L’Essentiel : Un professionnel de santé a tenté sans succès de faire supprimer sa fiche sur Google My Business, arguant que les données le concernant constituaient une atteinte à sa vie privée. Cependant, ces informations, telles que son nom, son adresse et ses horaires, sont considérées comme des données personnelles mais non sensibles, car elles relèvent de son activité professionnelle. De plus, elles sont accessibles publiquement et leur divulgation est exigée par la loi. La décision souligne que le droit à la protection des données doit être mis en balance avec la liberté d’expression et d’information, notamment dans le cadre des avis en ligne.

C’est à nouveau sans succès qu’un professionnel (chirurgien-dentiste) a tenté de faire supprimer sa fiche professionnelle (et les notations et commentaires associés) de Google My Business.

Donnée professionnelle, une donnée personnelle

L’article 8, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne dispose que toute personne a droit à la protection des données à caractère personnel la concernant.

Le Règlement Général sur la Protection des Données (RGPD) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016, entré en vigueur le 25 mai 2018, ainsi que la loi relative à l’informatique, aux fichiers, et aux libertés dans ses diverses versions visent à assurer le respect de ce droit fondamental.

Il n’est toutefois pas absolu, comme le précise le préambule du RGPD: « il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ».

Il est étroitement lié au droit au respect de la vie privée et doit être mis en balance avec la liberté d’expression et d’information notamment.

En l’espèce, les informations mises en ligne dans la fiche du professionnel portaient sur son nom, ses prénoms, l’adresse de son lieu d’exercice professionnel, son numéro de téléphone professionnel et les horaires d’ouverture de son cabinet dentaire.

Elles sont incontestablement des données à caractère personnel.

Données personnelles hors de la vie privée

Pour autant, ces données ne relèvent pas de la sphère privée en ce que, d’une part, elles portent uniquement sur des aspects élémentaires de son activité professionnelle qui ne présentent pas de caractère spécifique de sensibilité.

D’autre part, elles sont publiques et accessibles par ailleurs, notamment grâce à des démarches entreprises par le professionnel lui-même. Il s’en évince que ce dernier n’a pas d’intérêt à la conservation d’un quelconque secret autour de ces informations et qu’il pouvait raisonnablement s’attendre à ce qu’elles soient susceptibles d’être recherchées sur internet.

Les données litigieuses étaient disponibles sur son site web et figuraient dans des annuaires universels des abonnés téléphoniques dont les Pages Jaunes, outre dans plusieurs annuaires médicaux spécialisés et notamment Doctolib.

Enfin, les données litigieuses sont nécessairement dans le domaine public dès lors que leur publicité est exigée par la loi, au sein du Répertoire des entreprises et de leurs établissements (SIRÈNE) et du Répertoire partagé des professionnels de santé (RPPS).

Mode de collecte licite

Il était justifié par la société Google des modalités de la collecte de ces données : la ligne téléphonique du professionnel est gérée par la société ORANGE qui en a vendu les coordonnées à la société INFOBEL dans les conditions prévues par l’article L.34 du code des postes et télécommunications, ce, selon les stipulations du contrat passé avec l’opérateur de téléphonie. Par la suite, la société INFOBEL a transmis ces données à la société Google.

Au demeurant, l’éventuelle faute des sociétés ORANGE et INFOBEL dans la communication de ces données ne saurait permettre de caractériser une faute de la société Google.

Absence de profilage

Ainsi, la violation alléguée en demande des dispositions légales relatives à la collecte de ses données n’était pas démontrée, ce d’autant que la société Google ne réalise pas de profilage au sens du RGPD. En effet, elle n’opère pas de traitement des informations rassemblées dans la fiche professionnelle, qui viseraient à évaluer des caractéristiques individuelles de la personne concernée, mais se borne à afficher ces données de façon « neutre ». Et le fait que les internautes puissent porter des appréciations à son encontre dans des avis importe peu car celles-ci ne reposent pas sur un traitement automatisé des données recueillies par la société Google : elles ne reflètent que l’opinion subjective exprimée par son auteur.

Par conséquent, la fiche professionnelle Google ne portait pas atteinte au droit fondamental à la protection des données à caractère personnel du professionnel.

Liberté d’information professionnelle et finalités explicites

En tout état de cause, l’impact éventuel de cette fiche sur la jouissance du droit au respect des données personnelles est faible et ne saurait prévaloir sur la liberté d’expression et d’information de la société Google et des internautes, qui est garantie par l’article 10 de la Convention européenne de sauvegarde des Droits de l’Homme.

Les finalités de la fiche Google du professionnel consistent justement dans la mise à disposition gratuite des internautes des informations élémentaires relatives à l’exercice de sa profession, à savoir notamment ses coordonnées pour le contacter et le localiser, et dans la constitution d’un forum potentiel pour ses patients désirant «poster » des avis sur leur expérience.

Ces finalités sont donc déterminées et explicites conformément aux exigences de la loi de 1978 dans sa version antérieure à l’ordonnance de 2018 comme modifiée par ce texte (respectivement les articles 6 et 4), et par l’article 5 1 b) du RGPD.

