EXTRAIT DES MINUTES

SECRETARIAT – GREFFE du TRIBUNAL JUDICIAIRE MINUTE : 22/656

DOSSIER : N° RG 19/01427 – N° Portalis DB2P-W-B7D-DU6P – Département de la Savoie REPUBLIQUE FRANÇAISE AU NOM DU PEUPLE FRANÇAIS

TRIBUNAL JUDICIAIRE

DE CHAMBERY

CHAMBRE CIVILE

JUGEMENT

RENDU LE 15 SEPTEMBRE 2022

DEMANDERESSE :
Madame Z X née le […] à […], demeurant […]

Représentée par M^e Jennifer BOULEVARD, avocat postulante au barreau de CHAMBERY et par M^e Arnaud DIMEGLIO, avocat plaidant au barreau de MONTPELLIER

DEFENDERESSES:

La société GOOGLE FRANCE, SARL unipersonnelle immatriculée au RCS de PARIS sous le n° 443.061.841, dont le siège social est sis […], prise en la personne de ses représentants légaux domiciliés en cette qualité audit siège

La société GOOGLE LLC, société de droit de l’Etat du Delaware (Etats-Unis d’Amérique), dont le siège social est sis 1600 Amphitéâtre Parkway – Mountain View CA 94043 CA- ETATS-UNIS D’AMERIQUE, prise en la personne de ses

-

représentants légaux domiciliés en cette qualité audit siège

La société GOOGLE IRELAND LIMITED, société enregistrée en Irlande sous le n° 368047, dont le siège social est […], prise en la personne de ses représentants légaux domiciliés en cette qualité audit siège

Toutes trois représentées par Maître Catherine CHAT de la SCP PEREZ ET CHAT, avocats postulants au barreau de CHAMBERY et par Maître Alexandra NERI et Maître Sébastien Proust du Cabinet HERBERT SMITH FREEHILIS PARIS LLP, avocats plaidants au barreau de PARIS

COMPOSITION DU TRIBUNAL :

PRESIDENT: Madame Céline PAYEN statuant à JUGE UNIQUE, en application des dispositions des articles 801 et suivants du Code de procédure civile, avis ayant été donné aux avocats constitués.

Avec l’assistance de Madame Chantal FORRAY Greffière, lors des débats et de
Madame Amélie DEGEORGES, Greffière lors du prononcé.

---

DEBATS:

A l’audience publique du 03 Mars 2022, l’affaire a été débattue et mise en délibéré. A l’issue des débats, le Président a, conformément aux dispositions de l’article 450al2 du Code de procédure civile, indiqué que le jugement serait prononcé par sa mise à disposition au greffe de la juridiction à la date du 02 juin 2022. Les conseils des parties ont ensuite été avisés de ce que la date de prononcé du jugement par mise à disposition au greffe était prorogée au 15 Septembre 2022.

EXPOSE DU LITIGE

Madame Z X exerce la profession de dentiste.

En tapant son nom dans le moteur de recherche Google en 2017, elle a découvert l’existence d’une fiche « google my business » la concernant, faisant apparaître son nom patronymique, son domicile outre une notation et des avis liés à son activité professionnelle.

Par courrier en date du 27 novembre 2017, Madame Z X a mis en demeure la SARL GOOGLE FRANCE de supprimer tous les avis Y la concernant et de supprimer la fonction « avis » de sa fiche.

Par courrier en date du 08 décembre 2017, la SARL GOOGLE FRANCE a refusé de faire droit à ces demandes.

Par courrier en date du 09 juillet 2018, Madame Z X a mis en demeure les sociétés GOOGLE LLC et GOOGLE FRANCE de supprimer sa fiche « Google my business », en ce compris toutes les informations, avis et fonctions contenues dans cette dernière ».

Par courrier en réponse du 17 juillet, la société GOOGLE LLC a refusé de faire droit à cette demande.

Par Ordonnance en date du 12 avril 2019, le juge des référés du tribunal de grande instance de Paris, saisi par Madame Z X a jugé qu’il n’était pas évident que la fiche « Google my business » ait une finalité commerciale et a refusé de faire droit aux demandes de Madame Z X.

Suivant exploit d’huissier en date du 03 septembre 2019, Madame Z X a fait assigner la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED devant le tribunal de grande instance de Chambéry.

Dans ses conclusions notifiées le 21 septembre 2021 par RPVA, Madame Z X demande au tribunal, au visa des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, 1, 2, 6, 7, 22, 32, 38, 40 et 67 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés (version antérieure à l’Ordonnance du 12 décembre 2018), 4, 5, 6, 7, 13, 14, 17, 21, 35, 82 du Règlement européen n° 2016/679 du 27 avril 2016 sur la protection des données personnelles, 1, 2, 4, 5, 48, 51, 56 et 80 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés (version postérieure à l’Ordonnance du 12 décembre 2018), 111-7-2, et D 111-17 du Code de la consommation, L. 34-5 du Code des postes et des communications électroniques, 9, 1240 et 1241 du Code civil, de :

SUR LA PROTECTION DES DONNEES PERSONNELLES

- juger que la fiche « GOOGLE MY BUSINESS » de M^me Z X constitue un traitement automatisé de ses données personnelles ayant pour finalité sa prospection commerciale, au moyen de son profilage,

- juger que les sociétés Y ont manqué à leur obligation de :

o Collecte loyale et licite, en raison d’une collecte des données de Mme

X effectuée auprès de la société ORANGE et INFOBEL, sans son information préalable, 0 Transparence du traitement de ses données, en raison du caractère particulièrement obscur du traitement quant à son objet, sa finalité, et l’identité des personnes responsables,

o Finalité déterminée du traitement, en raison de l’absence d’information explicite de M^me X sur la finalité du traitement de ses données,

o Finalité légitime du traitement, en raison du fait : que le traitement est effectué à des fins de prospection commerciale, alors que M^me X exerce une profession réglementée lui interdisant de faire de la publicité, qu’il a pour objet des données de santé alors que M^me X, tenue au secret médical, ne peut répondre publiquement à des patients, que toute personne, même n’ayant pas eu d’expérience de consommation avec elle, peut l’évaluer, la noter, et accéder à sa fiche,

- qu’il existe une réglementation spécifique dans le Code de la santé publique concernant la diffusion de l’identité des professionnels de santé, laquelle exclut l’exploitation de ses données par une société privée telle que GOOGLE,

o Minimisation du traitement des données, en raison de : L’absence de limitation dans la diffusion de la fiche

L’absence de limitation dans le contenu de la fiche

L’absence de limitation dans la notation et l’évaluation

o Limitation de la durée de conservation des données, en raison de : L’absence de limitation dans la durée de ision de la fiche

-

L’absence de limitation dans la durée de diffusion des notes et avis

o Licéité du traitement, en raison de :

-L’absence de consentement de M^me X

L’absence d’intérêt légitime des sociétés GOOGLE dans la mesure où M^me X ne pouvait raisonnablement s’attendre à un tel traitement de ses données,

-L’atteinte aux droits et libertés fondamentaux de M^me X

Transfert hors UE de ses données vers les Etats Unis sur une base légale invalidée (Privacy shield)

- juger que les sociétés GOOGLE ont manqué à leur obligation de respecter les droits de M^me X :

o Droit d’information, en raison de son absence d’information lors de la collecte de ses données, et de la création de sa fiche,

o Droit d’opposition, en raison du fait que le traitement de ses données est effectué à des fins de prospection commerciale, et qu’elle dispose de motifs légitimes, tenant à sa situation particulière de professionnel de santé,

o Droit d’effacement, en raison du fait que le traitement de ses données est illicite, effectué à des fins de prospection commerciale, et qu’elle justifie d’un motif légitime,

- juger que ce traitement est constitutif des infractions pénales suivantes :

o Article 226-16 du code pénal : traitement sans déclaration préalable à la CNIL

o Article 226-18 du code pénal : collecte déloyale, et illicite de données

o Article 226-18-1 du code pénal: traitement malgré l’opposition

o Article 226-21 du code pénal : détournement de la finalité du traitement des données

o Article R 625-10 et 12 du Code pénal: absence d’information et d’effacement

---

4

-juger que le traitement des données de M^me X est excessif en raison du fait qu’il n’est pas limité :

o Dans la diffusion de la fiche : n’importe qui peut y accéder

o Dans la durée de conservation des données, et en particulier dans :

o La durée de diffusion de la fiche

o La durée de diffusion des avis

o Dans la notation et l’évaluation : n’importe qui peut donner son avis et noter

- juger que la fiche GMB de M^me X constitue un moyen de prospection directe au sens de l’article L. 34-5 du Code des postes et des communications électroniques, et que les sociétés Y auraient donc dû solliciter son consentement préalable,

- juger que le traitement de ses données étant effectué à des fins de prospection commerciale, y compris de profilage, M^me X n’a pas à justifier de son opposition, laquelle est « de droit'>,

- juger que M^me X bénéficie du droit à l’effacement de ses données,

- juger que GOOGLE ne peut, en raison de sa qualité de robot, et de l’article 32 du Code de procédure civile, se prévaloir des exceptions liées à la liberté d’expression,

- juger que la prospection et le profilage de M^me X, au moyen de sa fiche GMB, n’est pas nécessaire à l’exercice du droit à la liberté d’expression et d’information des internautes au sens de l’article 17.3 du RGPD,

- juger que l’exception prévue à l’article 67 (devenu l’article 80) de la loi de 1978 n’est pas davantage applicable, dans la mesure où GOOGLE ne s’exprime pas à titre artistique, littéraire, ou en qualité de journaliste professionnel,

- juger que le traitement effectué par Y n’a pas été effectué à ces seules fins, et qu’une telle dérogation n’est pas nécessaire pour la liberté d’expression et d’information,

- juger que les articles susvisés du Code pénal dérogent dans tous les cas à ces articles,

- juger que le traitement des données de M^me X affecte potentiellement gravement ses droits,

- juger que le traitement des données de M^me X excède ce à quoi elle pouvait raisonnablement s’attendre,

- juger que ces droits prévalent par conséquent sur ceux des sociétés GOOGLE, et des internautes,

- juger que la fiche GMB de M^me X et les avis qui la concernent ne contribuent pas à un débat d’intérêt général,

- juger qu’il n’y a pas de raison particulière, tenant à la situation de M^me X de faire prévaloir les intérêts de GOOGLE, ou ceux des internautes sur les droits de la demanderesse.

