B015
La Cour de justice de l'Union européenne (CJUE) a récemment tranché une question concernant SNCF Connect, qui obligeait ses clients à choisir une civilité lors de l'achat de billets de transport en ligne. Dans son arrêt du 9 janvier 2025 (C 394/23), la Cour a estimé que la collecte de l'identité de genre pour l'achat en ligne d'un billet de train n'était pas justifiée au regard du Règlement général sur la protection des données (RGPD). De manière plus globale, cet arrêt réitère l'obligation pour les entreprises de veiller à la proportionnalité de la collecte des données à caractère personnel, y compris lorsqu'elle est effectuée via un formulaire de commande qui peut paraître anodin. C'est cet aspect que nos entreprises publiques autonomes doivent pleinement prendre en compte pour mieux répondre aux attentes des usagers. La SNCB a déjà annoncé la suppression des formules d'adresse faisant référence à l'identité de genre dans ses communications avec la clientèle. Elle précise que cette suppression a été mise en oeuvre dans une large mesure et que les ajustements restants suivront dans les prochains mois. 1. Quels sont les ajustements restants et dans quels délais seront-ils finalisés? 2. À la lumière dudit arrêt de la CJUE, des discussions ont-elles été engagées avec la SNCB pour garantir que la collecte des données des usagers soit strictement limitée aux exigences du RGPD? Quels sont les axes de travail à cet égard? Quelles sont les autres obligations qui incombent à la SNCB dans le traitement des informations à caractères personnelles des usagers? Quelles sont les recommandations de l'Autorité belge de protection des données en la matière à l'égard de la SNCB?
B023
1. Je vous transmets un état des lieux concernant la SNCB. Toutes ses équipes sont pleinement mobilisées pour mettre en oeuvre, dans les meilleurs délais, les adaptations nécessaires aux différents systèmes informatiques sous-jacents, afin que la collecte de l'information sur le genre soit supprimée. Ce travail prend du temps par le fait que tous ses systèmes ont été désignés il y a de nombreuses années pour se calquer sur le modèle de la carte d'identité belge, qui ne reconnaît encore aujourd'hui que deux genres. Elle avait en effet utilisé l'e-ID pour garantir l'identité des clients, notamment pour la carte MOBIB qui est partagée avec d'autres opérateurs de transport. Certains sous-systèmes ont déjà été entièrement adaptés, comme p. ex.: - les communications écrites et tous les documents sur papier; - la consultation et l'impression des irrégularités sur les TVM (Ticket Vending Machines dans les gares); - l'attestation fiscale et l'attestation de retard destinées au client; - les réponses automatiques aux formulaires web, les courriels automatiques de relance sur les irrégularités. Les formulaires destinés à la création d'un compte SNCB (sur les sites national et international) ne pourront malheureusement être adaptés qu'ultérieurement, avec une mise à jour prévue d'ici début 2026 au plus tard. Ceci s'explique par la complexité et l'interconnectivité de tous les backends et processus avec les bases de données. La moindre adaptation est extrêmement difficile car les systèmes sont très sensibles à la moindre erreur. Cela pourrait, entre autres, mener à l'impossibilité de vendre des tickets. 2. Dans le cadre du traitement, y compris la collecte, toutes les données demandées sont inventoriées (Évaluation d'impact relative à la protection des données - DPIA - et/ou fiche de traitement) et évaluées par un DPO (ou les juristes spécialisés en protection de la vie privée). Cela peut mener, pour certains processus, à des recommandations supplémentaires concernant le principe de minimisation. Tout comme le projet de neutralité de genre, il s'agit de modifications lourdes (tant techniques qu'organisationnelles) qui nécessitent beaucoup de temps pour être mises en oeuvre concrètement. Pendant ce temps, la jurisprudence (comme évoqué dans la question) peut encore évoluer et modifier les règles du jeu, ce qui complique davantage les choses. Dans la pratique quotidienne, la SNCB respecte les droits RGPD des personnes concernées qui partagent leurs données personnelles avec elle. Ces personnes peuvent exercer leurs droits via les adresses suivantes: privacy@belgiantrain.be, dpo@belgiantrain.be, ainsi qu'auprès de l'Autorité belge de protection des données. Ce n'est qu'une partie de la gouvernance mise en place au sein de la SNCB pour être et rester conforme au RGPD.