Le 15 septembre 2022, le Tribunal judiciaire de Chambéry, a condamné Google à supprimer les données d’une fiche professionnelle de Google concernant une dentiste, pour violation du droit des données à caractère personnel et à l’indemniser de ses préjudices subis. (Tribunal judiciaire de Chambéry, 15 septembre 2022, n° 19/01427)
En l’espèce, une dentiste a découvert qu’en tapant son nom dans le moteur de recherche Google qu’une fiche « google my business » la concernant, faisait apparaître son nom patronymique, son domicile outre une notation et des avis liés à son activité professionnelle.
Par courrier elle a vainement mis en demeure GOOGLE LLC et GOOGLE FRANCE de supprimer sa fiche « Google my business », en ce compris toutes les informations, avis et fonctions contenues dans cette dernière.
Le juge des référés du tribunal de grande instance de Paris a jugé qu’il n’était pas évident que la fiche « Google my business » ait une finalité commerciale et a refusé de faire droit aux demandes de suppression de la dentiste.
Elle a fait assigner GOOGLE devant le tribunal de grande instance de Chambéry au fond au visa notamment de la Charte des droits fondamentaux de l’Union européenne, de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés, du Règlement européen n° 2016/679 du 27 avril 2016 sur la protection des données personnelles, de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés, du Code de la consommation.
En effet, une fiche « GOOGLE MY BUSINESS » de Mme Z X constitue un traitement automatisé de données personnelles ayant pour finalité sa prospection commerciale, au moyen de son profilage.
A cet égard, Google est légalement tenu au respect d’une obligation de collecte loyale et licite des données et à une transparence sur le traitement des données, en raison du caractère particulièrement obscur du traitement quant à son objet, sa finalité, et l’identité des personnes responsables.
Le tribunal judiciaire a rendu une décision extraordinairement bien motivée dont votre serviteur ne pouvait pas se faire l’écho au travers du présent article.
En effet, le tribunal a tout d’abord rappelé en préambule que le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit Règlement Général sur la Protection des Données relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD) est applicable aux faits de l’espèce.
Les données à caractère personnel se définissent selon le RGPD comme « toute information relative à une personne physique identifiée ou identifiable. Toute donnée directement ou indirectement identifiante est une donnée à caractère personnel, peu important son caractère confidentiel ou public et son caractère privé ou professionnel. »
Ainsi, la cour de justice de L’Union européenne a jugé que la circonstance que ces informations s’inscrivent dans le contexte d’une activité professionnelle n’est pas de nature à leur ôter la qualification de données à caractère personnel » (CJUE 9 mars 2017 C-398/15 MANNI).
Le traitement se définit quant à lui comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »
Le service « Google my business » (ci-après GMB) permet aux entreprises et professionnels, d’apparaître dans la liste des résultats du moteur de recherche de Google ou dans un encadré situé sur le côté de la page web, (Fiche d’établissement professionnel) en affichant une fiche d’identité du professionnel recherché (nom, adresse, téléphone, horaire d’ouvertures site web etc).
En outre, les internautes ont la possibilité de donner librement leur opinion ou d’apporter un témoignage sur le professionnel concerné au travers d’avis, matérialisés par une notation grâce à des étoiles et des commentaires.
Ces avis sont diffusés dans un espace contributif spécialement réservé à cet effet, accessible à tous les internautes, qui est situé en dessous de chaque fiche d’établissement professionnel.
Au vu de ces éléments, le tribunal a considéré qu’« il n’est pas contestable que le traitement des données de Madame Z, même à titre professionnel constitue un traitement de données personnelles. Dès lors, le régime légal réservé aux données à caractère personnel s’applique aux informations délivrées au public, sur la fiche GMB, à propos de l’activité de Madame Z ».
Cependant, la formule désormais classique à l’aune de laquelle toute activité prétendue philanthropique de GOOGLE et des autres géants du web doit être examinée : « Si vous ne payez pas un service sur le Net, c’est que vous n’êtes pas consommateur, vous êtes le produit vendu », s’applique au cas d’espèce.
