Verstoß: Keine Möglichkeit zum Widerspruch nach Art. 21 DSGVO
N° Minute : 2C25/222
COUR D'APPEL de CHAMBÉRY
2ème Chambre
Arrêt du Jeudi 22 Mai 2025
N° RG 22/01814 - N° Portalis DBVY-V-B7G-HDLV
Décision déférée à la Cour : Jugement du TJ hors JAF, JEX, JLD, J. EXPRO, JCP de CHAMBERY en date du 15 Septembre 2022, RG 19/01427
Appelantes
S.A.R.L. GOOGLE FRANCE dont le siège social est sis [Adresse 4] prise en la personne de son représentant légal
Société GOOGLE LLC, dont le siège social est sis [Adresse 1] USA prise en la personne de son représentant légal
Société GOOGLE IRELAND LIMITED, dont le siège social est sis [Adresse 5] IRELAND prise en la personne de son représentant légal
Représentées par la SCP PEREZ ET CHAT, avocat postulant au barreau de CHAMBERY et le cabinet PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocat plaidant au barreau de PARIS
Intimée
Mme [O] [C]
née le [Date naissance 2] 1965 à [Localité 6], demeurant [Adresse 3]
Représentée par Me Jennifer BOULEVARD, avocat postulant au barreau de CHAMBERY et Me Arnaud DIMEGLIO, avocat plaidant au barreau de MONTPELLIER
-=-=-=-=-=-=-=-=-
COMPOSITION DE LA COUR :
Lors de l'audience publique des débats, tenue en double rapporteur, sans opposition des avocats, le 12 novembre 2024 par Madame Alyette FOUCHARD, Conseillère faisant fonction de Présidente, à ces fins désignée par ordonnance de Madame la Première Présidente, qui a entendu les plaidoiries, en présence de Monsieur Fabrice GAUVIN, Conseiller, avec l'assistance de Madame Sylvie DURAND, Greffière présente à l'appel des causes et dépôt des dossiers et de fixation de la date du délibéré, à laquelle il a été procédé au rapport,
Et lors du délibéré, par :
- Madame Alyette FOUCHARD, Conseillère faisant fonction de Présidente, qui a rendu compte des plaidoiries
- Monsieur Fabrice GAUVIN, Conseiller,
- Mme Elsa LAVERGNE, Conseillère, Secrétaire Générale,
-=-=-=-=-=-=-=-=-=-
EXPOSÉ DU LITIGE
Mme [O] [C] exerce la profession de dentiste. En tapant son nom dans le moteur de recherche de Google en 2017, elle a découvert l'existence d'une fiche «Google My Business» (GMB) la concernant, faisant apparaître son nom patronymique, l'adresse de son cabinet, ainsi qu'une notation avec des étoiles et des avis liés à son activité professionnelle, dont certains très négatifs.
Par courrier en date du 27 novembre 2017, Mme [C] a mis en demeure la société Google France de supprimer tous les avis publiés la concernant et de supprimer la fonction «avis» de sa fiche.
Par courrier en date du 8 décembre 2017, la société Google France a refusé de faire droit à ces demandes en lui indiquant les démarches à effectuer pour gérer les informations figurant dans sa fiche, ainsi que pour signaler des commentaires qu'elle estimerait inappropriés.
Par courrier en date du 9 juillet 2018, le conseil de Mme [C] a réitéré cette mise en demeure à l'égard des sociétés Google LLC et Google France de supprimer sa fiche GMB, en ce compris toutes les informations, avis et fonctions contenus dans cette dernière.
Par courrier du 17 juillet 2018, la société Google France, répondant pour Google LLC, a réitéré dans des termes similaires à sa précédente réponse.
Par ordonnance rendue sur requête de Mme [C] par le président du tribunal de grande instance de Chambéry le 25 septembre 2019, les société Google Ireland Limited, Google Inc. et Google France ont été condamnées à communiquer à Mme [C] les données permettant l'identification des auteurs des notes négatives publiées sur sa fiche GMB.
Cette ordonnance a été pour l'essentiel exécutée et le conseil de Mme [C] a contacté neuf des auteurs en question. Quatre avis négatifs ont été supprimés ensuite de cette démarche.
Mme [C], n'obtenant pas amiablement la suppression de sa fiche GMB, a fait assigner les sociétés Google France et Google LLC devant le juge des référés du tribunal de grande instance de Paris aux fins de suppression sous astreinte de celle-ci, en ce compris toutes les informations et fonctions contenues dans cette dernière.
Par ordonnance rendue le 12 avril 2019, le juge des référés du tribunal de grande instance de Paris a mis hors de cause la société Google France et a dit n'y avoir lieu à référé sur les demandes de Mme [C].
C'est dans ces conditions que, par actes en date des 3, 5 et 10 septembre 2019, Mme [C] a fait assigner la société Google France, la société de droit américain Google LLC et la société de droit irlandais Google Ireland Limited, devant le tribunal de Chambéry aux fins principalement de condamnation sous astreinte à cesser d'utiliser ses données personnelles pour permettre l'accès et la diffusion de sa fiche GMB, et, subsidiairement, de condamnation à limiter le traitement de ses données, leur durée de conservation et la fonction d'avis aux seules personnes ayant eu une expérience de consommation avec elle en qualité de professionnelle. Mme [C] a également sollicité la condamnation des défenderesses au paiement de dommages et intérêts en réparation des préjudices subis.
La société Google France a sollicité sa mise hors de cause. Les sociétés Google LLC et Google Ireland Limited se sont opposées aux demandes en invoquant la licéité du traitement des données personnelles de Mme [C] et la possibilité pour elle d'agir directement contre les auteurs des avis publiés dont elles ne sont pas responsables du contenu.
Par jugement contradictoire du 15 septembre 2022, le tribunal judiciaire de Chambéry a :
dit que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis une faute en ne déclarant pas à la CNIL le traitement des données automatisées de Mme [C],
rejeté la demande de Mme [C] tendant à voir sa fiche et ses données effacées au titre de l'absence de respect des formalités préalables,
dit que Mme [C] n'a jamais consenti au traitement automatisé de ses données personnelles,
dit que la société Google France, la société Google LLC et la société Google Ireland Limited ne justifient pas d'un intérêt légitime leur permettant de procéder au traitement automatisé des données personnelles de Mme [C] sans son consentement,
dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de loyauté dans la collecte des données de Mme [C],
dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de transparence du traitement des données de Mme [C],
dit en conséquence que Mme [C] est légitime et bien fondée à invoquer son droit d'opposition au traitement de ses données,
condamné la société Google France, la société Google LLC et la société Google Ireland Limited à supprimer la fiche Google My Business de Mme [C] sous astreinte de 100 euros par jour à l'issue d'un délai de deux mois à compter de la signification de la décision,
rejeté la demande de la société Google France tendant à être mise hors de cause,
dit que les manquements aux principes du RGPD susvisés sont constitutifs de fautes,
dit en outre que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis des actes de dénigrement et d'agissements parasitaires, constitutifs de fautes,
dit en conséquence que la responsabilité délictuelle de la société Google France, la société Google LLC et la société Google Ireland Limited est engagée,
condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de son préjudice moral,
condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de l'article 700 du code de procédure civile,
débouté la société Google France, la société Google LLC et la société Google Ireland Limited de leur demande au titre de l'article 700 du code de procédure civile,
condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited aux entiers dépens de l'instance,
ordonné l'exécution provisoire de la décision,
rejeté toutes les autres demandes plus amples ou contraires formées par les parties.
Par déclaration du 19 octobre 2022, la société Google France a interjeté appel de ce jugement.