SUR L’ABSENCE D’INFORMATION LOYABLE, […]

- juger que les sociétés Y, sur le fondement des articles L 111-7-2, et D 111-17 du code de la consommation, ont manqué à leur obligation d’information loyale, claire et transparente,

SUR LA RESPONSABILITE DES SOCIETES GOOGLE

- juger que, par leur traitement, les sociétés Google LLC, France et Ireland ont engagé leur responsabilité sur le fondement des articles susvisés de la loi de 1978, et du RGPD,

- juger que, par leur comportement, les sociétés Google ont effectué des fautes tant de commission (article 9 et 1240 du code civil), que de négligence (article 1241 du code civil) du fait de l’atteinte à la tranquillité, à la vie privée de M^me X, au dénigrement de ses services, et au parasitisme de ses données et de sa patientèle,

- juger que la fiche GMB et les avis concernant M^me X ne sont pas justifiés par la contribution à un débat d’intérêt général, et qu’ils excèdent ce à quoi la

---

demanderesse pouvait raisonnablement s’attendre,

-juger que les manquements des sociétés Y ont créé un préjudice à M^me L

X,

- engager par conséquent la responsabilité des sociétés Y sur le fondement des articles susvisés,

SUR LES MESURES REPARATRICES :

Principalement :

- condamner les sociétés GOOGLE LLC, France et Ireland, sous astreinte de 1000 euros par jour de retard, 15 jours à compter de la signification du jugement, à : cesser d’utiliser définitivement les données personnelles de M^me X, pour permettre l’accès, et la diffusion de sa fiche GMB, sur le moteur Google.fr.

Subsidiairement :

- condamner les sociétés GOOGLE LLC, France et Ireland, sous astreinte de 1000 euros par jour de retard, 15 jours à compter de la signification du jugement, à : 1) COMMUNIQUER :

o La date de collecte et d’enregistrement de ses données, de création et de publication de sa fiche

o Les informations visées aux articles 32-1 de la loi de 1978, 13 et 14 du RGPD, 48 de la loi de 1978 modifiée par l’Ordonnance de 2018 et notamment :

- L’identité et les coordonnées du représentant du responsable du traitement

- L’existence du droit de demander au responsable du traitement l’effacement des données, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;

o Sur le fondement des articles L 111-7-2, et D. 111-17 du Code de la consommation, de manière claire et visible, pour tous les avis postérieurs au 1 er janvier 2018, sous la forme JJ/MM/AA:

- La date des avis

- La date de l’expérience de consommation concernée par chaque avis,

o Les données permettant l’identification de A B, auteur de l’avis susvisé, et ce conformément à l’Ordonnance du 25 septembre 2019 de Mme la Vice-présidente du Tribunal de grande instance de Chambéry

Subsidiairement sur la limitation de la fiche et des avis

Subsidiairement, M^me X demande au Tribunal de condamner les sociétés

Y, sous astreinte de 1000 euros par jours de retard, à :

o Limiter le traitement de ses données, à ses seules données professionnelles, de façon à ce que sa fiche ne soit pas accessible, et diffusée lors d’une recherche avec ses seuls nom et prénom,

o Limiter la durée de diffusion de sa fiche à la durée de 3 ans à compter de sa diffusion

o Supprimer les fonctions < notation » et « avis » de sa fiche

A titre très subsidiaire :

o Supprimer la fonction « notation '> de la fiche

o Supprimer le classement par « pertinence », et en raison du caractère « défavorable ou favorable » des avis

o Supprimer tous les avis ne respectant pas le format de date JJ/MM/AA, et a fortiori tous ceux qui, postérieurs à la date du 1 er janvier 2018 ne précisent pas la date d’expérience de consommation

o Limiter la durée de diffusion des avis à un durée maximale d’un an à compter de leur

---

6

publication initiale, et supprimer par voie de conséquence tout avis ayant une durée supérieure à 1 an.

o Supprimer les avis dénigrants suivants, lesquels, en raison de la négligence des sociétés Y ne comportent pas la date d’expérience de consommation de leurs auteurs, et de date claire permettant de déterminer le jour de leur diffusion :

< UD 8 avis il y a 9 mois une etoile parce qu’on ne peut pas en mettre moins Praticienne horrible avec les enfants ! Dangereuse elle se vexera si vous lui donnez votre dernier examen cardiaque sur les conseil de votre cardiologue ! Elle a arraché une dent à mon oncle qui a fait une hémorragie interne car elle n’a pas daigné prendre en compte son traitement en cours pour problème cardio-vasculaire ! elle s’est moquée de mon fils qui pleurait dans son cabinet! une femme abominable qui SUR FACTURE et en plus elle nie farouchement faire mal alors que je n’ai jamais autant eu mal que dans son cabinet au demeurant flambant neuf. Ah oui secrétaire antipathique. A boycotter absolument.

Visité en juin 2019 »

< PE VE 4 avis il y’ a 8 mois

< Pire professionnel jamais vu, ne mérite pas d’exercer arrogante et sans aucune forme empathie.

Dommage qu’on ne puisse pas mettre 0. Visite en juillet 2019 »

< AN RE AZ 8 avis il y 4 semaines Je ne critiquerai pas la pose des 2 couronnes car à voir dans le temps la solidité et la qualité du travail… par contre tentative de surfacturation discrète en 2013 et 2019. Heureusement je suis attentif à mon compte bancaire et mes remboursement CPAM mutuelle. Comme par hasard remboursement sans discuter… Dépassement pour des soins dentaires remboursés à 1EID pour 100 CPAM mutuelle et annonce sur tableau en salle d’attente. de plus dentiste en secteur 1… regardez bien vos remboursements et comparez avec la facture… bfacture… bon conseil. je n’y retournerais plus. Un fois je pardonne pas deux !! ! ! »

< ID TU

Il y a 2 mois

Deçu part sa prestation je ne la trouve pas professionnel du tout '>

< LE IR

8 avis

Il y a 11 mois J’en est pleuré sur la table tellement elle m’a fait mal. Cabinet très propre, mais le luxe ça coûte et c’est à tout les coups avec des devis exorbitants qu’on ressort de chez elle… Un simple plombage? elle ne connaît pas. »

< BE lms

1 avis

Il y a un an Pratique étrange et onéreuse pour chacun d’entre nous Radio des notre arrivée, sans avoir vu le patient ni savoir de quoi il soufre, incitation à contracter un crédit. Cela semble montrer une plus grande volonté de soulager les portes monnaies que les

---

7

douleurs. La Sécurité Sociale (qui nous appartient à tous] devrait être attentive a ces pratiques. »>

< El. HA Il y a 1 an Dentiste horrible juste nul aucune expérience vraiment n’y allez pas aucune personne n’est satisfaite »

< NO TE Manque de professionnalisme Je déconseille. »

< LA SA>

< moi Moi »

< AC BE »

- condamner in solidum les sociétés LLC, France et IRELAND à verser la somme de 50 000 euros au titre de la réparation du préjudice subi par M^me X,

- condamner in solidum les sociétés GOOGLE LLC, France et IRELAND à lui verser la somme de 30 000 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens,

- ordonner l’exécution provisoire du jugement à intervenir;

Conclusions auxquelles il est expressément renvoyé pour un plus ample exposé des moyens invoqués et des prétentions émises conformément aux dispositions de l’article

455 du code de procédure civile.

Dans leurs conclusions en défense régulièrement notifiées le 15 novembre 2021 par RPVA, auxquelles il est expressément renvoyé pour plus ample exposé des moyens invoqués et des prétentions émises, conformément aux dispositions de l’article 455 du code de procédure civile, la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED demandent au tribunal, de :

Sur l’absence d’illicéité justifiant la cessation du traitement des données de M^me X dans le cadre de la Fiche d’Établissement Professionnel en cause :

- constater que le traitement mis en oeuvre à l’occasion de la publication de la Fiche d’Établissement Professionnel poursuit des finalités déterminées et légitimes, au sens de l’articles 6, paragraphe 1 sous f) du RGPD qui prévalent sur les intérêts de M^me X,

- constater qu’il n’existe aucune raison légitime tenant à la situation particulière de M^me X, propre à renverser la prévalence de ces finalités (articles 21, paragraphe 1, et 17, paragraphe 1 sous c) du RGPD),

- constater que les finalités poursuivies par GOOGLE LLC et GOOGLE IRELAND doivent être qualifiées d’impérieuses, et par ailleurs nécessaires à l’exercice de la liberté d’expression, au sens de l’article 17, paragraphe 3, sous a) du RGPD,

- constater en outre, que le traitement litigieux a pour seule finalité la divulgation au public d’informations ainsi que d’opinions ou d’idées exprimées par des internautes au travers d’avis, et doit donc être qualifié de « journalistique », au sens de l’article 85 du RGPD, ainsi que de la jurisprudence de la Cour de justice de l’Union européenne dans l’arrêt Satakunnan Markkinapörssi du 16 décembre 2008 (C-73/07)

- constater que M^me X dispose d’une information suffisante, garantissant la loyauté et la transparence du traitement à son égard, alors pourtant que GOOGLE LLC n’était pas tenue de la lui fournir, constater l’absence d’infractions aux articles 226-16, 226-18, 226-18-1, 226-21, R

-

625-10 ou R 625-12 du Code pénal,

---

8

- constater que la fonctionnalité relative aux avis ainsi que la date de ces avis répondent également aux exigences du Code de la consommation,

Sur l’absence de responsabilité civile des sociétés GOOGLE LLC et GOOGLE IRELAND sur le fondement de l’article 1240 du Code civil:

- constater qu’aucune infraction n’a été commise par les sociétés défenderesses au visa de l’article 226-4-1 du Code pénal sanctionnant l’usurpation d’identité,

- constater qu’aucun acte de dénigrement ne peut être imputé à Y D qui est un simple hébergeur des avis litigieux et qui n’a, en cette qualité, commis aucune faute au regard de l’article 6 de la LCEN,

- constater que l’utilisation des données personnelles de M^me X est exclusive de tout acte parasitaire,

Sur l’absence de préjudice justifiant l’octroi d’une indemnité réparatrice au titre de dommages et intérêts :

-constater que M^me X ne justifie d’aucun préjudice réparable qui serait imputable à GOOGLE LLC ou à GOOGLE IRELAND,

Sur les mesures de réparation : À titre principal:

- constater qu’une mesure de suppression de la Fiche d’Établissement Professionnel serait une mesure injustifiée, disproportionnée et gravement attentatoires aux droits d’information des internautes et à leur liberté d’expression ainsi qu’à la liberté de GOOGLE LLC de communiquer en ligne,

- constater que M^me X dispose déjà des informations requises par la loi,

À titre subsidiaire et très subsidiaire

- constater que la demande tendant à limiter le traitement des données figurant dans la Fiche d’Établissement Professionnel à des données professionnelles est sans objet, GOOGLE y faisant déjà apparaître exclusivement des informations sur les établissements professionnels, dans le respect du principe de minimisation des données,

- constater que les mesures de limitation de la durée de diffusion de la Fiche

d’Établissement Professionnel et des avis sont injustifiées et sont incompatibles avec l’article 5 du Code civil, puisqu’elles induiraient de prononcer des dispositions générales, constater que les demandes de suppression des avis et des fonctionnalités de dépôt d’avis et d’attribution d’une notation sont injustifiées et porteraient une atteinte disproportionnée à la liberté d’expression des internautes,

- constater que les demandes visant à obtenir la suppression du classement des avis en fonction de leur « pertinence » ou de leur caractère « favorable » ou « défavorable » fondées sur le principe de minimisation des données sont inopérantes, constater que le caractère prétendument dénigrant des avis mentionnés par la demanderesse n’est pas établi, les mesures de suppression sollicitées à leur égard étant parfaitement injustifiées,

En conséquence et en tout état de cause :

- juger mal-fondées l’ensemble des prétentions de M^me X et l’en débouter,

- mettre hors de cause la société GOOGLE FRANCE, faute pour elle de disposer d’une quelconque qualité à répondre des demandes,

- condamner M^me X au paiement de la somme de 20.000 Euros au titre de l’article 700 du Code de procédure civile à chacune des sociétés GOOGLE LLC, GOOGLE IRELAND et GOOGLE FRANCE, ainsi qu’aux dépens.

