S'ils consentaient à lire l'arrêt, ils seraient rapidement rassurés. Certes, le Conseil d'État était saisi par une association Mousse qui se présente sur son site comme "les justiciers du LGBPQI+". Mais à y regarder de plus près, l'association est accompagnée d'un avocat qui connaît le droit et qui invoque des arguments juridiques qui pourraient aussi bien être développés par n'importe quelle association d'usagers ou n'importe quel voyageur isolé. Concrètement l'association conteste la décision de la Commission nationale de l'informatique et des libertés (CNIL) qui avait écarté sa réclamation tendant à exiger de SNCF Connect la suppression de l'exigence de civilité. L'autorité indépendante estimait alors que cette exigence n'emportait aucune atteinte au RGPD. C'est donc cette décision de rejet qui a donné lieu à un recours devant le Conseil d'État, et l'association en obtient l'annulation.
La décision du Conseil d'État n'a rien de woke. Elle se borne à faire une stricte application du Règlement général de protection des données (RGPD), comme le lui demandait l'association requérante.
Finalité du fichier et minimisation des données
Le RGPD impose, comme la loi Informatique et Libertés de 1978 avant lui, que seules les données personnelles strictement nécessaires à la finalité du traitement peuvent être recueillies et conservées. Cette règle constitue la mise en oeuvre du principe de finalité qui signifie que les informations recueillies doivent être pertinentes par rapport à la finalité du traitement, et leur utilisation ultérieure compatible avec cette finalité. Si tel n’est pas le cas, un « détournement de finalité » est constitué.
Lorsque le fichier est créé par décret, le Conseil d’État sanctionne donc le détournement de finalité constitué lorsque les données recueillies et conservées vont au-delà de celles qui sont strictement nécessaires à cette finalité. L'article 6 du RGPD évoque désormais un principe de minimisation des données, version un peu modernisée de la stricte nécessité traditionnelle. Quel que soit le terme employé, l'étendue du contrôle est identique. Dans une ordonnance du 6 juillet 2021, le juge des référés constate que les données conservées pour permettre la gestion du passe sanitaire pendant l’épidémie de Covid étaient « limitées à ce qui est nécessaire au regard de la finalité du fichier".
Dans le cas contraire, le détournement de finalité a pour conséquence l’illégalité du fichier. Dans un arrêt d’assemblée du 26 octobre 2011, le Conseil d’État censure ainsi le fichier Titres Électroniques Sécurisés (TES), qui autorisait le stockage d’empreintes digitales supplémentaires, inutiles pour sanctionner une usurpation d’identité, finalité officielle du fichier. Dans une décision QPC du 22 mars 2012, le Conseil constitutionnel sanctionne pour le même motif la loi créant ce même fichier, car ses caractéristiques techniques « permettent son interrogation à d'autres fins que la vérification de l'identité d'une personne", particulièrement "à des fins de police administrative ou judiciaire". Derrière cette formulation, c’est encore le détournement de finalité qui est sanctionné, les données conservées n'étant pas strictement nécessaires à la finalité officielle du fichier. Considéré sous cet angle, le principe de minimisation des données conservées garantit que le traitement ne sera pas utilisé à d'autres fins que celles précisées lors de sa création.
L'arrêt rendu le 31 juillet 2025 n'est donc qu'une application de ce principe, et le Conseil d'État se borne finalement à une constatation de bon sens. Il n'est évidemment pas indispensable de faire savoir si l'on est "Monsieur" ou "Madame" pour acheter un billet de train. Ces informations ne sont pas strictement nécessaires à la finalité du fichier.
Archives de l'INA
La question préjudicielle
Avant de se prononcer, le Conseil d'État a tout de même saisi la Cour de justice de l'Union européenne (CJUE) d'une question préjudicielle, portant sur l'interprétation des articles 5, 6 et 21 du RGPD, c'est-à-dire les dispositions qui affirment les principes de finalité du traitement et de minimisation des données, ainsi que le droit de l'individu de s'opposer à ce que soient recueillies des données personnelles non indispensables.
Dans sa décision du 9 janvier 2025, la CJUE réaffirme le principe de minimisation des données, condition de la licéité d'un traitement de données à caractère personnel. Le RGPD dresse d'ailleurs une liste des cas dans lesquels un traitement est licite. Parmi eux figure celui dans lequel le fichier est indispensable à l'exécution d'un contrat. En l'espèce, il s'agit d'un contrat de transport et, pour se défendre, SNCF Connect invoque les trains de nuit, dans lesquels des compartiments couchettes sont réservés aux femmes seules. Sans doute, mais la CJUE observe que la civilité peut être demandée aux seuls acheteurs de billets dans ces trains, bien peu nombreux si l'on considère l'ensemble du trafic.
La CJUE écarte aussi cette analyse, parce qu'il n'est pas contesté que la civilité demandée a pour première finalité de personnaliser la communication commerciale. Sur ce plan, elle ne peut donc pas être présentée comme une nécessité pour l'exécution du contrat de transport. Elle lui est au contraire totalement extérieure. Dans sa décision du 31 juillet 2025, le Conseil d'État reprend exactement cette analyse et annule la décision de la CNIL. Cette dernière se trouve donc de nouveau saisie de l'affaire, et il lui appartiendra de déterminer si elle doit user de son pouvoir d'injonction et/ou de sanction pour faire cesser cette demande de civilité.
Considérer l'arrêt du 31 juillet 2025 comme un simple exemple de wokisme du Conseil d'État relève ainsi d'un véritable contresens. Si l'on consent à oublier un peu la question de l'exigence de civilité chère aux militants LGBTQ+, on s'aperçoit que le principe de minimisation est un instrument efficace de la protection des données personnelles. Seuls ceux qui n'ont jamais été agacés par les sites qui leurs demandent leur date de naissance pour vendre un ticket de cinéma oseront critiquer cette décision. Les autres se réjouiront d'une jurisprudence bien utile pour lutter contre l'exploitation commerciale de leurs données personnelles.
Le principe de finalité : Manuel de Libertés publiques version E-Book et version papier, chapitre 8, section 5