Par déclaration du 14 décembre 2022, les sociétés Google LLC et Google Ireland Limited en ont également interjeté appel.
Les deux affaires ont été jointes.
***
Par conclusions notifiées le 12 septembre 2024, auxquelles il est expressément renvoyé pour l'exposé des moyens, la société Google France demande en dernier lieu à la cour de :
Vu le RGPD et la loi n°78-17 du 6 janvier 1978,
Vu les articles 32, 122, 696 et 700 du code de procédure civile,
infirmer le jugement déféré en ce qu'il a rejeté la mise hors de cause de la société Google France, cette dernière n'étant pas impliquée dans l'exploitation des services Google Search et Google Maps ainsi que des fiches d'établissement professionnel,
Y ajoutant,
juger irrecevables les demandes formées à l'encontre de la société Google France, faute de qualité à défendre de cette dernière,
Subsidiairement,
juger mal fondées les demandes formulées à l'encontre de la Google France,
Et en tout état de cause,
condamner Mme [C] aux entiers dépens, en application de l'article 696 code de procédure civile,
condamner Mme [C] à verser à la société Google France la somme de 5 000 euros au titre de l'article 700 de code de procédure civile.
***
Par conclusions notifiées le 14 octobre 2024, auxquelles il est expressément renvoyé pour l'exposé des moyens, les sociétés Google LLC et Google Ireland Limited demandent en dernier lieu à la cour de :
Vu le RGPD et la loi n°78-17 du 6 janvier 1978 ,
Vu les articles 226-18, 226-18-1, 226-21, R.625-10, R.625-12, et 226-22-2 du code pénal,
Vu l'article 8 de l'arrêté du 6 février 2009 portant création du RPPS et l'article L.332-1 du code des relations entre le public et l'administration,
Vu l'article 9 du code civil et l'article 226-4-1 du code pénal,
Vu les articles L.111-7-2, D.111-17 et D.111-18 du code de la consommation,
Vu les articles 1240 et 1241 du code civil,
Vu les articles 696 et 700 du code de procédure civile,
infirmer le jugement déféré en ce qu'il a :
- dit que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis une faute en ne déclarant pas à la CNIL le traitement des données automatisées de Mme [C],
- dit que Mme [C] n'a jamais consenti au traitement automatisé de ses données personnelles,
- dit que la société Google France, la société Google LLC et la société Google Ireland Limited ne justifient pas d'un intérêt légitime leur permettant de procéder au traitement automatisé des données personnelles de Mme [C] sans son consentement,
- dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de loyauté dans la collecte des données de Mme [C],
- dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de transparence du traitement des données de Mme [C],
- dit en conséquence que Mme [C] est légitime et bien fondée à invoquer son droit d'opposition au traitement de ses données,
- condamné la société Google France, la société Google LLC et la société Google Ireland Limited à supprimer la fiche Google My Business de Mme [C] sous astreinte de 100 euros par jour à l'issue d'un délai de deux mois à compter de la signification de la décision,
- rejeté la demande de la société Google France tendant à être mise hors de cause,
- dit que les manquements aux principes du RGPD susvisés sont constitutifs de fautes,
- dit en outre que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis des actes de dénigrement et d'agissements parasitaires, constitutifs de fautes,
- dit en conséquence que la responsabilité délictuelle de la société Google France, la société Google LLC et la société Google Ireland Limited est engagée,
- condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de son préjudice moral,
- condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de l'article 700 du code de procédure civile,
- débouté la société Google France, la société Google LLC et la société Google Ireland Limited de leur demande au titre de l'article 700 du code de procédure civile,
- condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited aux entiers dépens de l'instance,
- ordonné l'exécution provisoire de la décision,
- rejeté toutes les autres demandes plus amples ou contraires formées par les parties.
Et en tout état de cause,
juger que les sociétés Google LLC et Google Ireland Limited n'ont commis aucune faute susceptible de justifier le maintien de la suppression de la Fiche d'Etablissement Professionnel de Mme [C],
juger que les sociétés Google LLC et Google Ireland Limited n'ont commis aucune faute susceptible de rechercher leur responsabilité délictuelle ou pénale,
juger que l'ensemble des demandes formulées par Mme [C] sont mal fondées et l'en débouter,
condamner Mme [C] aux entiers dépens, en application de l'article 696 code de procédure civile,
condamner Mme [C] à verser aux sociétés Google LLC et Google Ireland Limited la somme de 50 000 euros au titre de l'article 700 de code de procédure civile.
Par conclusions notifiées le 4 octobre 2024, auxquelles il est expressément renvoyé pour l'exposé des moyens, Mme [O] [C] demande en dernier lieu à la cour de :
Vu les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne,
Vu les articles 1, 2, 4, 6, 7, 22, 32, 38, 40, 48, 56 et 67 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers, et aux libertés (version antérieure à l'ordonnance du 12 décembre 2018),
Vu les articles 4, 5, 6, 7, 12, 13, 14, 15, 17, 21, 27, 35, 82, 84 du Règlement européen n°2016/679 du 27 avril 2016 sur la protection des données personnelles (RGPD),
Vu les articles 1,2, 4, 5, 48, 51, 56 et 80 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers, et aux libertés (version postérieure à l'ordonnance du 12 décembre 2018),
Vu l'article L. 34-5 du code des postes et des communications électroniques,
Vu l'article R. 4127-4, R. 4127-19, R. 4127-215-1, R. 4127-217, D. 4113-118, du code de la santé publique,
Vu les articles 2, 1240 et 1241 du code civil,
Vu l'article 4 du code de procédure civile,
A titre principal,
confirmer le jugement en toutes ses dispositions,
Tout en précisant que,
1° Sur les manquements des sociétés Google au RGPD :
dire que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le droit à l'information (article 14 du RGPD) et le droit d'accès aux données (article 15 du RGPD) de Mme [C],
dire que la société Google France, la société Google LLC et la société Google Ireland Limited ont effectué un traitement des données de Mme [C], sans finalité déterminée et légitime (article 5 1) b) du RGPD),
2° Sur la suppression de la fiche
Mme [C] est fondée à demander la suppression de sa fiche Google sur le fondement général de l'article 17 du RGPD, et plus précisément :
- sur le fondement de son droit d'opposition au traitement de ses données (article 17.1 c du RGPD) :
' en raison de sa situation particulière de professionnel de santé et d'absence d'intérêt légitime et impérieux des sociétés Google (article 21.1 du RGPD),
' à des fins de prospection commerciale (article 21.2 RGPD)
- en raison du caractère illicite du traitement de ses données (article 17.1 d) du RGPD) :
' du fait de l'absence de consentement de Mme [C] (article 6.1 a) du RGPD),
' du fait de l'absence d'intérêt légitime des sociétés Google à un tel traitement, et de la prévalence des droits de Mme [C] sur les intérêts économiques des sociétés Google (article 6.1 f) du RGPD),
- en raison de l'absence de nécessité du traitement de ses données pour l'exercice du droit à la liberté d'expression et d'information (article 17.3 a)),
Subsidiairement,
limiter, sur le fondement de l'article 5 1 b) c) e) du RGPD :
- la fiche de Mme [C] : Mme [C] demande à la cour de condamner les sociétés Google, sous astreinte de 1000 euros par jours de retard, à :
' limiter le traitement de ses données, à ses seules données professionnelles, de façon à ce que sa fiche ne soit pas accessible, et diffusée lors d'une recherche avec ses seuls nom et prénom,
' limiter la durée de diffusion de sa fiche à la durée de 3 ans à compter de sa diffusion,
' supprimer les fonctions « notation » et « avis » de sa fiche,
- la fonction notation et avis : très subsidiairement, Mme [C] demande à la cour de condamner les sociétés Google, sous astreinte de 1000 euros par jours de retard, à :
' supprimer la fonction « notation » de la fiche,
' supprimer le classement par « pertinence », et en raison du caractère « défavorable ou favorable » des avis,
' supprimer tous les avis ne respectant pas le format de date JJ/MM/AA, et a fortiori tous ceux qui, postérieurs à la date du 1 er janvier 2018 ne précisent pas la date d'expérience de consommation,
' limiter la durée de diffusion des avis à un durée maximale de 3 ans à compter de leur publication initiale, et supprimer par voie de conséquence tous les avis ayant une durée supérieure à 3 ans,
' supprimer les avis concernant Mme [C] qui, en raison de la négligence des sociétés Google ne comportent pas la date d'expérience de consommation de leurs auteurs, et de date claire permettant de déterminer le jour de leur diffusion,
débouter la société Google France, la société Google LLC et la société Google Ireland Limited de l'intégralité de leurs demandes,
condamner in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à verser à Mme [C] la somme supplémentaire de 20 000 euros, au titre des frais d'appel, de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens qui seront recouvrés conformément aux dispositions de l'article 699 du code de procédure civile.