L’ordonnance de clôture est intervenue le 18 novembre 2021 et l’affaire a été fixée à l’audience du 03 mars 2022.

L’affaire a été mise en délibéré au 02 juin 2022, prorogé au 15 septembre 2022.

MOTIFS DE LA DECISION

§1 Préambule

Aux termes de l’article 288 du Traité sur le fonctionnement de l’Union Européenne, le règlement a une portée générale, Il est obligatoire dans tous ses éléments et il est directement applicable dans tout État membre.

En considération de ce texte et du fait qu’il peut être répondu aux questions posées au tribunal en ayant recours au seul règlement, sans utiliser le droit national, la présente décision est principalement fondée en droit sur les dispositions prévues par le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit Règlement Général sur la Protection des Données relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le RGPD).

Les données à caractère personnel se définissent selon le RGPD comme « toute information relative à une personne physique identifiée ou identifiable. Toute donnée directement ou indirectement identifiante est une donnée à caractère personnel, peu important son caractère confidentiel ou public et son caractère privé ou professionnel. »

Ainsi, < la circonstance que ces informations s’inscrivent dans le contexte d’une activité professionnelle n’est pas de nature à leur ôter la qualification de données à caractère personnel » (CJUE 09 mars 2017 C-398/15 MANNI).

Le traitement se définit quant à lui comme « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, et appliqués à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction. »

Le service « Y my business » (ci-après GMB) permet aux entreprises et professionnels, d’apparaître dans la liste des résultats du moteur de recherche Y ou dans un encadré situé sur le côté de la page web, (Fiche d’établissement professionnel) en affichant une fiche d’identité du professionnel recherché (nom, adresse, téléphone, horaire d’ouvertures site web etc).

En outre, les internautes ont la possibilité de donner librement leur opinion ou d’apporter un témoignage sur le professionnel concerné au travers d’avis, matérialisés par une notation grâce à des étoiles et des commentaires. Ces avis sont diffusés dans un espace contributif spécialement réservé à cet effet, accessible à tous les internautes, qui est situé en dessous de chaque fiche d’établissement professionnel.

Une inscription par le professionnel sur GMB lui permet également d’accepter ou de refuser les sollicitations commerciales de Y, qui propose aux professionnels inscrits un service Y adwords, soit l’achat de mots clés permettant d’être mieux référencés dans le moteur de recherche.

Au vu de ces éléments, il n’est pas contestable que le traitement des données de Madame Z X, même à titre professionnel constitue un traitement de données personnelles. Dès lors, le régime légal réservé aux données à caractère personnel

s’applique aux informations délivrées au public, sur la fiche GMB, à propos de l’activité de Madame Z X.

§2 Sur les atteintes aux données personnelles de Madame Z X
Madame Z X expose que les sociétés Y traitent ses données personnelles : nom, prénom, profession, adresse, téléphone, notation, avis. Elle soutient qu’une notation et un avis attribué à une personne constituent des données personnelles et que la Cour de justice de l’Union Européenne reconnaît la protection des données personnelles aussi bien aux professionnels qu’aux non-professionnels. Elle ajoute que le caractère public des données n’exclut pas leur protection et invoque le droit au respect à la vie privé prévu à l’article 8 de la Convention Européenne des Droits de l’Homme et du Citoyen. Elle prétend ainsi que ses données personnelles ne sont pas librement publiables et qu’elles sont au contraire protégées par la loi du 06 janvier 1978 informatique et liberté, ainsi que par le Règlement Général sur le Protection des Données (RGPD). Madame Z X soutient encore qu’elle ignore depuis quand les sociétés défenderesses collectent ses données, étant précisé que le service existe depuis 2014. Elle indique que le traitement par les sociétés défenderesses de ses données n’est pas conforme à la loi du 06 janvier 1978, quelle qu’en soit la version applicable et que cette loi a vocation à s’appliquer quand bien même le RGPD serait également applicable, celui-ci ayant prévu des marges de manoeuvre permettant aux États membres de conserver leur législation nationale. Elle soutient que le RGPD est applicable concurremment.

Sur le fond, Madame Z X explique que le droit des données personnelles ne se confond pas avec le droit au respect de la vie privée, ce qui explique que ses données personnelles peuvent être protégées, même si elles sont publiques. Elle ajoute que le traitement de ses données personnelles par les défenderesses a un tel impact qu’il rejaillit sur sa vie privée.

Elle soutient que plusieurs principes fondamentaux ont été violés :

-l’absence de formalités préalables

-le traitement déloyal et illicite de ses données

-l’absence de transparence du traitement de ses données,

-l’absence de finalité déterminée et explicite de sa fiche GMB,

-l’absence de limitation du traitement de ses données,

-l’absence de limitation dans la durée de conservation des données,

-l’illicéité du traitement.

Les sociétés défenderesses exposent quant à elles que depuis le 22 janvier 2019, la fonctionnalité permettant aux utilisateurs résidant dans l’Espace Economique Européen et en Suisse de se faire héberger et de publier des avis est offerte sous la responsabilité de la société GOOGLE IRELAND LIMITED , qui assume ainsi la qualité de responsable de traitement des données des utilisateurs qui les publient. Elles précisent que GOOGLE IRELAND pour les avis qu’elle héberge, ou GOOGLE LLC pour les autres informations, peuvent supprimer au cas par cas certains des éléments composant la Fiche d’Etablissement Professionnel, lorsqu’il existe une raison juridique de le faire et notamment lorsque est reçue une notification laissant apparaître qu’un avis publié par un utilisateur présente un caractère d’illicéité manifeste.

Elles exposent encore que la création et l’affichage d’une fiche d’établissement professionnel ne sont subordonnées à aucune autorisation ou collaboration du professionnel concerné et non contractualisées. Elles expliquent qu’en revanche, tout professionnel peut adhérer gratuitement à un service supplémentaire dénommée < Y

---

11

my business » (GMB) lui permettant de valider et d’enrichir ou de modifier certains éléments de la fiche le concernant, mais également de répondre à un avis laissé par un internaute. Elles précisent que l’adhésion à ce service est complètement gratuite. Elles reconnaissent que le cabinet dentaire de Madame Z X fait l’objet d’une fiche d’établissement professionnel. Elles précisent que celle-ci a brièvement adhéré au service GMB et n’a jamais signalé la moindre information qu’elle aurait considéré comme inexacte.

Elles prétendent que les difficultés rencontrées par Madame Z X sont relatives au fait que les avis la concernant sont négatifs mais soulignent qu’elles ne font qu’héberger les avis publiés. Elles contestent que les avis présentent un caractère d’illicéité manifeste qui justifierait un retrait.

Sur les textes applicables, la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED font valoir que le RGPD est directement applicable dans tous les Etats membres de l’Union Européenne, que le traitement des données personnelles à caractère litigieux entre dans le champ de ce règlement et sont entièrement régis par celui-ci et non plus par les dispositions de la loi informatique et liberté du 6 janvier 1978, à l’exception des domaines où le RGPD lui-même renvoie au droit national.

Elles affirment qu’aucune disposition du RGPD ne permet de leur interdire la publication d’une fiche de renseignements ou de restreindre la publication de telles fiches.

En effet, elles soutiennent que le traitement mis en oeuvre à l’occasion de la publication de la fiche litigieuse poursuit des finalités légitimes liées à la liberté d’expression, qui prévalent sur les intérêts de Madame Z X et ne nécessitent pas son consentement préalable. Elles ajoutent qu’il n’existe aucune raison légitime de nature à renverser la prévalence de ces finalités légitimes. Elles soutiennent également que le traitement réalisé dans ce cadre ne constitue pas un profilage et que Madame Z X dispose d’une information suffisante garantissant la loyauté et la transparence de traitement à son égard. Elles concluent encore que le traitement de ces données n’est soumis à aucune formalité déclarative, ni à l’obtention d’une autorisation préalable auprès de la CNIL. Elles contestent enfin avoir commis une quelconque infraction au code pénal.

a) Sur l’absence de formalité préalable
Madame Z X se base sur l’article 226-16 du code pénal et prétend que les sociétés Y ne justifient pas avoir effectué une déclaration à la CNIL pour la création de sa fiche GMB.

Elle soutient que sa fiche a été créée avant la mise en application du RGPD et de la modification de la loi de 1978 par la loi du 20 juin 2018, que l’obligation de déclaration est donc applicable, que l’absence de ladite déclaration constitue une faute pénale et par conséquent une faute civile.

Elle ajoute que cette absence de déclaration lui cause un préjudice, en ce qu’elle ignore quand ses données ont commencé à être traitées par Google et à quelle date elle a fait l’objet d’un fichage. Elle précise que la détermination de cette date est essentielle pour lui permettre de déterminer quel est le régime juridique applicable au traitement de ses données.

Elle ajoute qu’elle aurait pu ainsi s’opposer au traitement de ses données et que la CNIL aurait pu exercer un contrôle, ce qu’elle n’a pu faire. Elle conteste que l’application de cette disposition soit anachronique, sa fiche ayant été créée avant l’entrée en vigueur du RGPD et conteste également devoir démontrer un préjudice, préjudice dont elle soutient qu’il existe en tout état de cause.

