Ainsi que nous le soulevions précédemment, la jurisprudence avait jusqu’à présent tendance à considérer que la réglementation applicable en matière de protection des données à caractère personnel n’apparaissait pas comme un argument fort dans les cadre des actions contentieuses intentées par des professionnels et visant à la suppression de leurs fiches Google My Business et des avis des internautes qui y sont rattachés.
Par un jugement très riche et très étayé rendu le 15 septembre 2022, le tribunal judiciaire de Chambéry opère en partie un revirement par rapport aux précédentes décisions rendues à ce sujet (étant toutefois précisé que celles-ci étaient généralement rendues en référé, et non « au fond »), notamment concernant le fondement des traitements de données à caractère personnel mis en œuvre par Google dans ce cadre, et fait droit à la demande d’une dentiste de voir supprimer sa fiche Google My Business. Ce jugement constitue également une illustration de l’action civile en réparation fondée sur une violation de la règlementation applicable en matière de protection des données à caractère personnel telle qu’issue du règlement général sur la protection des données dit « RGPD » et de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés dite « loi Informatique et libertés ».
* *
*
1. Sur l’existence d’un traitement de données à caractère personnel opéré par le service « Google My business »
En l’espèce, le tribunal prend soin de rappeler que la notion de « données à caractère personnel » au sens du RGPD est définie comme « toute information relative à une personne physique identifiée ou identifiable. Toute donnée directement ou indirectement identifiante est une donnée à caractère personnel, peu important son caractère confidentiel ou public et son caractère privé ou professionnel » et que « la circonstance que ces informations s’inscrivent dans un contexte d’une activité professionnelle n’est pas de nature à leur ôter la qualification de données à caractère personnel ».
En outre, le tribunal relève que le service Google My Business permet l’affichage en ligne de données à caractère personnel relatives au professionnel (identité, coordonnées,…) et des avis des internautes, mais également que l’inscription par un professionnel à ce service « lui permet également d’accepter ou de refuser les sollicitations commerciales de google, qui propose aux professionnels inscrits un service Google Adwords, soit l’achat de mots clés permettent d’être mieux référencés dans le moteur de recherche ».
Le tribunal en a déduit, qu’il n’était pas contestable que la règlementation en matière de protection des données à caractère personnel s’applique aux informations délivrées au public, sur la fiche Google My Business, à propos de l’activité de la dentiste, agissant en qualité de demanderesse dans le cadre de cette affaire.
2. Sur les manquements à la règlementation applicable en matière de protection des données à caractère personnel dans le cadre du service « Google My business »
Plusieurs manquements à la règlementation applicable en matière de protection des données à caractère personnel ont été soulevés par la demanderesse (cf. la dentiste) dans le cadre de cette affaire, pour appuyer sa demande de suppression de sa fiche Google My Business ainsi que sa demande en réparation du préjudice subi du fait du maintien de sa fiche en ligne.
- Sur l’absence de formalités préalables
Avant l’entrée en vigueur du RGPD, les organismes traitant des données à caractère personnel étaient tenus, sauf exceptions, d’accomplir des formalités déclaratives préalables auprès de la Commission nationale de l’informatique et des libertés (« Cnil »), pour pouvoir mettre en œuvre valablement de tels traitements de données à caractère personnel.
En l’espèce, le tribunal a retenu que la fiche Google My Business litigieuse avait été créée par Google avant l’entrée en vigueur du RGPD, ce dont il résultait que l’absence de déclaration auprès de la Cnil d’un tel traitement de données à caractère personnel pour cette période antérieure à l’entrée en vigueur du RGPD constitue une faute. Toutefois, le tribunal a rejeté la demande de la dentiste tendant à voir sa fiche Google My Business supprimée sur ce fondement, dans la mesure où la déclaration auprès de la Cnil n’est à ce jour plus obligatoire.