L'affaire a été clôturée à la date du 12 novembre 2024 et renvoyée à l'audience du même jour, à laquelle elle a été retenue et mise en délibéré à la date du 27 mars 2025, prorogé à ce jour.
MOTIFS DE LA DÉCISION
1. Sur la demande de mise hors de cause de la société Google France :
La société Google France fait grief au jugement déféré d'avoir rejeté sa demande de mise hors de cause alors, selon elle, qu'elle n'a aucune qualité pour défendre. A cet effet elle expose qu'elle ne participe pas à l'exploitation des services Google en cause et ne peut donc être l'auteur des faits considérés comme fautifs par Mme [C]. Elle conclut à l'irrecevabilité des demandes formées à son encontre.
Mme [C] soutient que la société Google France exploite les services Google en apparence, mais également du fait des services qu'elle fournit. Elle conclut à la confirmation du jugement qui a rejeté la demande de mise hors de cause.
Sur ce, la cour,
En application de l'article 31 du code de procédure civile, l'action est ouverte à tous ceux qui ont un intérêt légitime au succès ou au rejet d'une prétention, sous réserve des cas dans lesquels la loi attribue le droit d'agir aux seules personnes qu'elle qualifie pour élever ou combattre une prétention, ou pour défendre un intérêt déterminé.
L'article 32 du même code dispose qu'est irrecevable toute prétention émise par ou contre une personne dépourvue du droit d'agir.
Enfin, selon l'article 122 du code de procédure civile, constitue une fin de non-recevoir tout moyen qui tend à faire déclarer l'adversaire irrecevable en sa demande, sans examen au fond, pour défaut de droit d'agir, tel le défaut de qualité, le défaut d'intérêt, la prescription, le délai préfix, la chose jugée.
L'article 3 de la loi n°78-17 du 6 janvier 1978 (loi informatique et libertés) dispose que :
I.- Sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), l'ensemble de ses dispositions s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France.
II.- Les règles nationales prises sur le fondement des dispositions du même règlement renvoyant au droit national le soin d'adapter ou de compléter les droits et obligations prévus par ce règlement s'appliquent dès lors que la personne concernée réside en France, y compris lorsque le responsable de traitement n'est pas établi en France.
L'arrêt de la CJUE du 13 mai 2014 (C131/12 Google Spain c/Agencia Española de Proteccion de Datos), invoqué par Mme [C], s'est prononcé sur l'interprétation de l'article 4 de la directive 95/46 du 24 octobre 1995 (qui a précédé le RGPD) quant à son champ territorial d'application, et non sur un principe de responsabilité de la filiale locale de Google (dans l'espèce jugée Google Spain) dans le traitement des données.
En effet, selon le point 56 de cette décision, « les activités de l'exploitant du moteur de recherche et celles de son établissement situé dans l'Etat membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l'accomplissement de ces activités », ce qui ne veut pas dire que l'établissement local est lui-même responsable du traitement des données.
La CJUE a en effet conclu (point 60) que l'article 4, paragraphe 1, sous a), de la directive 95/46 « doit être interprété en ce sens qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un Etat membre, au sens de cette disposition, lorsque l'exploitant d'un moteur de recherche crée dans un Etat membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet Etat membre ».
Ceci signifie que la loi nationale, en l'espèce la loi française, est applicable au traitement des données en cause par l'exploitant du moteur de recherche qui a créé une succursale en France, mais pas que la succursale française en est elle-même responsable, la qualité d'exploitant ne pouvant se déduire des seuls liens qui unissent ces deux sociétés.
Pour pouvoir agir en responsabilité contre la société Google France, Mme [C] doit donc démontrer que celle-ci est l'exploitant des données litigieuses.
Mme [C] invoque l'apparence d'exploitation qui résulterait de la confusion créée par les mentions fréquentes de la société Google France sur les documents accessibles en ligne.
Toutefois, le nom de domaine « google.fr », qui appartient à la société Google LLC (pièce n° 20 des appelantes), mis en avant par l'intimée, est parfaitement distinct de la dénomination de la société Google France.
Les divers documents produits par l'intimée ne démontrent pas que Google France serait apparemment l'exploitant du moteur de recherche Google, ces documents étant relatifs essentiellement à la structure elle-même et aux emplois qu'elle propose, ou encore à des activités distinctes de celles ici en litige (recherche, innovation, transformation numérique), tandis que les pages consacrées aux conditions d'utilisation de Google renvoient à la société Google Ireland Limited (pièces n° 63 à 66 de l'intimée).
Il y a lieu de noter que la page intitulée « nous contacter » (pièce n° 67 de l'intimée) fait certes état de l'adresse de Google France, mais également de celle de Google LLC, cette page ne permettant pas, là encore, de conclure que Google France serait l'exploitant du moteur de recherche ou propriétaire du nom de domaine « google.fr ». L'extrait Kbis de la société Google France ne permet pas plus d'établir l'apparence alléguée, les activités principales qui y sont mentionnées ne suffisant à l'évidence pas à démontrer l'exploitation du moteur de recherche Google.
Enfin, le fait que Google France ait répondu aux courriers adressés par Mme [C] ou son conseil n'est pas plus probant, ces réponses mentionnant systématiquement que l'entité à laquelle il convient de s'adresser est bien Google LLC (pièces n° 6 et 8 de l'intimée).
A l'inverse, la société Google France démontre (pièces n° 16 à 22 des appelantes):
- que seule la société Google Ireland Limited fournit les services de recherche sur le site https://www.google.fr,
- que toutes les marques Google ont été déposées par la société Google LLC, laquelle est également propriétaire des technologies mises en oeuvre pour l'exploitation du moteur de recherche « google.fr »,
- qu'elle-même intervient uniquement en qualité de prestataire de services (animation commerciale, services juridiques, de communication, etc...) pour la société Google Ireland Limited, sans avoir aucun rôle dans l'exploitation du moteur de recherche incriminé.
Ce point est confirmé par le contrat de marketing et de prestation de services pour la France produit par Mme [C] elle-même liant la société Google Ireland Limited à la société Google France (pièce n° 73).
Il en résulte que la société Google France, qui est étrangère au traitement des données personnelles de Mme [C], sur lesquelles elle n'intervient pas, n'a pas qualité pour défendre à l'action engagée par Mme [C], de sorte que les demandes formées à son encontre sont irrecevables.