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED quant à elles exposent que les dispositions citées par Madame Z X et relatives à de la loi informatique et libertés ont été abrogées par la loi du 20 juin 2018 afin de mettre la loi française en adéquation avec le RGPD. Elles affirment qu’en conséquence, ces dispositions ne sauraient faire obstacle au traitement actuel mis en oeuvre dans le cadre de la publication d’une fiche d’Etablissement professionnel relative à Madame Z X. Elles contestent que ces dispositions puissent rétrospectivement permettre de caractériser une infraction pénale commise par la société GOOGLE LLC. Elles contestent en tout état de cause, que sous l’empire de la loi antérieure, le traitement ait été soumis à une obligation d’autorisation préalable. Elles précisent en effet que le régime d’autorisation était réservé « aux traitements automatisés ayant pour objet l’interconnexion de fichiers dont les finalités principales sont différentes. » et affirment qu’une fiche d’établissement professionnel constitue un fichier unique où sont rassemblées les seules données de Madame Z X. Elles ajoutent qu’elles poursuivent la même finalité principale, à savoir informer les utilisateurs du moteur de recherche Google.

Elles considèrent encore que soumettre la publication des fiches d’établissement professionnel à une autorisation administrative préalable constituerait une atteinte disproportionnée à la liberté d’établissement.

Elles concluent également qu’en toute hypothèse, lorsqu’un traitement porte atteinte aux droits d’une personne, cette atteinte ne peut résulter que de la nature même du traitement et non du non accomplissement d’une formalité administrative par le responsable du traitement.

Elles rappellent que la loi informatique et liberté dans sa version antérieure au 21 juin 2018, ne prévoyait pas que l’absence de déclaration ou d’obtention d’une autorisation préalable auprès de la CNIL constituait en soi une cause d’illicéité des traitements de données à caractère personnel.

Enfin, elles soutiennent qu’une personne ne peut se plaindre du défaut de déclaration ou d’autorisation d’un traitement de données à caractère personnel licite, si elle n’a subi aucun préjudice résultant du non respect de cette formalité.

Selon l’article 22 de la loi du 06 janvier 1978 dans sa rédaction antérieure au 20 juin 1978, à l’exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l’article 36, les traitements automatisés de données à caractère personnel font l’objet d’une déclaration auprès de la Commission nationale de l’informatique et des libertés.

Par ailleurs, en application de l’article 226-16 du code pénal, le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.

Enfin, en application de l’article 112-1 du code pénal, sont seuls punissables les faits constitutifs d’une infraction à la date à laquelle ils ont été commis. Peuvent seules être prononcées les peines légalement applicables à la même date. Toutefois, les dispositions nouvelles s’appliquent aux infractions commises avant leur entrée en vigueur et n’ayant pas donné lieu à une condamnation passée en force de chose jugée lorsqu’elles sont moins sévères que les dispositions anciennes.

En l’espèce, les sociétés défenderesses ne contestent pas avoir recueilli des données à caractère personnel appartenant à Madame Z X et en avoir fait un traitement automatisé. Le service « Google my business » a été lancé en France en 2014, ce que les défenderesses ne contestent pas et Madame Z X a découvert sa fiche en 2017.

La loi du 06 janvier 1978 imposait à cette date une déclaration à la Commission Nationale de l’Informatique et des Libertés (ci-après la CNIL) et la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ne démontrent pas avoir procédé à une telle déclaration.

Pour autant, le RGPD adopté le 27 avril 2016, entré en application le 25 mai 2018 et directement applicable en droit interne a supprimé ces formalités et en conséquence, par la loi du 20 juin 2018 relative à la protection des données personnelles, le législateur s’est adapté.

Cette suppression de l’exigence d’une déclaration à la CNIL doit s’entendre comme un allègement des cas dans lesquels l’infraction est susceptible d’être constituée et donc d’une modification dans un sens plus doux d’une loi d’incrimination.

Aucune condamnation passée en force de chose jugée n’ayant été prononcée ce jour, force est de constater que les sociétés défenderesses peuvent prétendre bénéficier de l’article 112-1 du code pénal.

Pour autant, l’action civile étant différente de l’action pénale, ce n’est pas parce que

l’action pénale ne peut plus être ouverte, que la victime ne dispose pas d’une action civile en cas de faute commise.

Il convient donc de juger que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ont commis une faute en ne déclarant pas à la CNIL le traitement des données automatisées de Madame Z X.
Madame Z X demande en réparation que ses données et sa fiche soient effacées.

Le tribunal constatant que depuis l’entrée en vigueur du RGPD, la déclaration à la CNIL n’est plus obligatoire et qu’au demeurant cette sanction de principe n’est pas encourue, rejette la demande de Madame Z X tendant à voir sa fiche et ses données effacées au titre de l’absence de respect des formalités préalables.

b) Sur le traitement non transparent, déloyal et illicite des données de Madame Z X

1/ Sur le consentement de Madame Z X à la publication des données
Madame Z X soutient que le traitement des données personnelles doit être loyal et licite et que la collecte déloyale de données constitue une infraction pénale. Elle précise notamment que la collecte des données personnelles d’une personne à son insu est déloyale en ce que cela fait obstacle à son droit d’opposition. Elle indique que ce n’est qu’après avoir été assignées en référé que les défenderesses ont reconnu avoir collecté les données de Madame Z X par l’intermédiaire des sociétés ORANGE et INFOBEL, sans qu’elle même en soit informée.

Elle argüe de ce que dans la mesure où elle ignore toujours quand ses données ont été collectées, l’infraction de collecte déloyale est toujours caractérisée au sens de l’article 226-22-2 du code pénal et que la suppression de la fiche peut toujours être prononcée par le tribunal.

Enfin, Madame Z X se prévaut de l’alinéa a) de l’article 6 du RGPD en indiquant qu’elle n’a jamais consenti au traitement de ses données à caractère. personnel.

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED quant à elles soutiennent que les données portent sur des informations publiques, largement disséminées sur internet et ce par la volonté même de Madame Z X. Elles précisent que les données en cause sont en ligne sur le propre site de Madame Z X qui s’est elle-même volontairement exposée sur internet, organisant sa visibilité sur un site web où figurent de multiples données portant sur son activité professionnelle. Elles ajoutent encore que ces données figurent, avec le consentement de Madame Z X dans l’annuaire universel des abonnés téléphoniques et notamment dans les pages jaunes. Elles font valoir que les conditions générales de la société ORANGE rappellent expressément que les données ont vocation à être transmises à tous les éditeurs d’annuaires papiers ou électroniques, ce à quoi la demanderesse ne s’est jamais opposée. Elles ne contestent pas avoir acquis les informations auprès de la société INFOBEL qui les a elles même acquises auprès de la société ORANGE.

L’article 8 1. et 2. de la Charte des droits fondamentaux de l’Union européenne expose que « Protection des données à caractère personnel 1. Toute personne a droit à la protection des données à caractère personnel la concernant. 2. Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. »

Le consentement se définit comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement »(Règl. (UE) 2016/679, 27 avr. 2016, art. 4.

Par ailleurs, en vertu du principe dit « d’accountability », repris à l’article 24 du RGPD,

< le responsable du traitement met en œuvre des mesures techniques et organisationnelles appropriées pour s’assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement.

Ainsi, en application de l’article 5.1 a) du RGPD, les données à caractère personnel doivent être a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence);

C’est l’article 6 du RGPD, qui énumère les six hypothèses dans lesquelles le traitement est licite :

Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci;

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

---

15

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »

Enfin, « 67 Il y a donc lieu de répondre à la seconde question que l’article 12 de la directive « vie privée et communications électroniques » doit être interprété en ce sens qu’il ne s’oppose pas à une réglementation nationale qui fait obligation à une entreprise publiant des annuaires publics de transmettre des données à caractère personnel qu’elle détient concernant les abonnés d’autres fournisseurs de services téléphoniques à une entreprise tierce dont l’activité consiste à publier un annuaire public imprimé ou électronique ou à rendre de tels annuaires consultables par l’intermédiaire de services de renseignements, sans qu’une telle transmission soit subordonnée à un nouveau consentement des abonnés, pour autant toutefois que, d’une part, ces derniers ont été informés avant la première inscription de leurs données dans un annuaire public de la finalité de celui-ci ainsi que du fait que ces données seraient susceptibles d’être communiquées à un autre fournisseur de services téléphoniques et que, d’autre part, il est garanti que lesdites données ne seront pas, après leur transmission, utilisées à des fins autres que celles pour lesquelles elles ont été collectées en vue de leur première publication. » CJUE 05 mai 2011, Deutsche Telekom C543-09.

En l’espèce, Madame Z X a elle-même procédé à la publication de ces données sur internet pas le biais de son propre site. Pour autant, le fait que des données à caractère personnel aient déjà été publiées n’a pas pour effet d’écarter l’application des principes de protection de ces données si la finalité poursuivie n’est pas la même.

Les défenderesses fournissent en pièce 24 les conditions générales d’abonnement au service téléphonique fixe ORANGE, qui en leur article 1.3 Annuaire stipulent: « Inscription dans la base de données des abonnés au service de téléphonie fixe et de téléphonie par internet ORANGE Dans le cadre de l’abonnement au service téléphonique, le client est inscrit dans la base de données des abonnés au service de téléphonie fixe et de téléphonie par internet Orange. Cette base, sous réserve des droits exprimés par le client en matière de protection de ses données personnelles, est mise à disposition des fournisseurs de services de renseignements téléphoniques et des éditeurs d’annuaires en faisant la demande et ce à des fins de parution sous leur responsabilité et selon leurs propres règles éditoriales. Les données à caractère personnel relatives au client peuvent faire l’objet d’un transfert vers un pays hors de l’Union européenne (UE) lorsque la base est mise à disposition des fournisseurs de renseignements téléphoniques ou d’éditeurs d’annuaires étrangers situés en dehors de l’Union européenne. Droits du client au titre de l’annuaire universel

Le client peut communiquer à ORANGE à des fins de parution ses coordonnées. Il s’agit des numéros de téléphone, nom, prénom ou initiales sous réserve d’homonymie, adresse d’installation de la ligne complète ou non, adresse électronique (uniquement dans les annuaires et services de renseignements électroniques. Le client peut également modifier les critères de parution concernant ses données. Ainsi, le client peut s’opposer:

-à ce que l’adresse complète de son domicile figure sur les annuaires et services de renseignements,

-à ce qu’il soit fait référence à son sexe, sous réserve d’homonymie,

-à ce que ses coordonnées soient utilisées dans des opérations de prospection directe à l’exception des opérations concernant la fourniture du service et relevant de la relation contractuelle entre le client et orange;

-ou encore à figurer dans les listes permettant la recherche inversée de son identité à

---

16

partir de son numéro de téléphone. »>

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ne se cachent pas du fait que les données de Madame Z X ont été obtenues via la société INFOBEL, qui les avait elle-même obtenues de la société ORANGE.