- Sur le fondement des traitements de données à caractère personnel mis en œuvre dans le cadre des services « Google My Business »
En l’espèce, les données à caractère personnel relatives à la dentiste et figurant sur sa fiche Google My Business avait été collectées auprès d’un tiers, à savoir Infobel (annuaire en ligne), qui les avait elle-même recueillies auprès d’Orange. A cet égard, le tribunal a relevé que la dentiste n’avait pas consenti au traitement de ses données à caractère personnel mis en œuvre par Orange dans le cadre de la parution de ses coordonnées ni à l’utilisation de telles données par Google pour alimenter sa fiche Google My Business.
En outre, le tribunal a considéré que les traitements de données à caractère personnel mis en œuvre par l’intermédiaire de Google My Business ne peuvent être considérés comme uniquement mis en œuvre à des fins informationnelles. En l’espèce, le tribunal a estimé que « si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés Google d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants ». Aussi, la publication de la fiche Google My Business aux fins d’information du public ne peut être décorrélée des actions de prospections commerciales réalisées par Google, ce dont il résulte que, pour le tribunal, il existe une finalité commerciale « cachée ».
A la lumière de cette analyse, le tribunal a procédé à la mise en balance des intérêts en présence afin de déterminé si un tel traitement peut être fondé sur les intérêts légitimes de Google (ce qui aurait permis à cette dernière de ne pas demander le consentement de la dentiste demanderesse pour mettre en œuvre ce traitement). Dans le cadre de cette mise en balance des intérêts des parties, le tribunal explicite la notion de « droit à l’information », en faisant notamment référence aux définitions données au niveau international et européen (Organisation des Nations Unies, Déclaration universelle des droits de l’homme, Convention européenne des droits de l’homme), qui pourrait être un argument pour permettre à Google de se prévaloir d’un intérêt légitime à mettre en œuvre le traitement de données à caractère personnel sans le consentement de la personne concernée. Toutefois, il considère également que, dès lors qu’aucune mesure n’avait été mise en œuvre par Google pour identifier si besoin la source des informations et pour vérifier la fiabilité des avis déposés sur la fiche Google My business, et qu’aucun moyen efficace ne permet au professionnel de répondre aux avis sur leur fiche Google My Business, d’autant plus lorsque le professionnel est soumis au secret médical, « il existe dès lors comme c’est le cas en l’espèce un déséquilibre patent entre le professionnel et l’utilisateur du service et l’incidence pour le professionnel concerné peut être importante ».
Aussi, le tribunal a considéré que les sociétés Google mises en cause « n’ont absolument pas procédé à une pondération entre leur intérêt légitime de participer à l’information et les droits et intérêts des personnes dont les données sont traitées et qu’elles ne veillent pas à l’adoption de garanties supplémentaires ou autres mesures additionnelles afin d’atteindre ainsi un équilibre entre les droits et intérêts en cause », ce dont il résulte qu’elles ne « justifient pas d’un intérêt légitime leur permettant de passer outre le consentement de la personne à voir publiées ses données personnelles et des avis accolés à ces données personnelles ».
- Sur le caractère déloyal et le manque de transparence des traitements de données à caractère personnel mis en œuvre par Google
Le tribunal a souligné que « sur un plan factuel, rappelons que la création d’une Fiche d’établissement professionnel ne requiert ni l’aval, ni le concours du professionnel. En outre, Google ne procède à aucune notification visant à signaler aux professionnels l’existence de ces fiches ». En l’espèce, Google n’a pas informé la dentiste de la collecte de ses données auprès d’Infobel, ni de la création de sa fiche Google My Business, ce qui constitue un manquement à l’obligation du responsable de traitement d’informer les personnes concernées s’agissant du traitement de leurs données à caractère personnel (obligation d’information qui, pour mémoire, est prévue aux articles 13 et 14 du RGPD).