Le jugement sera infirmé de ce chef.
***
2. Sur l'application du droit des données personnelles
Les appelantes soutiennent que le RGPD, et plus généralement le droit relatif à la protection des données personnelles, ne serait pas applicable en l'espèce dès lors que les données dont la suppression est demandée concernent exclusivement l'activité professionnelle de Mme [C], exercée sous forme de société.
Mme [C] soutient que la fiche GMB créée par Google est relative à une personne physique et non à une personne morale et qu'en tout état de cause les données collectées permettent d'identifier une personne physique, de sorte qu'elle est bien soumise au droit des données personnelles.
Sur ce, la cour,
Le traitement des données à caractère personnel est défini et réglementé par le règlement (UE) 2016/679 du 27 avril 2016 dit règlement général sur la protection des données (RGPD).
Selon son article 1er, le RGPD établit les règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données, et il protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel.
L'article 2 précise que ce règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel ou appelées à figurer dans un fichier.
En application de l'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne, toute personne a droit à la protection des données à caractère personnel la concernant.
L'article 4 paragraphe 1, du RGPD dispose qu'on entend par « données à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
En l'espèce, les informations figurant sur la fiche GMB de Mme [C] créée par Google, portent sur son nom, son prénom, sa profession, l'adresse de son exercice professionnel et ses coordonnées téléphoniques professionnelles. Il s'agit incontestablement de données à caractère personnel.
A cet égard, il importe peu que Mme [C] exerce son activité sous la forme juridique d'une société dès lors que sa dénomination sociale permet d'identifier la personne physique. En outre, la mention de la forme juridique d'exercice, soit « SELARL du Dr [C] », a été ajoutée par l'intimée elle-même après avoir découvert l'existence de sa fiche GMB.
Les données figurant sur la fiche telle qu'elle a été créée, et telle qu'elle existait au moment de la saisine du tribunal, sont donc bien des données personnelles au sens du RGPD.
Par ailleurs, il est constant que ces données ont fait l'objet d'un traitement par les sociétés Google en ce qu'elles ont procédé, sans le consentement de Mme [C], à la création d'une fiche d'établissement professionnel dite Google My Business (GMB), à partir des données collectées auprès de la société Infobel, elle-même les ayant obtenues de la société Orange (fournisseur d'accès internet de Mme [C]). Ces éléments factuels, rappelés dans l'ordonnance de référé du 12 avril 2019, et dans le jugement déféré, ne sont pas contestés par les appelantes, bien qu'ils ne figurent plus dans leurs conclusions.
L'application du RGPD au présent litige n'est donc pas discutable.
***
3. Sur l'absence de déclaration préalable à la CNIL :
Les parties concluent à nouveau longuement sur le non respect par les sociétés Google des dispositions de l'article 22 ancien de la loi informatique et libertés du 6 janvier 1978, alors qu'elles admettent que, cette obligation de déclaration préalable à la CNIL ayant été supprimée par l'entrée en vigueur du RGPD, ce fait ne peut fonder la demande de suppression de la fiche GMB par Mme [C].
Le tribunal, après avoir constaté l'absence de déclaration préalable, et considéré que celle-ci est fautive, a toutefois considéré que la demande de retrait ne pouvait aboutir sur ce moyen. Mme [C] sollicite la confirmation du jugement sur ce point.
Il n'y a donc pas lieu d'examiner ce moyen qui ne peut, en tout état de cause, pas permettre de faire droit aux demandes principales de Mme [C].
***
4. Sur la licéité du traitement des données au regard du RGPD :
Les appelantes soutiennent que la création de la fiche d'établissement professionnel de Mme [C] répond à un intérêt légitime au sens des dispositions du RGPD, soit le droit à l'information des utilisateurs de leur moteur de recherche, ainsi que la liberté d'expression de ceux-ci. Elles exposent que la finalité du traitement des données effectué est de mettre à disposition des internautes des informations relatives à des professionnels (comme dans un annuaire) mais également de leur fournir un moyen d'évaluer lesdits professionnels par la publication d'avis et de notes, ce qui contribue à enrichir l'information délivrée au public.
Mme [C] soutient pour sa part que le traitement de ses données personnelles par les sociétés Google ne répond à aucun motif légitime, qu'il s'agit en réalité d'une finalité purement commerciale, dissimulée mais révélée par l'envoi de publicités pour des services payants, et que les informations résultant des avis non vérifiés publiés sur sa fiche ne peuvent être considérées comme justifiant le traitement litigieux. Elle ajoute qu'elle n'a reçu aucune information préalable, qu'elle n'a pas consenti au traitement de ses données, lequel est en outre déloyal et non transparent.
Sur ce, la cour,
Selon l'article 5 du RGPD, les données à caractère personnel doivent être notamment :
a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités [...] (limitation des finalités) ;
c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
d) exactes et, si nécessaires, tenues à jour [...] (exactitude).
Le responsable du traitement est responsable du respect de ces principes et est en mesure de démontrer qu'ils sont respectés (principe de responsabilité).
L'article 6, paragraphe 1 du RGPD prévoit que le traitement des données personnelles n'est licite que si, et dans la mesure où, au moins l'une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques [...]
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.
Il convient de préciser que ce texte prévoit six cas possibles de traitement des données personnelles, mais seuls les a) et f) intéressent le présent litige.
Le paragraphe 4 du même article 6 prévoit que, lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n'est pas fondé sur le consentement de la personne concernée ou sur le droit de l'Union ou le droit d'un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l'article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres :
a) de l'existence éventuelle d'un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;
b) du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement ;
c) de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, en vertu de l'article 9, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l'article 10 ;
d) des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ;
e) de l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.
a) Sur la collecte des données :
En l'espèce il n'est pas contesté que Mme [C] n'a pas consenti au traitement de ses données, puisqu'elle s'y est même opposée après avoir découvert l'existence de la fiche GMB la concernant.
Par ailleurs, il résulte de l'exposé des faits et des moyens des parties que ce ne sont pas les informations qui figurent dans la fiche GMB qui posent difficulté à Mme [C], laquelle a expressément indiqué qu'elle souhaitait continuer d'être référencée sur le moteur de recherches Google, mais bien la possibilité ouverte aux internautes, par l'intermédiaire de cette fiche, de publier des avis sur son activité professionnelle.
A cet égard, il convient de souligner que, nonobstant les très longues explications de Mme [C], les informations qui figurent sur sa fiche d'établissement professionnel GMB portent uniquement sur son activité professionnelle, puisqu'il s'agit de son nom, de sa profession et des coordonnées de son cabinet dentaire, de sorte qu'elles ne présentent aucun caractère sensible.
Il n'est pas prétendu qu'elles soient inexactes.
De surcroît il n'est pas établi qu'elles aient été obtenues par les sociétés Google de manière illicite, puisque vendues par Orange à la société Infobel qui les a elles-mêmes mises à leur disposition.
Or l'article R. 10-4 du code des postes et des télécommunications électroniques dispose que les opérateurs communiquent les listes d'abonnés et d'utilisateurs prévues au quatrième alinéa de l'article L. 34, à toute personne souhaitant éditer un annuaire universel ou fournir un service universel de renseignements.
La transmission des données aux sociétés Google n'est donc pas illicite, celles-ci mettant incontestablement à disposition des utilisateurs d'internet un annuaire universel et fournissant un service universel de renseignements au sens du texte précité.
Enfin, il convient de relever que les données publiées par les sociétés Google figurent également dans d'autres annuaires librement accessibles (pages jaunes, annuaire professionnel de l'ordre national des chirurgiens dentistes notamment), et ont été publiées par Mme [C] elle-même sur son site internet.