Elles ne démontrent pas que Madame Z X a consenti au traitement de ses données personnelles initialement réalisé par la société ORANGE. En effet, la simple fourniture au tribunal de mentions types figurant dans les conditions générales d’un contrat ORANGE est largement insuffisante pour démontrer que Madame Z X a réellement consenti au traitement de ses données lorsqu’elle a souscrit son abonnement. Les sociétés défenderesses ne démontrent pas que ces conditions générales figuraient dans le contrat ORANGE souscrit par Madame Z X.

Il est vrai que Madame Z X a revendiqué sa fiche GMB. Pour autant, cette revendication n’a été faite que dans le but de supprimer la fiche. Il est dès lors erroné de prétendre qu’en revendiquant la fiche, Madame Z X aurait consenti au traitement de ses données.

Dès lors, il est certain que l’article 6)a du RGPD n’a pas été respecté.

La question se pose maintenant de savoir si au nom de l’intérêt légitime, soit l’article 6 f) du RGPD, les sociétés Y peuvent passer outre l’absence de consentement de Madame Z X.

2/ Sur l’intérêt légitime

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED prétendent en effet, que le consentement de Madame Z X n’est pas nécessaire pour traiter ses données, en ce que le traitement de ses données es qualité de professionnelle, poursuit un intérêt légitime, conformément à l’article 6 §1 point f du RGPD.

Elles soutiennent que les finalités de traitement sont de : mettre gratuitement à la disposition des internautes des informations pratiques élémentaires relatives à des professionnels, informations permettant de les contacter,

- identifier chaque professionnel concerné comme le sujet potentiel d’un forum pour les consommateurs désirant poster des avis.

Elles affirment que ces finalités sont légitimes au sens de l’article 6 f du RGPD en ce qu’elles permettent l’accès rapide des internautes à une information primordiale en matière de santé, notamment en cas d’urgence médicale. Elles indiquent que si le législateur a souhaité encadrer les avis des consommateurs au moyen d’un cadre juridique au sein de la loi du 07 octobre 2016 pour une république numérique, c’est bien qu’il a reconnu la légitimité juridique de cette pratique. Elles rappellent à ce titre que le conseil national de l’ordre des médecins lui-même reconnait la prééminence du principe de liberté d’expression, permettant aux patients d’exprimer un avis.

Elles prétendent enfin que les fiches d’information pourraient être considérées comme poursuivant des fins journalistiques au sens de l’article 85§2 du RGPD.
Madame Z X estime quant à elle que la finalité informationnelle invoquée par Y est erronée. Elle soutient que les informations élémentaires la concernant sont déjà accessibles sur son site internet, indexé dans les pages de résultat naturel du Conseil National de l’Ordre des Médecins ou dans l’annuaire des pages jaunes. Elle fait valoir qu’elle est notée et évaluée comme un vulgaire produit ou service et que la finalité de Y est en réalité commerciale. Elle affirme qu’elle ne pouvait raisonnablement s’attendre au moment de la collecte de ses données par son opérateur téléphonique ORANGE à ce que ses données fassent l’objet d’un tel traitement.

Elle prétend que la finalité du traitement n’est pas légitime en ce que toute personne, légitime ou non peut donner son avis. Elle ajoute que ses droits à l’information, l’opposition et à l’effacement sont bafoués.

Pour procéder à la mise en balance entre l’intérêt légitime du responsable de traitement ou d’un tiers et les intérêts, les droits ou libertés fondamentaux des personnes intéressés, le Groupe de travail < article 29 » recommande de s’assurer de l’impact – tant positif que négatif- du traitement sur les personnes concernées et des éventuels risques qu’il peut entraîner, en termes d’exclusion, de discrimination ou de diffamation par exemple. La mise en balance des intérêts consiste avant tout à s’assurer que l’impact, même négatif du traitement, n’est pas disproportionné.

Le Groupe de travail «Article 29» est le groupe de travail européen indépendant qui traitait les questions relatives à la protection de la vie privée et aux données à caractère personnel jusqu’au 25 mai 2018. Avec l’entrée en vigueur du RGPD, il a été remplacé par le Comité européen de la protection des données (CEPD).

La CJUE a également la même position : « Si les droits de la personne concernée protégés par l’article 7 et 8 de la Charte prévalent, en règle générale, sur l’intérêt des internautes, cet équilibre "peut toutefois dépendre, dans des cas particuliers, de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que de l’intérêt du public à disposer de cette information, lequel peut varier, notamment, en fonction du rôle joué par cette personne dans la vie publique » (CJUE, 13 mai 2014, aff. C-131/12, Google Spain SL, Google Inc. c/ Agencia Española de Protección de Datos (AEPD) et Mario Costeja González);

Afin d’évaluer la validité de l’intérêt légitime comme base légale du traitement envisagé, la méthodologie de la CNIL à suivre, inspirée de la méthodologie élaborée par le Groupe de l’article 29, invite successivement (source CNIL et Jurisclasseur) : « • à apprécier le caractère « légitime » de l’intérêt poursuivi par le responsable du traitement, en ce inclus la vérification du caractère « nécessaire » du traitement au vu de cet objectif, Le caractère « légitime » de l’intérêt poursuivi par un organisme peut être présumé si les 3 conditions suivantes sont remplies:

- l’intérêt est manifestement licite au regard du droit ;

- il est déterminé de façon suffisamment claire et précise;

- il est réel et présent pour l’organisme concerné, et non fictif. Concernant la nécessité, l’organisme doit vérifier que le traitement de données qu’il envisage permet effectivement d’atteindre l’objectif poursuivi, et non, en réalité, d’autres objectifs. Il doit également s’assurer qu’il n’existe pas de moyen moins intrusif pour la vie privé d’atteindre cet objectif que de mettre en œuvre le traitement envisagé

●à évaluer les incidences sur les personnes concernées, au regard notamment de la prise en compte de leurs attentes raisonnables;

Dans ce cadre, l’organisme doit tout d’abord identifier les conséquences de toutes sortes que son traitement peut avoir sur les personnes concernées : sur leur vie privée mais aussi, plus largement, sur l’ensemble des droits et intérêts couverts par la protection des données personnelles. Il s’agit ainsi d’évaluer le degré d’intrusion du traitement envisagé dans la sphère individuelle, en mesurant ses incidences sur la vie privée des personnes (traitement de données sensibles, traitement portant sur des personnes vulnérables, profilage, etc.) et sur leurs autres droits fondamentaux (liberté d’expression, liberté d’information, liberté de conscience, etc.) ainsi que les autres impacts concrets du traitement sur leur situation

●à procéder à un bilan provisoire de la mise en balance de ces éléments.

L’organisme doit ensuite tenir compte, dans la pondération entre son intérêt légitime et les droits et intérêts des personnes, de leurs « attentes raisonnables ». Cette prise en compte est essentielle s’agissant de traitements qui peuvent être mis en œuvre sans le consentement préalable des personnes en l’absence d’un acte positif et explicite de leur part, l’intérêt légitime requiert de ne pas surprendre les personnes dans les modalités de mise en œuvre comme dans les conséquences du traitement.

●à veiller au besoin à l’adoption de garanties. supplémentaires ou autres mesures additionnelles et atteindre ainsi un équilibre entre les droits et intérêts en cause

Les droits des personnes à prendre en compte sont le droit à la protection des données et à la vie privée, les autres droits fondamentaux (la liberté de pensée, de conscience et de religion, la liberté d’expression et d’information, la liberté de réunion et d’association, le droit de propriété, le droit d’asile, les droits de l’enfant et des personnes âgées, les droits sociaux, les droits liés à la citoyenneté). Il doit également être étudié si le traitement impacte leur situation particulière, particulièrement, leur situation physique, économique ou sociale. » https://www.cnil.fr/fr/les-bases legales/interet-legitime

Ainsi, doivent être pris en compte l’existence d’un simple intérêt prépondérant du public à accéder à l’information en cause, qui justifiera que l’on refuse de faire droit à une demande d’effacement concernant des données personnelles non sensibles.

L’appréciation dépendra de divers éléments, telles les caractéristiques des données en cause, à savoir leur exactitude, ancienneté, nature, caractère plus ou moins objectif et source ainsi que leurs répercussions pour les personnes concernées. Sera également étudié le rôle social du demandeur, à savoir sa notoriété, son rôle dans la vie publique et sa fonction dans la société. Enfin, il sera pertinent de considérer les conditions d’accès à l’information en cause, et notamment la possibilité pour le public d’y accéder par d’autres recherches et le fait que l’information ait ou non été manifestement rendue publique par la personne concernée.

Comme le soulignent les sociétés défenderesses, l’intérêt affiché est licite et déterminé de façon claire et précise. Le but est, tout comme l’annuaire des pages jaunes, de permettre à l’usager d’internet d’avoir rapidement accès à une base de données, sous forme d’un annuaire universel lui permettant d’avoir accès, en l’espèce à un professionnel de santé.

Le tribunal n’ira pas jusqu’à retenir que le critère de l’urgence médicale est justifié, l’accès au 15/18 ou 112 étant en ce cas certainement plus justifié qu’une recherche GOOGLE.

Comme s’en prévalent les sociétés défenderesses, elles poursuivent également au-delà de leur volonté de réaliser un annuaire, la volonté affichée « d’identifier chaque professionnel concerné comme le sujet potentiel d’un forum pour des consommateurs désirant « poster des avis » (Conclusions de la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ).

Pour autant, la question se pose de savoir si l’intérêt affiché est bien l’intérêt réel des sociétés défenderesses. En effet, quel est l’intérêt économique pour un moteur de recherche de devenir un annuaire universel, soit une copie de ce qui existe par ailleurs en France notamment sous le nom des pages jaunes et de créer un forum ?

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED concluent que les fiches d’établissement professionnel sont fournies « sans contrepartie financière ».

Cependant, la formule désormais classique à l’aune de laquelle toute activité prétendue philanthropique de GOOGLE et des autres géants du web doit être examinée: « Si vous ne payez pas un service sur le Net, c’est que vous n’êtes pas consommateur, vous êtes le produit vendu », s’applique au cas d’espèce.

Comme le souligne Madame Z X, l’intérêt réel pour les sociétés défenderesses est que le professionnel, qui est par ailleurs référencé grâce à un autre annuaire universel, son propre site internet ou l’annuaire de son ordre et qui ne souhaite pas recourir aux services gratuits de Google, éprouve les plus grandes difficultés pour se faire déréférencer. Il lui est de ce fait également difficile de combattre les éventuels avis négatifs accolés à sa fiche.

