, l'association Mousse demandait qu’il ne soit plus obligatoire de renseigner une identité binaire pour effectuer un achat, ainsi que la suppression des champs "Monsieur" ou "Madame", et la suppression de ces informations dans ses bases de données.

Elle réclamait également une amende de 200 000 euros à l’encontre de SNCF Connect.

La CNIL devra désormais se prononcer sur ces demandes. Pour l'heure, la plateforme n'a rien changé à son questionnaire, la question de genre y figure toujours, sans doute dans l'attente de la décision de la commission et donc de l'exécution des jurisprudences de la CJUE.