Il en résulte donc que la collecte des données personnelles de Mme [C] par Google n'est pas illicite.
b) Sur l'information délivrée à Mme [C] :
L'article 14 du RGPD prévoit que, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations qui y sont énoncées, portant notamment sur les finalités du traitement et la base juridique de celui-ci et, s'il est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis, mais également les droits de demander l'accès, la rectification ou l'effacement de celles-ci, ou une limitation du traitement.
Le paragraphe 3 de ce texte fixe à un mois à compter de l'obtention des données le délai maximum dans lequel le responsable est tenu d'en informer la personne concernée, et le paragraphe 5 fixe les cas dans lesquels cette information n'est pas due, notamment dans le cas où la personne concernée dispose déjà de ces informations, ou celui dans lequel la fourniture de ces informations se révèle impossible ou exigerait des efforts disproportionnés.
L'article 14 du RGPD reprend des dispositions antérieures similaires qui figuraient dans l'article 32 de la loi informatique et libertés du 6 janvier 1978.
En l'espèce, s'il est exact que les sociétés Google ne justifient pas avoir fourni à Mme [C], dès la création de la fiche d'établissement professionnel, les informations requises par l'article 14 du RGPD, ni, antérieurement à son entrée en vigueur, par l'article 32 ancien de la loi informatique et libertés, le non-respect de cette obligation n'est pas de nature à justifier la suppression des données collectées, mais fait encourir au responsable du traitement des sanctions par les autorités compétentes, et engage sa responsabilité à l'égard des personnes concernées.
Sur ce point, c'est en vain que les sociétés Google prétendent que la fourniture des informations requises serait impossible ou exigerait des efforts disproportionnés au sens du paragraphe 5 de l'article 14 du RGPD.
En effet, elles n'invoquent pour cela que la masse des informations collectées par elles, ce qui relève de leur seule volonté pour procéder à la mise en ligne d'un volume maximum d'informations. Dans la mesure où elles disposent des coordonnées de Mme [C], elles ne peuvent invoquer une quelconque impossibilité de délivrer cette information. Le caractère disproportionné des efforts à fournir qu'elles invoquent leur est exclusivement imputable, et ne peut justifier une dispense de procéder à l'information requise, laquelle est exigée pour un respect effectif des droits fondamentaux des personnes concernées.
A cet égard, l'arrêt de la CEDH du 10 mai 2011 (n° 48009/08) qu'invoquent les appelantes n'est pas pertinent, celui-ci se rapportant à une information préalable au traitement des données qui aurait des effets paralysants, lorsqu'ici il n'est question que d'une information à délivrer dans le mois qui suit le traitement des données.
Il y a lieu d'ajouter que, bien que tardivement, les informations ont été fournies à Mme [C] dans le cadre de l'action qu'elle a engagée. La faute commise par les sociétés Google ne permet donc pas d'ordonner la suppression de la fiche litigieuse, mais engage leur responsabilité à l'égard de Mme [C], lui ouvrant droit à réparation dans la mesure où elle justifierait d'un préjudice en lien direct et certain avec cette faute.
c) Sur l'intérêt légitime :
Les articles 5 et 6 du RGPD précités, éclairés par les considérants du RGPD, notamment le considérant n° 47, mais aussi par les lignes directrices définies par le Comité européen de la protection des données (CEPD), le recours à l'intérêt légitime pour fonder le traitement de données à caractère personnel doit répondre à plusieurs conditions cumulatives :
- l'intérêt poursuivi doit être légitime,
- le traitement doit être nécessaire,
- le traitement doit être réalisé dans le respect des droits des personnes concernées et la prise en compte de leurs attentes raisonnables.
En l'espèce, les sociétés Google invoquent le droit à l'information des usagers du moteur de recherche et produisent des documents expliquant la finalité du service GMB (devenu depuis « Google Business Profile ») et de l'existence de la fiche d'établissement professionnel (pièces n° 2, 4, 13 et 14). La finalité informationnelle du traitement des données est donc bien réelle, ce qui ne signifie pas nécessairement qu'elle soit la seule poursuivie.
Le traitement des données de Mme [C] est également nécessaire à cette information.
Mais le responsable du traitement doit opérer en outre une mise en balance entre ses propres droits et intérêts et ceux de la personne concernée afin de vérifier qu'il n'est pas créé de déséquilibre au détriment des droits de celle-ci. Il doit être tenu compte notamment des incidences potentiellement négatives du traitement des données sur la personne concernée.
Les éléments produits et les explications des parties établissent que l'objectif de la création de la fiche GMB est de permettre la publication en ligne d'avis par des utilisateurs d'internet. En effet, la publication des renseignements d'annuaire à eux seuls ne nécessitent aucunement la création d'une telle fiche.
Il convient de rappeler que la pratique de publication d'avis sur les professionnels est admise par la loi et codifiée depuis l'entrée en vigueur de la loi n° 2016-1321 du 7 octobre 2016, à l'article L. 111-7-2 du code de la consommation, dont les parties ne discutent pas l'applicabilité à l'activité des professionnels de santé.
L'équilibre entre les droits et intérêts des parties suppose que la personne concernée puisse, gratuitement, répondre aux avis, voire en vérifier la pertinence quant aux auteurs, c'est-à-dire qu'il s'agisse effectivement d'utilisateurs de ses propres services, soit en l'espèce ses patients. Ce dernier point est particulièrement important s'agissant d'un professionnel de santé, ses services n'étant pas des prestations commerciales, outre sa soumission au respect du secret médical.
Or il est constant que la possibilité de répondre aux avis, voire de modifier ou rectifier le contenu des informations figurant sur la fiche GMB, est soumise à l'obligation, pour la personne concernée, de se créer un compte Google en renseignant une adresse mail, avec la proposition de création d'une adresse gmail. Il s'agit donc d'une adhésion forcée à un service commercial auquel Mme [C] n'aurait pas nécessairement souhaité adhérer, le fait qu'il soit gratuit étant indifférent.
En effet, la création de ce compte induit nécessairement, non seulement la transmission de nouvelles données (adresse mail), mais aussi d'autres utilisations de ses données, notamment par l'envoi de messages publicitaires sur l'adresse mail renseignée. Il s'agit d'un effet en chaîne, puisque, en créant son compte Google, la personne concernée doit accepter les conditions générales d'utilisation et les règles de confidentialités, lesquelles incluent la possibilité pour Google de transmettre les données à d'autres sociétés commerciales qui pourront à leur tour les utiliser (pièces n° 66, 70 et 72 de Mme [C]).
A cet égard, il est significatif que, lors de la création du compte Google, il est proposé au professionnel l'adhésion à des services payants supplémentaires proposés par Google, visant à améliorer la visibilité de son activité (Adwords notamment, pièce n° 4 de Mme [C]).
La publication des avis d'utilisateurs, notamment lorsqu'ils sont négatifs, est une manière d'inciter fortement le professionnel, lorsqu'il les découvre, à prendre la main sur sa fiche afin d'y répondre, ce qu'il ne peut faire qu'en créant un compte Google. Le professionnel, qui n'a pas consenti au traitement de ses données personnelles, ni à la création de sa fiche, se retrouve ainsi contraint d'adhérer aux services proposés par Google, qui, pour être gratuits, n'en sont pas moins commerciaux, les sociétés Google ne pouvant sérieusement prétendre qu'elles n'y ont aucun intérêt propre. En effet, les sociétés Google valorisent les données collectées auprès de tiers, ce qui leur permet de bénéficier de recettes publicitaires.
