Dans un jugement du 15 septembre 2022, le Tribunal judiciaire de Chambéry s’est prononcé sur la demande d’une dentiste à l’encontre des sociétés Google visant à supprimer une fiche Google My Business, se basant notamment sur les dispositions du RGPD.
Contexte : le traitement de données à caractère personnel dans une fiche Google My Business
Dans cette affaire, une dentiste a découvert lors d’une recherche web l’existence d’une fiche Google My Business la concernant, créée sans son consentement. Cette page faisait apparaitre des données à caractère personnel, telles que son nom patronymique, son domicile ainsi que des avis clients et des commentaires d’internautes sur son activité professionnelle.
Le service Google My Business permet de faire apparaitre, lors d’une recherche sur internet, une fiche d’établissement affichant les informations concernant des propriétaires d’entreprises. Elle permet également aux tiers de laisser des avis et commentaires, tant positifs que négatifs, au professionnel concerné.
Suite au refus de Google de faire droit à sa demande de suppression des avis concernant son entreprise, la professionnelle de santé a assigné les sociétés Google devant le Tribunal de grande instance de Chambéry pour que soit reconnue la violation de ses droits sur le fondement du RGPD et pour voir supprimer une fiche Google My business.
Solution : La demande visant à supprimer une fiche Google My Business est légitime, le traitement de données ayant un but de prospection commerciale
Le caractère illicite du traitement des données dans le cadre du service Google My Business
En l’espèce, le Tribunal a fait droit à ses demandes et a condamné les sociétés Google à supprimer la fiche entreprise Google My Business.
Les juges ont rappelé que le traitement des données ne peut être licite que s’il remplit au moins une des six conditions de l’article 6 du RGPD, notamment s’il est effectué avec le consentement de la personne concernée ou encore si le traitement est rendu nécessaire en raison d’intérêts légitimes poursuivis par le responsable du traitement.
Concernant le consentement de la dentiste au traitement de ses données, cette condition faisait défaut selon la juridiction puisque les sociétés Google ne démontraient pas que l’intéressée avait consenti initialement au traitement de ses données qui avaient été recueillies par Orange dans le cadre d’un abonnement téléphonique. Or, les sociétés Google avaient récupéré les informations indiquées dans la fiche Google My Business indirectement auprès d’Orange. Pas de preuve de consentement donc.
Concernant le fait que le traitement des données serait nécessaire aux fins des intérêts légitimes des sociétés Google au traitement des données, cette condition faisait également, selon les juges, défaut. En effet les sociétés Google soutenaient que le traitement opéré était nécessaire en raison de l’intérêt légitime étant de permettre « l’accès rapide des internautes à une information primordiale en matière de santé, notamment en cas d’urgence médicale » et la liberté d’expression. Le Tribunal a reconnu que, même si la diffusion seule de la fiche Google My Business poursuivait bel et bien un objectif informatif, la diffusion de la fiche couplée aux avis clients constituait en réalité une prospection commerciale visant à inciter les professionnels à recourir à ce service, notamment pour gérer les avis postés.
Les juges retiennent donc une finalité commerciale cachée et non pas une finalité informative, dans des termes sévères : « C’est […] de parfaite mauvaise foi que les défenderesses prétendent que le traitement réalisé dans le cadre de la publication de la fiche entreprise est décorrélé des actes de prospection commerciale auxquels elles se livrent ».
De plus, pour que le droit à l’information du public constitue un intérêt légitime, encore faut-il, selon le Tribunal, que la source des informations soit fiable et identifiable. Or, il retient que les sociétés Google n’ont mis en place aucune mesure permettant d’identifier la source de l’information et de vérifier sa fiabilité, à savoir en l’espèce les commentaires laissés par les internautes, qui prennent parfois le soin d’anonymiser leur compte lorsqu’ils laissent un avis négatif. Dans ce cas, il est très compliqué de savoir qui est derrière un tel avis négatif.
Le Tribunal a également retenu que ce traitement de données ne respectait pas non plus les principes de loyauté et de transparence en ce que les sociétés Google n’informaient notamment pas les professionnels du traitement de leurs données, des risques associés ou encore des éventuels droits et garanties dont ils disposeraient.
Le droit de la personne concernée de s’opposer au traitement de ses données dans une fiche Google My Business
La personne concernée par un traitement de données à caractère personnel dispose d’un droit d’opposition au traitement de ses données, notamment lorsqu’il est réalisé à des fins de prospection et de profilage. En vertu de ce droit, le responsable de traitement doit cesser le traitement des données, à moins qu’il ne justifie de motifs légitimes et impérieux qui prévalent sur les intérêts et les droits et libertés de la personne concernée.
Le Tribunal a ici retenu, dans le sens de ce que soutenait la demanderesse à l’action, que cette dernière était légitime en sa demande, que ses données étaient « utilisées pour évaluer certains aspects personnels et notamment pour analyser des éléments concernant son rendement au travail, le rendement au travail étant entendu comme sa capacité à bien soigner ses patients, sa compétence sa fiabilité et son comportement », donc du profilage. Or, si les données collectées ne sont pas exactes (ce qui peut être le cas au vu du peu de garanties données sur la fiabilité des avis), le profilage non plus, ce qui peut avoir de graves conséquences pour la personne concernée, surtout si l’objectif poursuivi est comme ici la prospection commerciale.
Le Tribunal a donc condamné les société Google à supprimer une fiche Google My Business.
En synthèse, une personne peut demander à supprimer un fiche Google My Business, en se basant notamment sur le RGPD, le traitement de données opéré sans consentement l’étant à titre de prospection commerciale et ne répondant pas à un intérêt légitime.
Vous souhaitez en savoir plus sur ce sujet, un avocat RGPD du cabinet SOLVOXIA se tient à votre disposition.