Nous reviendrons sur ce point ultérieurement, mais il doit d’ores et déjà être souligné que la création d’un compte google et d’un pseudo permettent d’anonymiser totalement celui qui laisse un avis. Il est alors impossible pour le professionnel, surtout s’il est soumis au secret médical, de s’assurer de la réalité de l’avis, d’identifier le patient concerné et enfin de lui répondre pour tenter d’améliorer sa note.

Pour répondre aux avis, le professionnel concerné doit déjà créer un compte google, pour ce faire, il lui est proposé de remplir l’adresse email de son choix ou de créer une adresse gmail à la place et ce faisant, de recevoir des publicités. Le professionnel est également démarché en ce que lui est offerte la possibilité de recourir aux services payants proposés par GOOGLE, sous le nom de GOOGLE ADS, services qui permettent à des annonceurs moyennant une contrepartie financière, de diffuser des publicités et d’être bien référencé sur le moteur de recherche GOOGLE.

Or, il est rare pour un professionnel de n’avoir que des avis positifs et même dans le cadre d’un seul avis négatif, le professionnel consciencieux aura a cœur soit d’améliorer la situation, soit de répondre en créant au préalable un compte GOOGLE.

In fine, si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés GOOGLE d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants. C’est dès lors de parfaite mauvaise foi que les défenderesses prétendent que le traitement réalisé dans le cadre de la publication de la fiche entreprise est décorellé des actes de prospection commerciale auxquels elles se livrent.

Le tribunal ne dit pas que la prospection commerciale effectuée par la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED n’est pas licite, il dit qu’elle est cachée et fortement recommandée aux professionnels qui n’ont pas d’autre choix que de subir les avis.

Il doit donc être jugé que ce traitement de données a une finalité commerciale cachée par les défenderesses.

---

20

Concernant le fait que l’organisme doit tenir compte d’une pondération entre son intérêt légitime et les droits et intérêts des personnes dont les données sont exploitées, le tribunal relève que l’intérêt des sociétés défenderesses tout comme celui de Madame Z X est de créer de la richesse, que ce soit pour la redistribuer à des actionnaires et croitre ou pour vivre et faire vivre une famille.

Or, les avis laissés par les internautes ont nécessairement des conséquences pour la future clientèle d’un professionnel. Soit ils sont élogieux et la confiance génère un afflux de clients/patients, soit ils sont désastreux et le professionnel aura plus de mal à vivre de sa profession. Il n’y a qu’à voir les propositions florissant sur internet pour analyser et améliorer les avis Google afin d’attirer une nouvelle clientèle ou patientèle.

Si le principe de l’avis même n’est pas contestable au nom du droit à l’information et de la liberté d’expression, il est aussi particulièrement connu que l’internaute anonyme derrière son écran a une fâcheuse tendance à oublier tout sens de la modération, voire tout sens commun.

Si l’idée des défenderesses est réellement de remplir un devoir d’information, comme elles le prétendent, encore faut-il que ce devoir d’information soit correctement rempli, ce d’autant que les défenderesses invoquent l’article 85§2 du RGPD dans leurs conclusions, soulignant que les fiches d’information pourraient être considérées comme poursuivant des fins journalistiques.

Dans ce cadre, il n’est pas inutile de définir ce qu’est le droit à l’information dont se prévalent les sociétés défenderesses.

Le droit à l’information se définit pour l’Organisation des Nations Unies, comme «< un droit universel, inviolable et inaltérable de l’homme moderne. Il s’agit d’un droit à la fois actif et passif d’une part, la recherche de l’information, et, d’autre part, la possibilité pour tous de la recevoir »>.

Ce droit est repris notamment dans la déclaration universelle des droits de l’homme :

Tout individu a droit à la liberté d’opinion et d’expression, ce qui implique le droit de ne pas être inquiété pour ses opinions et celui de chercher, de recevoir et de répandre, sans considérations de frontières, les informations et les idées par quelque moyen d’expression que ce soit. »

G H I J expose dans sa thèse présentée le 20 décembre 2004, le Droit à l’Information en France que : « La Cour européenne des Droits de l’Homme explique dans la plupart de ses décisions, que la liberté d’expression et d’information constitue l’un des fondements essentiels d’une société démocratique.»

L’article 10 1. de la CEDH énonce ainsi que : « 1. Toute personne a droit à la liberté d’expression. Ce droit comprend la liberté d’opinion et la liberté de recevoir ou de communiquer des informations ou des idées sans qu’il puisse y avoir ingérence d’autorités publiques et sans considération de frontière. »

Dans sa décision du 21/01/1994 (DC93-333), le Conseil Constitutionnel « se réfère à l’impératif d’honnêteté de l’information », que G H I J définit comme « une obligation à respecter », en analysant la jurisprudence du Conseil constitutionnel, « obligation qui doit être conciliée avec d’autres libertés, principes ou droits ». L’auteure conclut que « la notion d’impératif sert à protéger le citoyen dans une société à la recherche d’un certain degré d’éthique, avec comme objectif la satisfaction de l’intérêt général. »

Elle en tire des conséquences sur le fait que certains principes déontologiques doivent être respectés, notamment pour les journalistes.

Il n’est pas question ici d’envisager que de facto, l’internaute se transforme en journaliste à partir du moment où il publie un avis et en conséquence de lui demander de respecter l’ensemble des règles déontologiques auxquelles sont astreints les journalistes.

Pour autant, il ne peut être permis, au nom du droit à l’information, d’écrire tout et n’importe quoi, notamment parce que la personne objet de l’information est elle aussi titulaire de droits.

A ce titre, pour que le droit à l’information ne contrevienne pas aux droits de la personne qui en est l’objet, il faut à minima que la source d’information soit fiable dans le sens où il doit être possible de vérifier que l’information qu’elle donne est le fruit de son expérience. Il faut également que la source d’information soit identifiable.

Certains sites comme Airbnb et Blablacar permettent et demandent à leurs utilisateurs de laisser un avis, visible par tous les utilisateurs de la plateforme. L’avis est bilatéral, car tant l’hôte que l’hôtelier, le covoitureur que le covoituré sont amenés à laisser un avis l’un sur l’autre, ce qui permet un contrôle social des avis donnés, chacun étant amené à retranscrire au plus juste l’expérience qu’il a vécue en faisant part des points négatifs que la personne peut améliorer mais aussi en soulignant les points positifs permettant aux autres utilisateurs d’avoir une information fiable sur le service qui leur sera rendu ou la personne avec laquelle ils vont traiter.

Par ailleurs la source de l’avis est vérifiée en ce sens que seules les personnes ayant utilisé le service sont en capacité de déposer un avis sur le site.

Ces exigences relatives aux avis apparaissent particulièrement fondées car l’utilisateur n’évalue pas simplement un produit créé, fabriqué et mis sur le marché grâce à la contribution de dizaines voire de centaines de personnes. Il évalue le service rendu au cas d’espèce par une personne, qui a vocation à recevoir à titre personnel les critiques formulées.

Or, la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED n’ont mis en place aucune mesure permettant d’identifier si besoin la source de l’information et de vérifier sa fiabilité.

Il suffit en effet pour déposer un avis de créer un compte gmail puis un compte Y avec des informations dont la réalité n’est absolument pas vérifiable ni vérifiée d’ailleurs, pour avoir le droit de participer à la réputation d’un professionnel.

Pas plus les sociétés défenderesses ne mettent-elles en œuvre des moyens efficaces pour que les professionnels en question puissent répondre aux clients, patients mécontents de leur prise en charge. Les professionnels de santé sont bien souvent limités par le respect du secret médical qui ne leur permet pas d’étaler publiquement sur internet le choix des traitements qu’ils ont mis en oeuvre. Il est tout à fait faux de prétendre que les patients ont renoncé au secret médical lorsqu’ils publient un avis sur internet, puisqu’au cas d’espèce, ils critiquent le prix, la douleur ressentie, sans préciser le type de soins pratiqués et sans qu’il soit en conséquence possible pour Madame Z X d’argumenter sur le choix du traitement et son coût.

Il existe dès lors comme c’est le cas en l’espèce un déséquilibre patent entre le professionnel et l’utilisateur du service et l’incidence pour le professionnel concerné peut être importante.

Il est d’ailleurs de notoriété publique que les avis Y servent régulièrement à se faire de l’autopromotion ou à dénigrer un concurrent.

Que ces avis constituent pour les citoyens numériques une source d’information, c’est une réalité. La question se pose par contre très clairement de savoir si pour un juriste ces avis peuvent être qualifiés « d’information » et si la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED peuvent se prévaloir d’un droit à l’information sur le plan juridique.

Au vu de ce qui vient d’être exposé, le tribunal considère que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED n’ont absolument pas procédé à une pondération entre leur intérêt légitime de participer à l’information et les droits et intérêts des personnes dont les données sont traitées et qu’elles ne veillent pas à l’adoption de garanties supplémentaires ou autres mesures additionnelles afin d’atteindre ainsi un équilibre entre les droits et intérêts en cause.

En ce sens, la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société

GOOGLE IRELAND LIMITED ne justifient pas d’un intérêt légitime leur permettant de passer outre le consentement de la personne à voir publiées ses données personnelles et des avis accolés à ces données personnelles.

3/ Sur le non respect de l’obligation de loyauté

Par ailleurs, disposer d’une base légale, aussi appropriée et légitime soit-elle, « ne dispense pas le responsable du traitement des données de respecter les obligations de loyauté, de licéité, de nécessité et de proportionnalité » ou encore celle de « qualité des données » (Groupe de « article 29 », avis n° 06/2014, 9 avril 2014, WP 217, p. 12)

En pratique, le respect de l’obligation de collecte licite, loyale et, désormais, transparente suppose encore pour les personnes concernées de pouvoir exercer les droits dont elles disposent, en particulier d’opposition, avant que le traitement de leurs données personnelles ne soit effectué.

Ainsi, l’article 14 du RGPD dispose à ce titre que lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement;

b) le cas échéant, les coordonnées du délégué à la protection des données;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement;

d) les catégories de données à caractère personnel concernées;

e) le cas échéant, les destinataires ou les catégories de destinataires des données à cara ctère personnel;

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition;

---

23

2- En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée:

a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée;

b) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

c) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci;

e) le droit d’introduire une réclamation auprès d’une autorité de contrôle;

f) la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public;

g) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2:

a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;

b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne; ou

c) s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois. Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où:

a) la personne concernée dispose déjà de ces informations;

b) la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure

où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles;

c) l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’Etat membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée; ou

d) les données à caractère personnel doivent rester confidentielles en vertu d’une obligation de secret professionnel réglementée par le droit de l’Union ou le droit des États membre, y compris une obligation légale de secret professionnel.