Ainsi, le but poursuivi par les sociétés Google n'est pas la seule information la plus large des internautes, mais également le développement de sa propre activité commerciale, soit par les recettes publicitaires perçues auprès de tiers utilisant les données traitées, soit par la diffusion pour son propre compte de publicités pour ses propres services payants. Or aucune information sur ces utilisations n'a été donnée à Mme [C].
Par ailleurs, outre cet aspect commercial non explicite, il est constant que les avis publiés par Google ne sont pas vérifiés, ce qui n'est pas illicite au regard des dispositions du code de la consommation dès lors que cette absence de vérification est dûment affichée. Toutefois, Mme [C], en sa qualité de professionnel de santé, se retrouve ainsi la cible d'avis négatifs, voire particulièrement dénigrants, de personnes dont il apparaît que, pour la plupart, elles ne sont pas ses patientes (pièce n° 39 de Mme [C]), ce que les sociétés Google ne contestent pas. Il apparaît même que l'un des avis provient d'un compte extérieur à l'Union européenne, permettant de douter très sérieusement de son authenticité. La possibilité offerte aux utilisateurs de publier les avis sous un pseudonyme, augmente la difficulté pour Mme [C] d'y répondre, faute pour elle de pouvoir facilement identifier l'auteur, sans passer par la procédure contraignante d'identification auprès de Google (et pour laquelle elle a été contrainte d'agir en justice, voir l'ordonnance sur requête du 25 septembre 2019).
Cette impossibilité, pour un professionnel de santé, de s'assurer, ab initio, que les avis publiés proviennent effectivement de ses patients, ce qui est le seul moyen d'y répondre pertinemment, crée un déséquilibre au détriment de Mme [C], compte tenu de sa situation particulière. Ce déséquilibre est d'autant plus important que, tenue au secret médical, il pourrait même lui être interdit dans une réponse de désigner l'auteur d'un avis comme étant son patient (articles L. 1110-4 et R. 4127-4 du code de la santé publique).
La pondération à laquelle doit procéder le responsable du traitement doit encore tenir compte des attentes raisonnables des personnes concernées. En quelque sorte, en l'absence de consentement préalable au traitement des données, le responsable qui se fonde sur un intérêt légitime ne doit pas surprendre les personnes concernées dans les modalités de mise en oeuvre et dans les conséquences de ce traitement.
Or en l'espèce, Mme [C] n'a reçu aucune information de la part des sociétés Google de la collecte et du traitement des données, obtenues par l'intermédiaire de l'opérateur Orange, comme rappelé ci-dessus, et elle ne pouvait raisonnablement s'attendre à ce que leur traitement, auquel les sociétés Google ont procédé sans l'en informer, aboutirait à la publication d'avis sur sa pratique professionnelle susceptibles de lui nuire gravement.
Si la publication d'avis par les utilisateurs, qu'ils soient positifs ou négatifs, participe à la liberté d'expression et à l'information du public, ces droits sont à mettre en balance avec le droit pour la personne concernée de protéger ses données en refusant de se soumettre à ce type d'avis qui résulte d'un traitement auquel elle n'a pas consenti. Ce d'autant que les avis peuvent être publiés, anonymement, par des personnes complètement étrangères à son activité professionnelle, sans qu'elle ait aucun moyen de s'en assurer, sans passer par les services de Google.
A cet égard, en l'absence de tout contrôle effectif exercé sur les avis publiés, ceux-ci pourraient ainsi contenir à leur tour des données personnelles, potentiellement sensibles s'agissant de l'activité d'un professionnel de santé. Or la suppression de ces avis ne peut se faire que a posteriori, et suppose une démarche active de la personne concernée, ce qui est contraire aux principes régissant la protection des données personnelles.
Il résulte de l'ensemble de ces éléments que l'intérêt légitime invoqué par les sociétés Google n'est pas justifié au sens de l'article 6, paragraphe 1, point f) du RGPD. Le traitement des données de Mme [C] est donc illicite.
***
5. Sur la demande de retrait de la fiche GMB :
Les appelantes soutiennent que la demande d'effacement de Mme [C] ne peut pas se fonder sur les dispositions de l'article 17 du RGPD, le droit à la liberté d'expression et le droit à l'information y faisant obstacle, tandis que le droit d'opposition, sur le fondement de l'article 21, ne pourrait prospérer, le traitement de ses données reposant sur un motif légitime impérieux, et ne poursuivant aucune finalité de prospection commerciale.
Mme [C] soutient que le traitement de ses données étant illégal elle a, en tout état de cause, le droit de réclamer la suppression de la sa fiche GMB, les sociétés Google ne justifiant d'aucune des exceptions de l'article 17 du RGPD.
Sur ce, la cour,
L'article 17 du RGPD dispose que :
1. La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique :
a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière ;
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement ;
c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2 ;
d) les données à caractère personnel ont fait l'objet d'un traitement illicite ;
e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis ;
f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1.
2. Lorsqu'il a rendu publiques les données à caractère personnel et qu'il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en 'uvre, prend des mesures raisonnables, y compris d'ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l'effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci.
3. Les paragraphes 1 et 2 ne s'appliquent pas dans la mesure où ce traitement est nécessaire :
a) à l'exercice du droit à la liberté d'expression et d'information ;
b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
c) pour des motifs d'intérêt public dans le domaine de la santé publique, conformément à l'article 9, paragraphe 2, points h) et i), ainsi qu'à l'article 9, paragraphe 3 ;
d) à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ; ou
e) à la constatation, à l'exercice ou à la défense de droits en justice.
En l'espèce, le traitement des données personnelles de Mme [C], par la création et la mise en ligne de la fiche GMB, a été jugé illicite comme ne répondant pas aux exigences de l'article 6, paragraphe 1 du RGPD, de sorte que, sur le fondement du paragraphe 1, point d) de l'article 17 sus-cité, elle est fondée à en demander l'effacement.
Les sociétés Google invoquent, pour s'y opposer, l'exercice du droit à la liberté d'expression et d'information, soit le point a) du paragraphe 3 de l'article 17, aucune autre des exceptions n'étant à l'évidence invocable.
Or le droit à la liberté d'expression n'est ici pas compromis par le retrait de la fiche GMB de Mme [C], la publication d'avis sur les prestations d'un professionnel de santé ne relevant pas de la protection de cette liberté, particulièrement dans les conditions dans lesquelles lesdits avis sont émis ainsi qu'il a été rappelé ci-dessus, notamment en considération de l'anonymat possible de leurs auteurs et des contraintes auxquelles l'intimée est soumise pour pouvoir y répondre, compte tenu de sa profession.
Quant au droit à l'information, la publication de ces mêmes avis ne présente pas un caractère suffisamment impérieux pour l'information du public, au regard des droits de Mme [C] à protéger ses propres données, comme il a été dit ci-dessus. En effet, en l'absence de toute vérification des avis, la qualité et la sincérité de l'information délivrée n'est pas garantie.
La demande de suppression de la fiche GMB par Mme [C] est donc justifiée sur le seul fondement de l'article 17 du RGPD, sans qu'il soit nécessaire d'examiner les autres fondements invoqués, et c'est à juste titre que le tribunal y a fait droit.
Le délai d'exécution et l'astreinte prononcée seront également confirmés, étant précisé que la suppression a été faite en exécution du jugement déféré, assorti de l'exécution provisoire.