- Sur l’opposition au traitement des données
En l’espèce, la demanderesse s’était opposée au traitement de ses données à caractère personnel par Google, qui n’avait pas fait droit sa demande, au motif que le traitement desdites données était nécessaire à l’exercice du droit à la liberté d’expression et d’information.
Le tribunal a rappelé que les sociétés Google mises en cause ne pouvaient se prévaloir d’un droit à l’information pour traiter les données de la dentiste (cf. la personne concernée) et qu’elles ne justifiaient ainsi pas d’un intérêt légitime leur permettant « d’outrepasser le consentement » de la personne concernée. Le tribunal a en sus considéré que Google utilisait un processus de profilage de la demanderesse, notamment pour analyser des éléments concernant son « rendement au travail » et pour réaliser des prédictions statistiques au regard des avis laissés, auquel toute personne concernée peut en principe s’opposer.
Le tribunal a également rappelé que « si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés Google d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants et que la Sarl Google France, la société Google LLC et la société Google Ireland Limited se livrent à des actes de prospection commerciale sans le consentement » de la demanderesse (cf. la personne concernée).
Aussi, le tribunal a considéré que Google ne pouvait pas valablement refuser l’exercice du droit d’opposition par la dentiste s’agissant du traitement de ses données par Google, en raison de l’absence de démonstration d’un intérêt légitime impérieux poursuivi par Google ainsi que des opérations de prospection commerciale réalisées par Google.
- Sur la demande d’effacement des données
La dentiste, arguant de manquements de la part de Google au regard des principes applicables en matière de protection des données à caractère personnel, et notamment du RGPD, avait demandé que sa fiche Google My Business soit supprimée, ce que Google avait refusé de faire.
En l’espèce, le tribunal a considéré que le traitement de données à caractère personnel en question devait être considéré comme étant illicite et que Google ne pouvait pas s’opposer à la demande d’effacement, faute de démontrer un « intérêt légitime impérieux » ou la nécessité de ce traitement au regard du droit à l’information (cf. exceptions au droit à l’effacement prévues à l’article17, 3° du RGPD).
Aussi, le tribunal a condamné les sociétés Google mises en cause à la suppression de la fiche Google My Business de la demanderesse, sous astreinte de 100 euros par jour à l’issue d’un délai de deux mois à compter de la signification de la présente décision.
3. Sur la demande de Google France d’être « mise hors de cause »
Google France soutenait devoir être mise hors de cause dans le cadre de la présente affaire, « arguant du fait qu’elle est étrangère à la publication des Fiches d’Etablissement Professionnel et à la publication des données personnelles correspondantes, ainsi qu’à l’hébergement des avis sur celles ci. Elle conteste encore avoir joué le moindre rôle dans le traitement des avis », et précise (i) intervenir uniquement en qualité de prestataire fournissant une mission de conseil et de marketing à Google Ireland, cette dernière entité étant celle qui commercialise en Europe des services publicitaires tels que Google Adwords ou Google Adsense, et (ii) n’avoir aucune maîtrise juridique ou technique en lien avec Google My Business.
S’appuyant sur la jurisprudence de la CJUE (cf. CJUE, Spain SL et Google Inc. contre Agencia Española de Protección de Datos (AEPD) et Mario Costeja González, aff. C-131/12, 13 mai 2014) et à l’aide d’un raisonnement par analogie, le tribunal a estimé que le traitement des données à caractère personnel au cœur du litige était fait « pour les besoins publicitaires de la société Google France » et « effectué dans le cadre des activités des autres sociétés Google. Les activités des sociétés Google sont ainsi indissociablement liées en ce que les activités relatives aux espaces publicitaires permettent de proposer un annuaire qualitatif des professionnels gratuit et de le rendre rentable, alors que cet annuaire est dans le même temps le moyen permettant l’accomplissement des activités de publicité ».
En outre, le tribunal a relevé que la dentiste était destinataire de sollicitations pouvant être qualifiées d’opérations de prospection commerciale et que cette activité relevait de Google France, agissant alors en qualité de responsable de traitement.