Le principe de loyauté requiert avant tout que les données personnelles ne soient pas traitées d’une manière qui puisse être préjudiciable, discriminatoire, inattendue ou trompeuse pour les personnes concernées. (EDPB, Guidelines 4/2019 on Article 25

Data Protection by Design and by Default, 20 Oct. 2020, v.2.0, p. 17, pt 3.3, § 69). Le respect de ce principe impose en pratique aux responsables de traitement de permettre aux intéressés d’exercer leurs droits et notamment le droit d’opposition.

Ces exigences sont en effet « conçues de manière à doter les personnes concernées des informations utiles pour qu’elles puissent revendiquer leurs droits et demander des comptes aux responsables du traitement quant au traitement de leurs données à caractère personnel »

Les personnes doivent ainsi être informées de la possibilité que se réserve la personne privée de transmettre leurs données à un tiers. A défaut d’avoir fait l’objet d’une information au stade du recueil des données, une telle obligation requiert en pratique de procéder à l’information des intéressés préalablement à la transmission de leurs données personnelles à un tiers ou dans un délai raisonnable;

En l’espèce, le tribunal relève que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED revendiquent dans leurs conclusions le fait que : « Sur un plan factuel, rappelons que la création d’une Fiche d’établissement professionnel ne requiert ni l’aval, ni le concours du professionnel. En outre, Y ne procède à aucune notification visant à signaler aux professionnels l’existence de ces fiches », reconnaissant ainsi que la violation des articles 14 et 15 du RGPD.

Aucune des informations nécessaires n’ont été communiquées à Madame Z X ni lorsque ses données ont été collectées par Y auprès de la société INFOBEL, ni lorsque sa fiche a été créée et les avis diffusés.

In fine, il est démontré que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED n’ont pas respecté le principe de loyauté.

c) Sur l’absence de transparence du traitement des données de Madame Z X
Madame Z X soutient que le traitement de ses données, tant dans son objet que dans ses finalités n’a pas été transparent en ce qu’elle n’a jamais été informée tant de l’objet que de la finalité de la fiche GMB. Elle précise que le traitement des données de la fiche GMB est aussi obscur que celui des données des utilisateurs du service ANDROID qui a été sanctionné. Elle ajoute qu’elle n’a pas été informée de la création de la fiche et à fortiori des droits dont elle disposait, ce qui ne lui a pas permis de les exercer.

Un tel critère impose en pratique que les autorités auxquelles l’accès aux données personnelles est accordé « doivent en informer les personnes concernées ». La garantie est en effet essentielle, en ce qu’une telle information < est nécessaire pour que ces personnes puissent exercer leur droit de recours ». La seule limite envisagée est que l’information ne doit pas « compromettre les enquêtes » en cours. (CJUE, 21 déc. 2016, aff. C-203/15 et C-698/15, Tele2 Sverige AB c/ Post-och telestyrelsen, et Secretary of State for the Home Department c/ Tom Watson, Peter Brice, Geoffrey Lewis, pt 121, préc. n° 6.)

Selon le RGPD (Règl. (UE) 2016/679, 27 avr. 2016, cons. 39) il (le principe de transparence) implique en effet que « les personnes physiques devraient être informées des risques, règles, garanties et droits liés au traitement des données à caractère personnel et des modalités d’exercice de leurs droits en ce qui concerne ce traitement »

En l’espèce, les sociétés défenderesses reconnaissent qu’elles n’ont pas informé les professionnels, ni du traitement de leurs données, ni des risques, règles, garanties et droits liés au traitement de ces données et en conséquence, il doit être jugé que le principe de transparence n’a pas été respecté.

§3 Sur l’opposition de Madame Z X au traitement de ses données
Madame Z X s’oppose au traitement de ses données en se basant sur l’article 21 du RGPD. Elle estime en effet que le traitement de ses données est illégal, ce qui légitime son opposition. Elle ajoute que cette opposition est légitime car elle ne peut exercer son activité comme un commerce, faire de la publicité, révéler des. informations couvertes par le secret médical ou discuter en ligne avec ses patients. Elle précise que son opposition est également justifiée en raison de la prospection commerciale et du profilage lié à une prospection commerciale, réalisés par GOOGLE, l’opposition étant alors de droit.

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND FRANCE contestent que Madame Z X puisse s’opposer au traitement de ses données, au motif que le traitement des dites données est nécessaire à l’exercice du droit à la liberté d’expression et d’information. Elles contestent encore que le traitement réalisé dans le cadre des fiches d’établissement constitue un profilage. Elles soutiennent en effet que les informations rassemblées ne font l’objet d’aucun traitement de leur part visant à évaluer les caractéristiques individuelles de Madame Z X. Elles prétendent que les données sont affichées de façon neutre au sein de la fiche d’établissement professionnel, sans qu’il ne soit procédé à leur analyse automatisée, ou qu’il soit dressé un profil ou qu’il n’en soit tiré des conclusions particulières. Elles précisent que l’appréciation portée par un patient reflète l’opinion subjective de son auteur sur la base de sa propre expérience auprès du professionnel concerné.

En application de l’article 21 du RGPD, la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions. Le responsable du traitement ne traite plus les données à caractère personnel, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.

Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection.

Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins.

Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l’attention de la personne concernée et est présenté clairement et séparément de toute autre information.

Dans le cadre de l’utilisation de services de la société de l’information, et nonobstant la directive 2002/58/CE, la personne concernée peut exercer son droit d’opposition à l’aide de procédés automatisés utilisant des spécifications techniques.

Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques en application de l’article 89, paragraphe 1, la personne concernée a le droit de s’opposer, pour des raisons tenant à sa situation particulière, au traitement de données à caractère personnel la concernant, à moins que le traitement ne soit nécessaire à l’exécution d’une mission d’intérêt public.

Il a été jugé supra que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ne pouvaient se prévaloir d’un droit à l’information pour traiter les données de Madame Z X et qu’elles ne justifiaient ainsi pas d’un intérêt légitime leur permettant d’outrepasser le consentement de Madame Z X.

Par ailleurs, l’article 4 du RGPD définit le profilage comme toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique. Le groupe de travail « article 29 » précise que « le profilage est une procédure qui peut comporter une série de déductions statistiques. Il est souvent utilisé pour faire des prédictions au sujet des gens, en utilisant des données provenant de diverses sources pour déduire quelque chose sur une personne, en se fondant sur les qualités d’autres personnes qui semblent similaires sur le plan statistique. »>

« le profilage peut comporter trois étapes distinctes (i) une collecte de données, (ii) une analyse automatisée afin d’établir des corrélations, (iii) l’application de la corrélation à une personne pour déduire les caractéristiques du comportement actuel ou futur. »

« d’une manière générale, le profilage consiste à recueillir des informations sur une personne (ou un groupe de personnes) et à évaluer leurs caractéristiques ou leurs comportements afin de les places dans une certaine catégorie ou un certain groupe, notamment pour analyser et/ou faire des prédictions. »

En l’espèce, les données de Madame Z X sont utilisées pour évaluer certains aspects personnels et notamment pour analyser des éléments concernant son rendement au travail, le rendement au travail étant entendu comme sa capacité à bien soigner ses patients, sa compétence, sa fiabilité et son comportement.

Les données de Madame Z X sont collectées, grâce au système d’étoiles des avis laissés par les internautes, une analyse automatisée est réalisée qui permet de placer Madame Z X dans une certaine catégorie, allant du bon professionnel au professionnel médiocre, en fonction du nombre d’étoiles obtenues. A partir de là, il est tout à fait possible pour Y de faire des prédictions statistiques.

Or les responsables du traitement devraient « tenir compte de l’exactitude à toutes les étapes du processus de profilage », en particulier lors de « la collecte de données », de « l’analyse [de ces] données », mais aussi de « l’établissement du profil d’une personne » et, évidemment, de « l’application d’un profil pour prendre une décision affectant

[cette] personne » (Groupe de l’article 29, Lignes directrices relatives à la prise de décision individuelle automatisée et au profilage aux fins du règlement (UE) 2016/679, 6 février 2018, WP 251rév.01, pt III, A, 4, p. 12 s.).

Comme le souligne la doctrine, si les données collectées sont inexactes, le profilage l’est aussi, ce qui peut être lourd de conséquences pour la personne concernée. Or en l’espèce, les sociétés défenderesses n’ont mis en place aucune procédure permettant de vérifier que les avis collectés sont fiables et permettent un classement efficient de Madame Z X.

Faute pour la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED de démontrer l’existence d’un intérêt légitime, lié à la manière dont le profilage est réalisé, elles ne peuvent s’opposer à ce que Madame Z X exerce son droit à s’opposer au traitement de ses données.

Par ailleurs, Madame Z X invoque la possibilité de s’opposer au profilage de ses données en raison de l’utilisation des dites données à des fins de prospection commerciale.

La prospection commerciale se définit comme l’action qui permet à une entreprise de fidéliser sa clientèle ou de recruter de nouveaux prospects.

Il a été jugé supra que si la diffusion de la seule fiche du professionnel poursuit en effet un caractère informatif, la diffusion combinée de la fiche et des avis constitue le moyen pour les sociétés Google d’inciter fortement les professionnels à recourir à ses services, qu’ils soient gratuits ou payants et que la SARL Y FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED se livrent à des actes de prospection commerciale sans le consentement de Madame Z X.

En conséquence, il doit être jugé que Madame Z X est légitime à invoquer son droit d’opposition au traitement de ses données non seulement en raison de l’absence d’intérêt légitime démontré par la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED , mais également en raison du fait que les sociétés défenderesses se livrent à des actes de prospection commerciale.

§4 Sur la demande d’effacement, dit de droit à l’oubli formulée par Madame Z X
Madame Z X affirme que le traitement de ses données est interdit et constitutif d’infractions pénales. Au regard de l’ensemble des violations, notamment du RGPD, qu’elle dénonce, elle demande que sa fiche soit supprimée.

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED s’opposent à cette demande.

L’article 17b du RGPD énonce que « la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique:

a) les données à caractère personnel ne sont plus nécessaires au regard des finalités lesquelles elles ont été collectées ou traitées d’une autre manière;

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a), ou à l’article 9, paragraphe 2, point a), et il n’existe pas d’autre fondement juridique au traitement;

c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2;

d) les données à caractère personnel ont fait l’objet d’un traitement illicite;

e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’Etat membre auquel le responsable du traitement est soumis;

f) les données à caractère personnel ont été collectées dans le cadre de l’offre de services de la société de l’information visée à l’article 8, paragraphe 1.