***
6. Sur la demande de dommages et intérêts :
Les sociétés Google soutiennent que Mme [C] ne peut prétendre à aucun dommages et intérêts dans la mesure où la création de la fiche GMB en elle-même ne lui a causé aucun préjudice, les avis publiés ne sont pas dénigrants et n'engagent que la seule responsabilité de leurs auteurs, aucun parasitisme n'est encore démontré, ni aucune autre faute lui ayant causé un préjudice.
Mme [C] soutient que la responsabilité des sociétés Google est engagée en leur qualité d'hébergeur des avis dénigrants dont le contenu est illicite et qui auraient dû être supprimés. Elle soutient encore que par l'utilisation commerciale totalement gratuite de ses données, les sociétés Google ont commis des actes parasitaires. Enfin, elle invoque la faute commise par les appelantes qui ne l'ont pas informée du traitement de ses données, l'ayant ainsi privée de son droit d'opposition avant que des avis négatifs soient publiés, obligée à surveiller le contenu de sa fiche et des avis, et à multiplier les démarches pour en obtenir le retrait. Elle se prévaut enfin de la responsabilité encourue sur le fondement des dispositions de l'article 82 du RGPD.
Sur ce, la cour,
En application de l'article 1240 du code civil, tout fait quelconque de l'homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé, à le réparer.
L'article 1241 du même code dispose que chacun est responsable du dommage qu'il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence.
Il appartient à celui qui entend engager la responsabilité d'autrui sur ce fondement de rapporter la preuve de la faute commise, du préjudice subi et du lien de causalité entre la faute et le préjudice.
a) Sur les avis négatifs :
Il résulte des pièces produites aux débats que 11 avis négatifs ont été publiés sur la fiche GMB de Mme [C], dont certains particulièrement virulents, dont le contenu a été pour partie rappelé par le jugement déféré.
Les propos de ces messages sont dénigrants, en ce qu'ils portent atteinte aux qualités professionnelles et à la probité même de Mme [C], particulièrement ceux publiés sous les noms de :
- [X] : « une femme abominable qui SUR FACTURE », « A boycotter absolument »
- [E] [B] : « il semblerait que cette praticienne soit adepte des faux commentaires 5 étoiles pour contrebalancer son manque de professionnalisme »
- [D] [A] : « pire professionnel jamais vu, ne mérite pas d'exercé. Arrogante et sans aucune forme empathie. Dommage qu'on ne puisse pas mettre 0 »
- BE lms : « pratique étrange et onéreuse pour chacun d'entre nous. Radio dès notre arrivée, sans avoir vu le patient ni savoir de quoi il souffre, incitation à contracter un crédit. Cela semble montrer une plus grande volonté de soulager les porte monnaies que les douleurs. La Sécurité Sociale (qui nous appartient à tous) devrait être attentive à ces pratiques »
- El.5hqiptar : « dentiste horrible juste nul aucune expérience vraiment n'y allez pas aucune personne n'est satisfaite ».
Si la publication des avis litigieux a été permise par la faute des sociétés Google en ce qu'elles ont créé, de manière illicite, la fiche GMB au nom de Mme [C], elles n'en sont pas les auteurs. Leur responsabilité ne peut donc être recherchée, en qualité d'hébergeur, sur le fondement du dénigrement qu'à la condition qu'elles aient illégitimement refusé de les retirer.
L'article 6-I-2 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN), dans sa rédaction applicable à la date du 27 novembre 2017 (date de la première demande de Mme [C] de suppression des avis) dispose que les personnes physiques ou morales qui assurent, même à titre gratuit, pour mise à disposition du public par des services de communication au public en ligne, le stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature fournis par des destinataires de ces services ne peuvent pas voir leur responsabilité civile engagée du fait des activités ou des informations stockées à la demande d'un destinataire de ces services si elles n'avaient pas effectivement connaissance de leur caractère illicite ou de faits et circonstances faisant apparaître ce caractère ou si, dès le moment où elles en ont eu cette connaissance, elles ont agi promptement pour retirer ces données ou en rendre l'accès impossible.
En l'espèce, il résulte des courriers successivement adressés par Mme [C], puis par son conseil, aux sociétés Google en 2017 et 2018 que ces dernières ont été informées des contenus de ces messages et de la demande de suppression expresse de ceux-ci, à tout le moins par le courrier du 9 juillet 2018 (pièce n° 7 de l'intimée).
Pour autant, si le contenu de ces messages apparaît dénigrant pour Mme [C], ils ne présentent pas un caractère manifestement illicite qui aurait dû conduire, d'initiative, les sociétés Google à les retirer, pas plus que celles-ci ne pouvaient l'être après leur signalement par le conseil de la demanderesse. En effet, si les propos tenus heurtent légitimement Mme [C] qui en est l'objet, l'absence de base factuelle de certains des avis publiés ne pouvait être décelée par les sociétés Google, étant rappelé que Mme [C] a été par ailleurs déboutée de sa demande en référé.
Leur responsabilité du fait du dénigrement résultant de ces avis ne peut donc être recherchée.
Il convient d'ajouter que Mme [C] ayant obtenu, après ordonnance rendue sur requête par le président du tribunal de grande instance de Chambéry le 25 septembre 2019 (pièce n° 34 de l'intimée), les données permettant l'identification des auteurs des messages litigieux, à l'exception de celles de « [E] [B] » hors Union européenne (dont l'avis a alors été supprimé par Google), le conseil de Mme [C] a contacté les auteurs en question (pièce n° 39), et trois des avis litigieux ont été supprimés.
Si elle a fait le choix de ne pas poursuivre plus avant d'action en responsabilité contre les auteurs (poursuites nécessitant des investigations supplémentaires coûteuses), elle ne peut toutefois en tenir les sociétés Google pour responsables.
Le tribunal ne peut donc être suivi en ce qu'il a retenu la responsabilité des sociétés Google sur le fondement du dénigrement.
b) Sur le parasitisme :
Le parasitisme se définit comme l'ensemble des comportements par lesquels un opérateur économique s'immisce dans le sillage d'un autre afin de tirer indûment profit de ses efforts, de son savoir faire, de la notoriété acquise ou des investissements consentis.
Il appartient à celui qui se prétend victime d'actes de parasitisme d'identifier la valeur économique individualisée qu'il invoque ainsi que la volonté d'un tiers de se placer dans son sillage (Com. 26 juin 2024, n° 23-13.535, publié).
En l'espèce, si les sociétés Google ont indûment créé la fiche GMB de Mme [C], pour autant, celle-ci n'identifie pas la valeur économique individualisée qu'elle invoque. En effet, ses titres de « docteur » et de « dentiste » n'ont pas en eux-mêmes une valeur économique, puisqu'ils servent à définir la profession exercée et ne sont utilisés qu'aux fins de son identification par le public, comme cela se fait dans un annuaire de professionnels.
Par ailleurs, quand bien même une utilisation commerciale des données de Mme [C] a été faite par les sociétés Google, il n'est pas démontré que cela aurait eu une quelconque influence négative sur son activité. En effet, Mme [C] ne produit aucun document de nature à démontrer qu'ensuite de la publication des avis négatifs, elle aurait perdu de la patientèle. Le préjudice n'est donc pas démontré, non plus que la valeur du profit tiré par les sociétés Google de l'utilisation des données de Mme [C].
A nouveau, le tribunal ne peut être suivi en ce qu'il a retenu la responsabilité des sociétés Google sur le fondement d'actes parasitaires.
c) Sur les autres fautes :
La création de la fiche GMB, incluant les avis litigieux a été jugée illicite, elle est donc fautive. Cette seule faute engage déjà la responsabilité des sociétés Google.