En conséquence, la demande de mise hors de cause de Google France a été rejetée.
4. Sur la réparation du préjudice subi par la dentiste
A titre liminaire, il est à noter que la demande d’indemnisation soutenue par la dentiste ne fait pas référence à l’article 82 du RGPD, qui peut servir de fondement juridique à une action en réparation, mais s’appuie sur les dispositions françaises applicables en droit commun de la responsabilité civile délictuelle, sur le fondement des articles 9, 1240 et 1241 du Code civil.
En l’espèce, le tribunal a considéré qu’aucune atteinte à la vie privée n’était démontrée, en l’absence de surveillance continue par Google.
Toutefois, le tribunal a estimé qu’en l’absence de vérification des avis déposés sur la fiche Google My Business et qu’en raison de la « violence des critiques qui peuvent être formulées à l’encontre d’un professionnel et des atteintes qu’elles peuvent avoir sur la personne qui en est l’objet », les sociétés Google auraient dû « s’assurer que la base factuelle est suffisante avant de laisser publier les avis ce qui est loin d’être le cas en l’espèce ». Plus encore, le tribunal a jugé que « Quand bien même les actes de dénigrement ne sont pas commis par des sociétés concurrentes il a été largement démontré que les sociétés Google en profitent directement, leur publicité étant basée sur la possibilité d’améliorer les avis Google et la visibilité de l’entreprise. Le dénigrement est donc caractérisé ».
Le tribunal a également considéré que, par le biais des avis et des fiches Google My Business, Google « créé et organise sans avoir à le dire sans avoir à dépenser le moindre centime, sous couvert de droit à l’information, une mise en concurrence des prestataires d’un même service dans une région donnée, ce qui lui permet de leur offrir grâce à ses propres services, gratuits et payants, des moyens d’accroître leur visibilité » et tire ainsi profit de la réputation des professionnels, ce qui est constitutif d’agissements parasitaires.
Enfin, c’est de manière péremptoire que le tribunal a jugé qu’il était « certain » que la demanderesse avait subi un préjudice moral « dans la mesure où des avis négatifs invérifiables ont été déposés sur sa fiche google et en raison du fait que les sociétés Google grâce à des avis invérifiables tirent profit d’une mise en concurrence en proposant des services directement liés à ces avis » et où Google a poursuivi le traitement de ses données à caractère personnel malgré l’exercice du droit d’opposition au traitement de ses données par la demanderesse (ce qui semble de facto, pour le tribunal, entraîner un préjudice moral).
Le tribunal a donc condamné in solidum Google France, Google LLC et Google Ireland Limited à payer à la dentiste une somme de 20 000 euros au titre de son préjudice moral, ainsi qu’à 20 000 euros au titre de l’article 700 du Code de procédure civile.
* *
*
Ce qu’il faut en retenir : Ce jugement, bien que rendu en première instance, pourrait annoncer un revirement de la jurisprudence établie jusqu’alors en la matière, en ce qu’il reconnaît que la règlementation applicable en matière de protection des données à caractère personnel constitue désormais un véritable levier dans le cadre des actions contentieuses liées aux fiches Google My Business. Il s’agit également d’une des premières illustrations en France d’une hypothèse de réparation du préjudice subi par une personne concernée lorsque le traitement de ses données à caractère personnel n’est pas conforme aux principes applicables en la matière.
* *
*
AGIL’IT ne manquera pas bien entendu pas de vous tenir informés des évolutions, notamment jurisprudentielles, en la matière et se tient à votre disposition pour vous accompagner dans le cadre de toutes actions de nature à faire valoir l’exercice de vos droits en matière de traitements de vos données à caractère personnel et d’e-réputation.
Par AGIL’IT – Pôle IT & Data protection
Laure LANDES-GRONOWSKI, Avocate associée
Marie MILIOTIS, Avocate