Comme l’a souligné la dentiste, l’intérêt réel pour Google est que le professionnel éprouve les plus grandes difficultés pour se faire déréférencer.
Il lui est de ce fait également difficile de combattre les éventuels avis négatifs accolés à sa fiche, alors même que la création d’un compte google et d’un pseudo permettent d’anonymiser totalement celui qui laisse un avis.
Dans ce contexte le tribunal a constaté qu’« Il est alors impossible pour le professionnel, surtout s’il est soumis au secret médical, de s’assurer de la réalité de l’avis, d’identifier le patient concerné et enfin de lui répondre pour tenter d’améliorer sa note ».
En outre le tribunal a pris en compte que :« Pour répondre aux avis, le professionnel concerné doit déjà créer un compte google, pour ce faire, il lui est proposé de remplir l’adresse email de son choix ou de créer une adresse gmail à la place et ce faisant, de recevoir des publicités. Le professionnel est également démarché en ce que lui est offerte la possibilité de recourir aux services payants proposés par GOOGLE, sous le nom de GOOGLE ADS, services qui permettent à des annonceurs moyennant une contrepartie financière, de diffuser des publicités et d’être bien référencé sur le moteur de recherche GOOGLE ».
Le tribunal n’a pas été dupé par Google en relevant que : « si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés GOOGLE d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants. C’est dès lors de parfaite mauvaise foi que les défenderesses prétendent que le traitement réalisé dans le cadre de la publication de la fiche entreprise est décorellé des actes de prospection commerciale auxquels elles se livrent ».
Le tribunal ne dit pas que la prospection commerciale effectuée par la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED n’est pas licite, il dit qu’elle est cachée et fortement recommandée aux professionnels qui n’ont pas d’autre choix que de subir les avis.
Par conséquent, il a été jugé que « ce traitement de données a une finalité commerciale cachée ».
De la même manière, le tribunal a très justement analysé l’importance des avis publiés sur internet : « les avis laissés par les internautes ont nécessairement des conséquences pour la future clientèle d’un professionnel. Soit ils sont élogieux et la confiance génère un afflux de clients/patients, soit ils sont désastreux et le professionnel aura plus de mal à vivre de sa profession. Il n’y a qu’à voir les propositions florissant sur internet pour analyser et améliorer les avis Google afin d’attirer une nouvelle clientèle ou patientèle.
Le tribunal a même été jusqu’à poser un diagnostic psychologique sur les auteurs d’avis en ligne : « Si le principe de l’avis même n’est pas contestable au nom du droit à l’information et de la liberté d’expression, il est aussi particulièrement connu que l’internaute anonyme derrière son écran a une fâcheuse tendance à oublier tout sens de la modération, voire tout sens commun ».
De la même manière, le prétendu devoir d’information qu’invoquait Google a retenu l’attention du tribunal.
En effet, Google prétendait que les fiches d’information poursuivaient des fins journalistiques.
Or, selon le tribunal « pour que le droit à l’information ne contrevienne pas aux droits de la personne qui en est l’objet, il faut à minima que la source d’information soit fiable dans le sens où il doit être possible de vérifier que l’information qu’elle donne est le fruit de son expérience. Il faut également que la source d’information soit identifiable ».
Cependant, GOOGLE n’a jamais cru devoir mettre en place les mesures permettant d’identifier si besoin la source de l’information et de vérifier sa fiabilité.
A cet égard, le tribunal a encore une fois très justement relevé qu’il « suffit en effet pour déposer un avis de créer un compte gmail puis un compte Y avec des informations dont la réalité n’est absolument pas vérifiable ni vérifiée d’ailleurs, pour avoir le droit de participer à la réputation d’un professionnel ».
De plus, les juges ont pris en compte la spécificité de la profession de la victime :
« Les professionnels de santé sont bien souvent limités par le respect du secret médical qui ne leur permet pas d’étaler publiquement sur internet le choix des traitements qu’ils ont mis en œuvre. Il est tout à fait faux de prétendre que les patients ont renoncé au secret médical lorsqu’ils publient un avis sur internet, puisqu’au cas d’espèce, ils critiquent le prix, la douleur ressentie, sans préciser le type de soins pratiqués et sans qu’il soit en conséquence possible pour Madame Z X d’argumenter sur le choix du traitement et son coût.
