A l’instar de la décision Mousse du début d’année, certains articles simplifient la dernière décision de la CJUE en matière de RGPD et d’identité de genre. Attention à ne pas rendre un traitement illicite en rectifiant des données sans vérification !
Que concerne la décision du 13 mars 2025 de la CJUE ?
L’affaire oppose une personne physique, d’origine Iranienne, à la Direction générale de la police migratoire de Hongrie.
Accueillie en Hongrie avec le statut de réfugié, en raison de sa transidentité, la personne concernée a demandé à faire modifier son nom et son identité de genre dans le registre d’asile. En effet, l’identité retranscrite lors de son inscription est son identité de genre assignée à la naissance (l’identité de genre correspondant à son sexe à naissance) et non à son identité de genre actuelle (sa transidentité).
Ne disposant pas de procédure spécifique pour faire modifier ces informations (un manquement déjà relevé par la Cour de Justice de l’Union Européenne, la Cour constitutionnelle de Hongrie, et la Cour européenne des droits de l’Homme), cette personne a alors eu recours à l’article 16 du Règlement Général sur la Protection des Données pour réaliser sa demande.
Article 16 – Droit de rectification
La personne concernée a le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification des données à caractère personnel la concernant qui sont inexactes. Compte tenu des finalités du traitement, la personne concernée a le droit d’obtenir que les données à caractère personnel incomplètes soient complétées, y compris en fournissant une déclaration complémentaire.
Sa demande a néamoins été refusée à plusieurs reprises. En effet, alors que la personne concernée fait état d’attestations médicales établies par des spécialistes en psychiatrie et en gynécologie à l’appui de sa demande, les tribunaux et cours hongroises demandent la preuve de la réalisation d’un traitement chirurgical de réassignation sexuelle, qu’elle ne peut pas présenter.
Les questions préjudicielles
Trois questions sont posées à la CJUE, afin d’obtenir des éclaircissements sur la compréhension qui doit être faite de l’article 16 du RGPD :
- l’article 16 permet-il de demander la rectification de données de genre, lorsque ces données ont changé entre le moment de leur inscription et le moment de la demande ?
- l’article 16 impose t-il à la personne demandant la rectification de son genre de fournir des preuves à l’appui de sa demande ?
- l’article 16 impose t-il à la personne demandant la rectification de son identité de genre de prouver la réalisation d’un traitement chirurgical de réassignation sexuelle ?
Pouvons-nous demander la rectification de notre identité de genre dans les documents et bases publics ?
A cette première question, la CJUE répond bien entendu positivement.
Comme elle l’a déjà rappelé dans sa précédente décision Mousse, et comme plusieurs autorités de contrôle européennes ont déjà pu le préciser dans des recommandations, lignes directrices, ou publications, l’identité de genre est bien une donnée à caractère personnel lorsqu’elle se réfère à une personne déjà identifiée, ou qu’elle peut être utilisée pour l’identifier.
Il s’agit d’une donnée pouvant par ailleurs faire l’objet d’un droit de rectification, dès lors qu’elle est retranscrite de façon erronée, ou qu’elle a changé (à ce titre, la majorité des pays membres de l’Union Européenne disposent de procédures administratives visant à modifier l’état civil des personnes pour prendre en compte les changements de sexe, par exemple).
Peut-on nous demander une preuve lors de la demande de rectification ?
A cette deuxième question, la CJUE répond à nouveau positivement : un organisme public (mais aussi privé) peut demander la preuve de la véracité d’une donnée lors d’une demande de rectification.
Le RGPD prévoit en effet en son article 5 que le responsable du traitement doit s’assurer, dans la mesure du possible, de traiter des données exactes. Il peut donc, lorsqu’il soupçonne qu’une donnée puisse ne pas être exacte, demander à la personne faisant la demande de rectification de prouver que la nouvelle donnée dont elle souhaite la prise en compte n’est pas erronée ou fausse.
Article 5 – Principes relatifs au traitement des données à caractère personnel
1. Les données à caractère personnel doivent être : […]
d) exactes et, si nécessaire, tenues à jour ; toutes les mesures raisonnables doivent être prises pour que les données à caractère personnel qui sont inexactes, eu égard aux finalités pour lesquelles elles sont traitées, soient effacées ou rectifiées sans tarder (exactitude) ;
La CJUE confirme par ailleurs que les pays membres de l’UE peuvent prévoir des limitations aux droits des personnes, et notamment au droit de rectification, tant que ces limitations respectent l’essence des libertés et droits fondamentaux des personnes, sont nécessaires et proportionnées (article 23 du RGPD).
