GOOGLE MY BUSINESS, la saga continue …

Les données publiques sont-elles protégées comme des données à caractère personnel? Deux ordonnances de référé de juillet 2019 reviennent sur les fiches professionnelles proposées par le service GOOGLE MY BUSINESS.

 

Le service GOOGLE MY BUSINESS continue de faire parler de lui devant les tribunaux.

Tout a commencé par une décision en référé du 6 avril 2018 que nous avions commentée et qui avait conclu à l’illicéité du traitement de données opéré par la société GOOGLE. Pour mémoire, Monsieur X., dentiste, avait découvert que sa fiche GOOGLE MY BUSINESS présentait à son égard des avis négatifs déposés par des tiers.

Monsieur X., exerçant sa profession à titre individuel, considérait que le nom de son cabinet dentaire (identique à son patronyme) et ses autres données d’identification, étaient des données à caractère personnel et, qu’à ce titre, la loi « informatique et libertés » pouvait lui permettre d’obtenir la suppression de sa fiche.

Le Tribunal de grande instance de Paris statuant en référé avait fait droit à la demande de M. X en ordonnant la suppression de sa fiche GOOGLE MY BUSINESS, sur le fondement du droit à la protection des données à caractère personnel.

Depuis cette décision, deux ordonnances de référé ont été rendues.

La première est une décision du Tribunal de grande instance de Paris du 11 juillet 2019 et la seconde est une décision du Tribunal de grande instance de Metz du 16 juillet 2019.

Ces deux décisions ont toutes deux pris le contre-pied de l’ordonnance du 6 avril 2018.

Il s’agissait dans les deux affaires de médecins demandant à GOOGLE la suppression de leur fiche GOOGLE MY BUSINESS au motif que les avis négatifs publiés par les internautes leur causait un préjudice.

Contrairement à la décision de 2018, les juges n’ont pas estimé que le service GOOGLE MY BUSINESS était un traitement de données « manifestement » illicite dans la mesure où les données étaient des données publiques (I).

L’autre aspect intéressant de ces décisions réside dans la balance faite par les juges entre d’un côté le droit des données à caractère personnel et de l’autre la liberté d’expression (II).

I. Le traitement de données opéré par GOOGLE MY BUSINESS ne constitue pas un trouble manifestement illicite

A titre liminaire il convient de rappeler que GOOGLE MY BUSINESS permet aux entreprises et professionnels, au moyen de son moteur de recherche, d’apparaître dans la liste des résultats ou dans un encadré spécifique sur le côté, en affichant une fiche d’identité de l’entreprise recherchée (nom, adresse, téléphone, horaires d’ouverture, adresse du site web, etc.). Les utilisateurs munis d’un compte Google peuvent également poster un avis sur le professionnel concerné.

Cette fiche peut être créée soit à l’initiative du professionnel (qui adhère au service), soit directement à l’initiative de GOOGLE (à partir de bases de données publiques).

Rappelons que conformément au RGPD[1], un traitement de données ne sera licite que s’il repose sur une base légale[2]. En l’espèce, les juges des référés considèrent que les internautes ont un intérêt légitime à avoir accès aux avis d’autres consommateurs.

Néanmoins, si le traitement peur s’avérer licite via sa base légale, la collecte peut de son côté être illicite si elle est opérée en violation des prescriptions légales.

Selon l’article 14 du RGPD (collecte indirecte), le responsable de traitement qui collecte des données auprès de tiers, doit informer les personnes concernées de la collecte de leurs données et des modalités de leur traitement[3].

Si le responsable de traitement est dispensé d’une telle information dans certains cas et notamment dans le cas où la fourniture de cette information exigerait « des efforts disproportionnés », le juge des référés de Paris aurait dû rechercher si les conditions de mise en œuvre de cette exception étaient effectivement réunies.

Pourtant, le juge des référés de Paris (dans l’affaire où les données du médecin ont été collectées par le biais d’annuaires publiques en ligne) se contente d’affirmer que, si ces données constituent des données à caractère personnel, elles ne relèvent pas de la sphère privée et sont « dans le domaine public. »

Pour le juge de Metz, les données à caractère personnel sont « disponibles à tous par le biais d’annuaires en ligne ». Que par conséquent, le demandeur ne démontre pas l’existence d’une faute de la part de GOOGLE dans l’utilisation de ces données, « librement mises à la disposition de chacun de sorte qu’aucune atteinte au droit des données personnelles ou de la vie privée n’apparaît constitué ».

Selon nous, un débat au fond sur la régularité de la collecte et le respect du droit à la transparence pourrait ne pas aboutir au même résultat.

II. Le droit à la protection de ses données doit être mis en balance avec d’autres intérêts fondamentaux

Les juges opèrent à juste titre une mise en balance entre le droit à la protection des données personnelles des professionnels détenant une fiche GOOGLE MY BUSINESS et les droits et libertés des internautes. Ainsi, le droit à la protection des données personnelles ne peut être exercé qu’en respectant également la liberté d’expression des internautes (A) et leur droit à la vie privée (B).

A. Le droit à la protection des données personnelles doit être tempéré par le droit à la liberté d’expression

L’article 17 §3 du RGPD précise que le droit à l’effacement (droit à l’oubli) ne s’applique pas lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information.