Il existe dès lors comme c’est le cas en l’espèce un déséquilibre patent entre le professionnel et l’utilisateur du service et l’incidence pour le professionnel concerné peut être importante ».
Selon les juges, bien que ces avis constituent pour les citoyens numériques une source d’information, ils ne peuvent pas être qualifiés « d’information ».
En conséquence, le tribunal a estimé que « GOOGLE ne peut pas justifier l’existence d’un quelconque d’un intérêt légitime lui permettant de passer outre le consentement de la personne à voir publiées ses données personnelles et des avis accolés à ces données personnelles ».
Comme le reconnaît Google, la Fiche d’établissement professionnel ne requiert ni l’aval, ni le concours du professionnel, ce qui constitue en tant que telle une violation des du règlement européen RGPD
La dentiste estimait que le traitement de ses données est illégal et s’opposait au traitement de ses données en se basant sur l’article 21 du RGPD.
Ses données étaient en effet utilisées pour évaluer certains aspects personnels et notamment pour analyser des éléments comme sa capacité à bien soigner ses patients, sa compétence, sa fiabilité et son comportement.
Les données sont collectées, grâce au système d’étoiles des avis laissés par les internautes, une analyse automatisée est réalisée qui permet de placer la dentiste dans une certaine catégorie, allant du bon professionnel au professionnel médiocre, en fonction du nombre d’étoiles obtenues.
A partir de là, il est tout à fait possible de faire des prédictions statistiques.
Or les responsables du traitement devraient « tenir compte de l’exactitude à toutes les étapes du processus de profilage », en particulier lors de « la collecte de données », de « l’analyse [de ces] données », mais aussi de « l’établissement du profil d’une personne » et, évidemment, de « l’application d’un profil pour prendre une décision affectant [cette] personne (Groupe de l’article 29, Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679, 6 février 2018, WP 251rév.01, pt III, A, 4, p. 12 s.).
Si les données collectées sont inexactes, le profilage l’est aussi, ce qui peut être lourd de conséquences pour la personne concernée.
Or, Google n’a pas mis en place de procédure de vérification pour s’assurer que les avis collectés sont fiables et permettent un classement efficient du professionnel concerné.
Ainsi, le tribunal a jugé que Google doit obligatoirement faire droit à l’opposition au traitement des données qui lui sont adressées par les professionnels, en l’absence d’intérêt légitime.
De plus, le droit d’opposition au profilage des données se justifie aussi en raison de l’utilisation des dites données à des fins de prospection commerciale par Google.
La prospection commerciale se définit comme l’action qui permet à une entreprise de fidéliser sa clientèle ou de recruter de nouveaux prospects.
Or, si la diffusion de la seule fiche du professionnel poursuit un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés Google d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants.
Ainsi, la dentiste pouvait valablement invoquer aussi son droit d’opposition de ce seul chef.
Au terme de cette action, elle a pu obtenir la condamnation de Google par le tribunal à supprimer sa fiche, sous astreinte, l’indemnisation de ses préjudices et le remboursement de ses frais d’avocat et de procédures.
Cette affaire a le mérite de poser de nombreux principes importants permettant aux professionnels d’obtenir utilement la suppression de leurs données par Google.
Pour sûr, elle ouvrira la voie à de nouvelles décisions de justice plus contraignantes à l’égard du moteur de recherche qui n’a de cesse que de ne pas respecter les obligations légales en matière de protection des données à caractère personnel.
Il sera intéressant de surveiller à l’avenir comment Google va réagir à ce type de décision et s’il respectera ses obligations de suppression sur simples demandes sans voir à passer par le juge.
Je suis à votre disposition pour toute action ou information (en cliquant ici).
Anthony Bem
Avocat à la Cour
27 bd Malesherbes - 75008 Paris
01 40 26 25 01
abem@cabinetbem.com