En outre, et ainsi qu'il a été dit ci-dessus, ces dernières ont également commis une faute en n'ayant pas fourni à Mme [C], dès la création de la fiche d'établissement professionnel, les informations requises par l'article 14 du RGPD, ni, antérieurement à son entrée en vigueur, par l'article 32 ancien de la loi informatique et libertés du 6 janvier 1978. Si ces informations ont été fournies ultérieurement, notamment dans le cadre de la présente instance, ce retard a nécessairement privé Mme [C] de la possibilité d'exercer son droit d'opposition au traitement de ses données, sur le fondement des dispositions de l'article 21 paragraphe 1 du RGPD, ou, antérieurement, sur celui de l'article 38 de la loi du 6 janvier 1978, avant la publication des avis négatifs, ou tout au moins dans un délai plus bref à compter de leur publication.
Cette faute engage la responsabilité des sociétés Google, étant souligné que, le traitement des données ayant été jugé illicite, les sociétés Google ne peuvent invoquer l'existence de motifs légitimes et impérieux qu'elles auraient pu faire valoir pour faire échec à cette opposition, le fondement même de l'intérêt légitime au sens de l'article 6, paragraphe 1, point f), n'ayant pas été retenu.
d) Sur le préjudice :
L'article 82 du RGPD dispose que, toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
Pour obtenir réparation, tant sur le fondement de ce texte que sur celui des dispositions des articles 1240 et 1241 du code civil, il appartient à Mme [C] de rapporter la preuve des préjudices qu'elle a subis en lien direct et certain avec les fautes retenues.
Si aucun préjudice économique n'est prouvé, il est amplement démontré que Mme [C] a été contrainte de multiplier les démarches, amiables puis judiciaires, pour finalement obtenir le retrait de sa fiche GMB. Elle a également subi un préjudice du fait d'avoir été privée de pouvoir exercer, en temps utile, son droit d'opposition tel que prévu par l'article 21 paragraphe 1 du RGPD.
En outre, Mme [C] a subi un préjudice moral du fait des avis négatifs invérifiables publiés sur sa fiche, sans avoir réussi à en obtenir amiablement le retrait malgré ses demandes répétées.
La suppression de la fiche GMB répare pour partie les préjudices subis, mais Mme [C] est fondée à obtenir l'allocation de dommages et intérêts pour les préjudices matériel et moral qu'elle a subis.
Les éléments produits justifient de lui allouer la somme de 10 000 euros à ce titre. Le jugement déféré sera réformé en ce sens.
***
7. Sur les demandes accessoires :
En application de l'article 696 du code de procédure civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n'en mette la totalité ou une fraction à la charge d'une autre partie.
Le jugement déféré sera confirmé en ce qu'il a condamné les sociétés Google LLC et Google Ireland Limited aux dépens, mais réformé en ce qu'il a également condamné la société Google France, mise hors de cause.
Les sociétés Google LLC et Google Ireland Limited, qui succombent en leur appel, en supporteront les entiers dépens, avec application des dispositions de l'article 699 du code de procédure civile au profit de l'avocat constitué pour Mme [C].
La société Google France sera dispensée du paiement de ces dépens, pour le même motif que précédemment.
En application de l'article 700 du code de procédure civile, le juge condamne la partie tenue aux dépens ou qui perd son procès à payer :
1° A l'autre partie la somme qu'il détermine, au titre des frais exposés et non compris dans les dépens ;
2° Et, le cas échéant, à l'avocat du bénéficiaire de l'aide juridictionnelle partielle ou totale une somme au titre des honoraires et frais, non compris dans les dépens, que le bénéficiaire de l'aide aurait exposés s'il n'avait pas eu cette aide. Dans ce cas, il est procédé comme il est dit aux alinéas 3 et 4 de l'article 37 de la loi n° 91-647 du 10 juillet 1991.
Dans tous les cas, le juge tient compte de l'équité ou de la situation économique de la partie condamnée. Il peut, même d'office, pour des raisons tirées des mêmes considérations, dire qu'il n'y a pas lieu à ces condamnations.
Les parties peuvent produire les justificatifs des sommes qu'elles demandent.
La somme allouée au titre du 2° ne peut être inférieure à la part contributive de l'Etat majorée de 50 %.
Le jugement déféré sera confirmé en ce qu'il a alloué à Mme [C] la somme de 20 000 euros sur ce fondement, sauf à préciser que seules les sociétés Google LLC et Google Ireland y sont tenues, in solidum.
La demande formée sur ce fondement par Mme [C], à l'égard de la société Google France, mise hors de cause, sera rejetée, tant pour la première instance que pour l'appel.
Mais en équité, il n'y a pas lieu de faire droit à la demande formée par la société Google France contre Mme [C] au titre des frais irrépétibles.
Enfin, il serait inéquitable de laisser à la charge de Mme [C] la totalité des frais exposés en appel, et non compris dans les dépens. Il convient en conséquence de condamner in solidum les sociétés Google LLC et Google Ireland Limited à lui payer la somme de 20 000 euros sur le fondement de l'article 700 du code de procédure civile.
Les sociétés Google LLC et Google Ireland Limited, qui succombent, seront déboutées de leur demande sur le même fondement.
PAR CES MOTIFS
La cour, après en avoir délibéré conformément à la loi, statuant publiquement, par arrêt contradictoire,
Confirme partiellement le jugement rendu par le tribunal judiciaire de Chambéry le 15 septembre 2022, mais statuant à nouveau sur le tout pour une meilleure compréhension de la décision,
Déclare irrecevables les demandes formées par Mme [O] [C] à l'encontre de la société Google France,
Dit que le traitement des données personnelles de Mme [O] [C], réalisé par les sociétés Google LLC et Google Ireland Limited par la création de sa fiche d'établissement professionnel « Google My Business » est illicite,
Condamne en tant que de besoin les sociétés Google LLC et Google Ireland Limited à supprimer la fiche d'établissement professionnel « Google My Business » (devenue depuis « Google Business Profile ») créée au nom de Mme [O] [C], dans un délai de deux mois à compter de la signification du présent arrêt, sous astreinte provisoire de 100 euros par jour de retard passé ce délai, pour une durée de six mois,
Rappelle que la suppression ci-dessus ordonnée a été exécutée ensuite du jugement déféré,
Condamne in solidum la société Google LLC et la société Google Ireland Limited à payer à Mme [O] [C] la somme de 10 000 euros à titre de dommages et intérêts en réparation de ses préjudices matériel et moral,
Déboute Mme [O] [C] du surplus de ses demandes indemnitaires,
Condamne in solidum la société Google LLC et la société Google Ireland Limited aux entiers dépens de première instance et d'appel, avec, pour ces derniers, application des dispositions de l'article 699 du code de procédure civile au profit de Me Jennifer Boulevard, avocat constitué de Mme [C],
Condamne in solidum la société Google LLC et la société Google Ireland Limited à payer à Mme [O] [C], sur le fondement des dispositions de l'article 700 du code de procédure civile, les sommes de :
- 20 000 euros au titre des frais exposés en première instance,
- 20 000 euros au titre des frais exposés en appel,
Déboute la société Google France, la société Google LLC et la société Google Ireland Limited de leurs demandes formées sur ce même fondement, tant pour la première instance que pour l'appel.
Ainsi prononcé publiquement le 22 mai 2025 par mise à disposition de l'arrêt au greffe de la Cour, les parties en ayant été préalablement avisées dans les conditions prévues au deuxième alinéa de l'article 450 du Code de Procédure Civile, et signé par Madame Alyette FOUCHARD, Conseillère faisant fonction de Présidente et Madame Sylvie LAVAL, Greffière pour le prononcé.
La Greffière La Présidente