En l’espèce, les deux professionnels se plaignaient de ce que certains avis laissés sur leur fiche GOOGLE MY BUSINESS leurs portaient préjudice et se fondaient sur ce préjudice pour demander l’effacement de leur fiche GOOGLE MY BUSINESS ou, à tout le moins, des avis qu’ils estimaient injurieux ou diffamatoires.

Les tribunaux ont, pour la plupart des commentaires, rejeté la qualification d’injure et de diffamation au motif que ces avis consistaient en des appréciations critiques et subjectives des qualités des professionnels en cause.

Un des commentaires a néanmoins été jugé outrageant, mais GOOGLE avait pris soin de le supprimer avant l’audience.

Pour le Tribunal de Paris, la suppression pure et simple de la fiche de la demanderesse contreviendrait à la liberté d’expression, alors même qu’il lui est loisible d’agir spécifiquement contre les personnes à l’origine d’avis qu’elle estimerait contraire(s) à ses droits.

Pour le Tribunal de Metz, « il appartient au libre jeu de l’usage des systèmes de notation et d’avis sur internet de faire l’objet tant de commentaires négatifs que positifs afin d’offrir une vision objective du praticien par des avis des patients antérieurs de celui-ci ».

B. Le droit à la protection des données à caractère personnel doit être tempéré par le droit à la vie privée des internautes

Dans l’affaire qui occupait le Tribunal de Metz, le professionnel, médecin psychiatre, sollicitait la levée de l’anonymat des personnes auteurs des avis négatifs à son sujet et demandait que GOOGLE lui livre tout élément technique (type d’abonnement, lieu, durée de connexion, adresse IP) et administratif (nom, prénom adresse, téléphone, fax, email) permettant l’identification des personnes ayant rédigé les avis litigieux afin de (i) s’assurer que les avis étaient bien déposés par des patients, (ii) obtenir la suppression de leurs commentaires et (iii) éventuellement agir contre eux sur le plan judiciaire.

La question qui se posait au Tribunal était donc de savoir si la préservation de la réputation du praticien, par la suppression des commentaires désobligeants à son égard, prévalait sur la vie privée des utilisateurs GOOGLE qui témoignaient sous couvert d’anonymat. Cette question est d’autant plus intéressante qu’elle intervient à un moment où l’anonymat sur internet fait débat, au point même de faire l’objet d’une proposition de loi[4].

Le juge des référés de Metz précise qu’il « n’apparaît pas justifié de forcer à la suppression de commentaires négatifs, par des moyens attentatoires à la vie privée dans le but de préserver la réputation d’un praticien ».

Le Tribunal semble également donner son avis sur la question de la levée de l’anonymat sur internet et être très critique à l’encontre du praticien puisqu’il ajoute que les avis négatifs peuvent être contrebalancés par des avis positifs ou encore que le praticien puisse solliciter la suppression de son référencement par le moteur de recherche s’il « n’admet pas le libre jeu des commentaires à son égard ». Enfin, il estime qu’une action judiciaire à l’encontre des auteurs des avis litigieux ne serait pas de nature à préserver une image professionnelle du praticien, en particulier un psychiatre lié par le secret professionnel.

Cette décision peut surprendre dans la mesure où le médecin doutait que les avis publiés proviennent véritablement de patients ayant eu recourt à son expertise et sollicitait justement la levée de l’anonymat pour vérifier l’identité de ces personnes. Si les commentaires provenaient par exemple de confrères malveillants, il pourrait demander légitimement la suppression de ces commentaires et agir à leur encontre sur le fondement du dénigrement ou de la concurrence déloyale.

A contrario, le juge des référés de Paris a ordonné à GOOGLE de communiquer sous 10 jours, les noms, prénoms, emails et n° de téléphone, ainsi que les adresses IP des personnes ayant rédigé les commentaires, estimant que la personne avait un intérêt légitime si elle souhaitait engager des poursuites contre les auteurs des avis.

Si ces décisions sont plutôt favorables à GOOGLE MY BUSINESS, il faut garder à l’esprit qu’il ne s’agit que de décisions de référé et qu’il convient d’attendre qu’une cour d’appel ou qu’un tribunal de grande instance se prononce au fond pour obtenir une véritable analyse de la licéité de ce service.

Charlotte GALICHET

Sophie RENAUDIN

[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données

[2] La base légale d’un traitement peut être : le consentement, l’exécution d‘un contrat ou de mesures pré-contractuelles, le respect d’une obligation légale, la sauvegarde des intérêts vitaux d’une personne, l’exécution d’une mission d’intérêt public, l’intérêt légitime poursuivi par le responsable de traitement ou par un tiers à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée (article 6 du RGPD).

[3] le responsable de traitement doit fournir aux personnes concernées son identité et ses coordonnées, les finalités des traitements opérés, les catégories de données traitées, les destinataires de ces données, le cas échéant l’existence de transfert des données à l’étranger, les durées de conservation, les droits des personnes concernées, la source d’où proviennent les données traitées.

[4] http://www.assemblee-nationale.fr/dyn/15/dossiers/lutte_contre_haine_internet

Bookmark the permalink.

Comments are closed