Doit-on impérativement prouver une chirurgie de réassignation sexuelle pour modifier son identité de genre ?
C’est à cette troisième question que la réponse de la Cour se fait en deux temps, dont la signification aura échappée à certains, tandis que d’autres la reprennent déjà pour des considérations politiques…
Dans l’affaire qui intéresse la CJUE, celle-ci décide qu’il est disproportioné de demander à la personne concernée une preuve de chirurgie de réassignation sexuelle, pour au moins deux raisons :
- premièrement, ces restrictions très particulières devraient avoir été prévues par la législation hongroise. Hors, si les autorités publiques hongroises ont demandé cette preuve, aucune loi ne pouvait être invoquée en appui de leur demande ;
- deuxièment, et la raison la plus importante, la CJUE fait ici (en son considérant 32) la différence entre l’identité de genre assignée à la naissance, et l’identité de genre choisie ! La preuve d’une chirurgie de réassignation sexuelle porterait en effet sur la modification d’un ou plusieurs éléments biologiques constatés à la naissance, tandis que la personne concernée, elle, profite du statut de réfugié en raison de son identité de genre acquise. La CJUE répond que dans le cadre de la procédure d’asile respectée par la personne concernée, l’identité de genre devant apparaître doit alors être celle liée à sa condition octroyant le droit au statut de réfugié, soit son identité de genre au moment de la procédure, différente de son identité de genre de naissance. En inscrivant dans le registre d’asile l’identité de genre de naissance de la personne concernée, la Direction générale de la police migratoire de Hongrie retranscrivait donc une donnée erronée, dont l’individu peut bel et bien demander la rectification avec les preuves déjà fournies lors de la demande d’asile (comptes-rendus psychiatriques notamment).
Etablissements publics, administrations, et organismes privés : devez-vous modifier à première demande le genre d’une personne ?
Une première question se posera tout d’abord : êtes-vous légitime à traiter cette donnée ? Poursuit-elle un objectif précis, permettant d’atteindre les finalités d’un ou plusieurs de vos traitements de données ? Sont-elles réellement nécessaires ?
Si, suite à ces questions, vous décidez de traiter le genre de la personne, alors différentes hypothèses s’offrent à vous :
- la donnée est facultative : elle n’est pas strictement nécessaire à l’atteinte d’une finalité, et est fournie librement par la personne, avec son consentement ;
- la donnée est strictement nécessaire à l’atteinte d’une ou plusieurs finalités de vos traitements de données : vous vous poserez alors la question de savoir si la donnée qu’il vous est utile est l’identité de genre acquise (une donnée à caractère personnel de nature sensible, représentant une opinion philosophique), ou le sexe de la personne (une information de nature courante, biologique).
Lorsque la donnée n’est pas strictement nécessaire, veillez à modifier la donnée selon la demande de la personne. La donnée n’étant de toute façon pas strictement nécessaire pour le traitement, la vérification de son exactitude auprès de la personne faisant la demande de rectification représenterait un non sens règlementaire et opérationnel (par exemple : récolte de la civilité pour la personnalisation de communications).
Lorsque la donnée est nécessaire, et qu’il s’agit de l’identité de genre acquise, une preuve de l’inadéquation entre l’identité de genre assignée et celle définie par la personne concernée pourra être demandée, lorsque la modification de cette information emporte des conséquences sur le traitement des données, la protection des droits et libertés de la personne concernée ou des tiers (par exemple : procédures administratives courantes – hors état civil).
La CJUE confirme que cette preuve, pour l’identité de genre acquise, ne peut jamais être une preuve de chirurgie.
Enfin, lorsque la donnée nécessaire est l’identité biologique de la personne (le sexe assigné à la naissance, ou actuel), il sera en effet possible de demander à la personne concernée la preuve qu’une chirurgie de réassignation a bien eu lieu (par exemples : état civil, placement en détention).
La CJUE précise à ce titre qu’il doit s’agir d’une vérification prévue par la loi, et non pas provenir d’une simple pratique administrative.
Vous souhaitez vérifier la conformité de vos pratiques au RGPD ? Des conseils sur vos activités de traitement de données ? . Contactez-nous pour en savoir plus sur les obligations tirées du RGPD et leur mise en oeuvre.