Si la finalité d’une fiche professionnelle n’est pas illégitime pour le motif de prospection commerciale, il apparaît en outre que le traitement opéré par la société Google poursuit en réalité des finalités légitimes au sens de l’article 6, paragraphe 1, sous f) du RGPD (« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: (…) f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »), et ce, en proposant un accès rapide à des informations pratiques sur les professionnels de santé aux internautes.

Dans ces conditions, et compte tenu du fait que les informations en cause (nom, adresse, numéros de téléphone …) permettent d’identifier le cabinet du professionnel sans confusion possible avec un autre professionnel, Google a soutenu avec succès qu’elle opérait un traitement de données utiles, pertinentes, adéquates et non-excessives par rapport aux finalités poursuivies au sens de l’article 5, 1er paragraphe du RGPD. La légitimité globale de la fonctionnalité permettant le recueil et la publication des avis induit, en outre, que la pertinence, l’adéquation ou le caractère excessif des données figurant isolément dans certains avis importent peu.

Quid des avis en ligne sur les fiches des professionnels?

S’agissant plus précisément des avis en ligne, la légitimité de cette pratique en ce qu’elle constitue une des principales sources d’information des utilisateurs est admise par le législateur qui lui a conféré un cadre juridique avec la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique.

Faire d’un professionnel le sujet d’un forum sur lequel les internautes donnent leurs avis, relève d’une finalité d’information du consommateur qui est légitime, dès lors que ce dernier dispose de moyens de protection des droits de la personnalité contre d’éventuelles dérives tenant à des propos dépassant les limites admissibles de la liberté d’expression.

Il dispose en effet de la possibilité d’engager une action en référé à l’encontre de Google aux fins de suppression d’avis, une action en référé ou au fond à l’encontre de l’internaute aux fins de suppression d’avis et d’obtention d’une indemnité sur le fondement de la loi du 29 juillet 1881 ou du dénigrement sur le fondement de l’article 1240 du code civil contre les internautes qui porteraient atteinte à son honneur ou à sa réputation ou qui publierait une critique excessive et fautive de ses services, ou de déposer une plainte avec constitution de partie civile pour diffamation ou injure.

Au surplus, la société Google a démontré que le traitement qu’elle effectue dans le cadre de la publication des fiches professionnelles est entouré de précautions propres à prévenir et corriger les risques d’atteinte aux intérêts légitimes des professionnels visés. Ainsi, les professionnels peuvent signaler un avis inapproprié ou illicite, au moyen d’une notification à partir du sigle situé à proximité de chaque avis (« Signaler un contenu inapproprié ») ou d’une requête motivée à partir de la rubrique « Signaler un autre problème d’ordre légal relatif à la suppression » de la page « Aide Demandes légales » du site Google.

La suppression définitive d’une fiche professionnelle ou le maintien de sa suppression, parce qu’elle contient des avis possiblement attentatoires aux droits d’un professionnel, contreviendrait au principe de la liberté d’expression, alors même qu’il lui est loisible d’agir spécifiquement contre les personnes à l’origine d’avis qu’il estimerait contraires à ses droits.

L’existence d’un possible dénigrement dans les avis d’internautes ne permet pas de caractériser de faute de négligence de la part de Google telle qu’alléguée en demande sur le fondement de l’article 1241 du code civil.

Droit d’opposition des professionnels

Les conditions d’exercice du droit d’opposition sur un traitement de données personnelles sont fixées par les articles 21 (« Droit d’opposition») et 17 (« Droit à l’effacement («droit à l’oubli») ») du RGPD.

Ainsi, l’opposition de la personne concernée ne peut prospérer que s’il existe des « raisons tenant à sa situation particulière » de nature à renverser en sa faveur la pondération entre le droit à la protection de ses données à caractère personnel et les intérêts légitimes du responsable de traitement, et en cas de traitement des données à des fins de prospection, hypothèse d’ores et déjà écartée ci-dessus.

Par ailleurs, le paragraphe 3 de l’article 17 prévoit expressément que la personne qui s’oppose au traitement de ses données n’est pas fondée à en exiger l’effacement lorsque celui-ci est « nécessaire à l’exercice du droit à la liberté d’expression et d’information ».

Or, tel est bien le cas en l’espèce, étant encore souligné que les informations en cause sont pour la plupart des informations dont la loi exige la publicité, qu’il est important que les professionnels de santé soient facilement localisables et que les avis des internautes peuvent permettre de rassembler une information pertinente selon la CNIL.

En outre, un professionnel de santé ne peut valablement faire état, au titre de sa situation particulière, de l’interdiction de la publicité faite aux médecins puisqu’il n’est pas à l’initiative de la fiche professionnelle qui n’a pas de finalité promotionnelle mais informative, les informations concernées figurant d’ailleurs sur son propre site internet.

Il ne peut pas plus se prévaloir du fait que l’existence de la fiche litigieuse contreviendrait au secret médical qui ne lie pas les patients eux-mêmes, l’article 4 du code de déontologie médicale disposant que le secret professionnel est « institué dans l’intérêt des patients ». Il a ensuite la possibilité de répondre au seul auteur de l’avis, sans rendre son commentaire public.

L’inconvénient lié au temps consacré à la surveillance des avis de consommateurs ne saurait justifier le prononcé d’une mesure radicale de suppression ou d’interdiction d’un espace d’expression, étant là encore souligné que les avis publiés au cas présent étaient majoritairement positifs.

L’argument tenant à une augmentation de clientèle non désirée n’est pas non plus pertinent, dès lors qu’il lui est loisible de gérer ses rendez-vous et qu’il a fait le choix d’être visible en ayant un site internet.

Enfin, le professionnel ne prouvait pas que les données des fiches professionnelles des entreprises françaises en général et de la sienne en particulier, ainsi que les données à caractère personnel des auteurs des avis y étant relatifs seraient stockées « aux Etats-Unis sur le fondement de la « Privacy Shield ». Selon Google, ces données sont habituellement stockées sur des serveurs européens. Même si pour des raisons techniques, ces données devaient être amenées à être dupliquées dans d’autres pays, Google a mis en place des clauses contractuelles type qui octroient des garanties suffisantes qui ont été approuvées par la Commission européenne.

Q/R juridiques soulevées :

Pourquoi un chirurgien-dentiste a-t-il tenté de supprimer sa fiche professionnelle de Google My Business ?

Le chirurgien-dentiste a tenté de faire supprimer sa fiche professionnelle de Google My Business en raison des notations et commentaires associés qui, selon lui, portaient atteinte à sa réputation. Cette démarche s’inscrit dans un contexte où la protection des données personnelles est un droit fondamental, comme le stipule l’article 8 de la Charte des droits fondamentaux de l’Union européenne. Cependant, la demande de suppression a été jugée sans succès, car les informations contenues dans la fiche étaient considérées comme des données à caractère personnel, mais également comme des données publiques, accessibles par d’autres moyens.

Quelles sont les implications du RGPD concernant les données personnelles ?

Le Règlement Général sur la Protection des Données (RGPD) vise à protéger les données personnelles des individus. Il est entré en vigueur le 25 mai 2018 et impose des obligations aux responsables de traitement de données. Cependant, le RGPD précise que le droit à la protection des données n’est pas absolu. Il doit être mis en balance avec d’autres droits fondamentaux, comme la liberté d’expression et d’information. Dans le cas du chirurgien-dentiste, les informations sur sa fiche professionnelle, bien qu’elles soient des données personnelles, étaient également considérées comme des informations publiques, ce qui a influencé la décision de ne pas supprimer la fiche.

Comment les données du professionnel étaient-elles accessibles au public ?

Les données du professionnel, telles que son nom, son adresse, son numéro de téléphone et ses horaires d’ouverture, étaient accessibles au public par plusieurs canaux. Ces informations figuraient sur son propre site web, dans des annuaires téléphoniques comme les Pages Jaunes, ainsi que dans des annuaires médicaux spécialisés tels que Doctolib. De plus, la loi exige la publicité de certaines informations professionnelles, ce qui renforce leur caractère public. Cela signifie que le professionnel ne pouvait raisonnablement s’attendre à ce que ces informations restent secrètes.

Quelles sont les justifications de Google concernant la collecte des données ?

Google a justifié la collecte des données en expliquant que la ligne téléphonique du professionnel était gérée par la société ORANGE, qui a vendu les coordonnées à INFOBEL, conformément à la législation en vigueur. INFOBEL a ensuite transmis ces données à Google, ce qui signifie que la collecte était effectuée dans un cadre légal. Il est important de noter que toute éventuelle faute des sociétés ORANGE et INFOBEL ne saurait engager la responsabilité de Google, car cette dernière ne fait que publier les données reçues.

Comment Google traite-t-il les avis en ligne sur les fiches professionnelles ?

Google permet aux internautes de laisser des avis sur les fiches professionnelles, ce qui constitue une source d’information importante pour les consommateurs. Cette pratique est encadrée par la loi n° 2016-1321 du 7 octobre 2016, qui vise à protéger les droits des consommateurs tout en respectant la liberté d’expression. Les professionnels ont la possibilité de signaler des avis inappropriés ou illicites, et peuvent engager des actions légales contre les internautes en cas de diffamation ou de dénigrement.

Quelles sont les conditions d’exercice du droit d’opposition selon le RGPD ?

Le droit d’opposition au traitement des données personnelles est encadré par les articles 21 et 17 du RGPD. Pour qu’une opposition soit recevable, il doit exister des raisons tenant à la situation particulière de la personne concernée, qui justifient la prévalence de ses droits sur les intérêts légitimes du responsable du traitement. Dans le cas du professionnel de santé, il n’a pas pu démontrer que sa situation justifiait une telle opposition, car les informations en question étaient principalement publiques et nécessaires à l’exercice de sa profession.