2. Lorsqu’il a rendu publiques les données à caractère personnel et qu’il est tenu de les effacer en vertu du paragraphe 1, le responsable du traitement, compte tenu des technologies disponibles et des coûts de mise en oeuvre, prend des mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement qui traitent ces données à caractère personnel que la personne concernée a demandé l’effacement par ces responsables du traitement de tout lien vers ces données à caractère personnel, ou de toute copie ou reproduction de celles-ci.

3.Les paragraphes 1 et 2 ne s’appliquent pas dans la mesure où ce traitement est nécessaire :

a) à l’exercice du droit à la liberté d’expression et d’information;

b) pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement;

c) pour des motifs d’intérêt public dans le domaine de la santé publique, conformément à l’article 9, paragraphe 2, points h) et i), ainsi qu’à l’article 9, paragraphe 3;

d) à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l’article 89, paragraphe 1, dans la mesure où le droit visé au paragraphe 1 est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement; ou

e) à la constatation, à l’exercice ou à la défense de droits en justice. »

A titre liminaire, il sera souligné que la présente juridiction, de nature civile, n’a pas qualité pour déterminer si la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED se sont rendues coupables des infractions

pénales dénoncées par Madame Z X, à qui il appartient de dénoncer les faits aux autorités compétentes.

Pour le surplus, force est de constater que les données de Madame Z X ont fait l’objet d’un traitement illicite et que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ne démontrent pas l’intérêt légitime impérieux et nécessaire au traitement invoqué. La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED échouent également à démontrer que le traitement des données de Madame Z X est nécessaire au nom du droit à l’information.

In fine, il doit être jugé que :

*la fiche GOOGLE MY BUSINESS de Madame Z X constituée par la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED constitue un traitement automatisé de ses données personnelles ayant pour finalité sa prospection commerciale, au moyen d’un profilage,

*la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ont manqué à leur obligation de collecte loyale, licite et transparente des données de Madame Z X, que la finalité du traitement n’est pas déterminée, ni légitime.

*

En conséquence, la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED seront condamnées à supprimer la fiche GOOGLE MY BUSINESS de Madame Z X sous astreinte de 100 euros par jour à l’issue d’un délai de deux mois à compter de la signification de la présente décision.

§5 Sur la mise hors de cause de la société GOOGLE FRANCE

La société GOOGLE FRANCE sollicite sa mise hors de cause arguant du fait qu’elle est étrangère à la publication des Fiches d’Etablissement Professionnel et à la publication des données personnelles correspondantes, ainsi qu’à l’hébergement des avis sur celles ci. Elle conteste encore avoir joué le moindre rôle dans le traitement des avis.

Sur sa participation, la société GOOGLE FRANCE affirme que sa participation consiste essentiellement en une mission de conseil et de marketing, dans le cadre d’un contrat de prestation de service pour la France, conclu avec la société Y D, qui commercialise en Europe divers services publicitaires tels que les services Google adwords et Google adsense. Elle précise qu’elle se contente d’être un relais pour les clients et prospects professionnels domiciliés en France, sans exploiter le service de recherche web.

Elle affirme encore n’avoir aucune maitrise juridique ou technique du moteur de recherche Google search, de Google maps, ainsi que des Fiches d’Etablissement Professionnel et des avis des consommateurs susceptibles d’y apparaître. Elle prétend ne pas non plus être l’hébergeur du site www.google.fr.

Elle expose encore que juridiquement, elle n’a pas la qualité de mandataire de GOOGLE LLC ou de GOOGLE IRELAND et qu’elle n’a en conséquence pas l’agrément juridique nécessaire pour prendre le moindre engagement au nom de ces sociétés.

La société GOOGLE FRANCE rappelle que la CJUE n’a jamais admis une quelconque responsabilité la concernant dans l’exploitation des services liés au moteur de recherche Y search.
Madame Z X rappelle que dès qu’un professionnel revendique sa fiche et ouvre un compte, la société GOOGLE FRANCE lui adresse un courrier dans lequel elle fait la promotion des services adwords, ce qui démontre bien que cette société collecte les données utilisées par le professionnel pour ouvrir son compte, aux fins de le prospecter sous la forme d’un courrier papier. Madame Z X estime ainsi que la société GOOGLE FRANCE agit pour le compte de GOOGLE LLC et qu’elle est non seulement un moyen de traitement mais aussi un sous-traitant de la société GOOGLE LLC

Le responsable du traitement est la personne physique ou morale qui détermine les moyens et les finalités d’un traitement de données personnelles.

Les juges de la Cour de Justice de l’Union Européenne dans une décision en date du 13 mai 2014 (C131/12 Y spainc/Agencia Espanola de Proteccion de Datos) ont estimé que :

« 49 Or, il n’est pas contesté que Y Spain se livre à l’exercice effectif et réel d’une activité au moyen d’une installation stable en Espagne. Etant en outre dotée d’une personnalité juridique propre, elle constitue ainsi une filiale de Y Inc. sur le territoire espagnol et, partant, un «établissement» au sens de l’article 4, paragraphe 1, sous a), de la directive 95/46.

50 Afin de satisfaire au critère établi à cette disposition, encore faut-il que le traitement de données à caractère personnel par le responsable de celui-ci soit «effectué dans le cadre des activités» d’un établissement de ce responsable sur le territoire d’un État membre.

51 Google Spain et Google Inc. contestent que ce soit le cas dès lors que le traitement de données à caractère personnel en cause au principal est effectué exclusivement par Y Inc., qui exploite Google Search sans aucune intervention de la part de Google Spain, dont l’activité se limite à la fourniture d’un soutien à l’activité publicitaire du groupe Google qui est distincte de son service de moteur de recherche.

52 Cependant, ainsi que l’ont souligné notamment le gouvernement espagnol et la Commission, l’article 4, paragraphe 1, sous a), de la directive 95/46 exige non pas que le traitement de données à caractère personnel en question soit effectué «par»> l’établissement concerné lui-même, mais uniquement qu’il le soit«dans le cadre des activités» de celui-ci. »>

«< 53 En outre, au vu de l’objectif de la directive 95/46 d’assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel, cette dernière expression ne saurait recevoir une interprétation restrictive (voir, par analogie, arrêt L’Oréal e.a., C-324/09, EU:C:2011:474, points 62 et 63).

54 Il convient de relever dans ce contexte qu’il ressort notamment des considérants 18 à 20 et de l’article 4 de la directive 95/46 que le législateur de l’Union a entendu éviter qu’une personne soit exclue de la protection garantie par celle-ci et que cette protection soit contournée, en prévoyant un champ d’application territorial particulièrement large.

55 Compte tenu de cet objectif de la directive 95/46 et du libellé de son article 4, paragraphe 1, sous a), il y a lieu de considérer que le traitement de données à caractère personnel qui est fait pour les besoins du service d’un moteur de recherche tel que Y Search, lequel est exploité par une entreprise ayant son siège dans un État tiers mais disposant d’un établissement dans un Etat membre, est effectué «dans le cadre des activités» de cet établissement si celui-ci est destiné à assurer, dans cet État membre, la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur.

56 En effet, dans de telles circonstances, les activités de l’exploitant du moteur de recherche et celles de son établissement situé dans l’État membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l’accomplissement de ces activités.

57 À cet égard, il convient de rappeler que, ainsi qu’il a été précisé aux points 26 à 28 du présent arrêt, l’affichage même de données à caractère personnel sur une page de résultats d’une recherche constitue un traitement de telles données. Or, ledit affichage de résultats étant accompagné, sur la même page, de celui de publicités liées aux termes de recherche, force est de constater que le traitement de données à caractère personnel en question est effectué dans le cadre de l’activité publicitaire et commerciale de l’établissement du responsable du traitement sur le territoire d’un État membre, en l’occurrence le territoire espagnol.

58 Dans ces conditions, il ne saurait être accepté que le traitement de données à caractère personnel effectué pour les besoins du fonctionnement dudit moteur de recherche soit soustrait aux obligations et aux garanties prévues par la directive 95/46, ce qui porterait atteinte à l’effet utile de celle-ci et à la protection efficace et complète des libertés et des droits fondamentaux des personnes physiques qu’elle vise à assurer (voir, par analogie, arrêt L’Oréal e.a., EU:C:2011:474, points 62 et 63), notamment celui au respect de leur vie privée, à l’égard du traitement des données à caractère personnel, auquel cette directive accorde une importance particulière ainsi que le confirment notamment son article 1er, paragraphe 1, et ses considérants 2 et 10 (voir, en ce sens, arrêts Österreichischer Rundfunk e.a., C-465/00, C-138/01 et C-139/01, EU:C:2003:294, point 70; Rijkeboer, C-553/07, EU:C:2009:293, point 47, ainsi que IPI, C-473/12, EU:C:2013:715, point 28 et jurisprudence citée).

59 Dans la mesure où la première des trois conditions énumérées par la juridiction de renvoi suffit à elle seule pour conclure qu’un établissement tel que Y Spain satisfait au critère prévu à l’article 4, paragraphe 1, sous a), de la directive 95/46, il n’est pas nécessaire d’examiner les deux autres conditions.

60 Il découle de ce qui précède qu’il convient de répondre à la première question, sous a), que l’article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet Etat membre. »

Dans le cadre d’un raisonnement par analogie et quand bien même le moteur de recherche google search n’est pas concerné, il doit également être considéré que le groupe GOOGLE a recours à sa filiale GOOGLE FRANCE pour la promotion des ventes d’espaces publicitaires proposés aux professionnels et générés par le site web www.Y.com ». En outre, la Société GOOGLE FRANCE jouit d’une personnalité juridique propre et elle a son siège social à Paris en France. Elle constitue ainsi un «établissement »

Le RGPD rappelle en son article 3 relatif à son champ d’application territorial, que tout traitement de données à caractère personnel qui a lieu dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union devrait être effectué conformément au présent règlement, que le traitement lui même ait lieu ou non dans l’Union.

Or, le traitement des données à caractère personnel qui est fait comme il a été vu supra notamment pour les besoins publicitaires de la société GOOGLE FRANCE est effectué dans le cadre des activités des autres sociétés GOOGLE. Les activités des sociétés GOOGLE sont ainsi indissociablement liées en ce que les activités relatives aux espaces publicitaires permettent de proposer un annuaire qualitatif des professionnels gratuit et de le rendre rentable, alors que cet annuaire est dans le même temps le moyen permettant l’accomplissement des activités de publicité.

Au surplus, Madame Z X a fait l’objet d’une prospection électronique, activité qui relève de la société GOOGLE FRANCE et la société GOOGLE FRANCE doit ainsi être reconnue comme étant responsable d’un traitement de données électroniques.

En conséquence, la demande de mise hors de la SARL GOOGLE FRANCE sera rejetée.

§6 Sur la responsabilité de la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED
Madame Z X affirme que la société GOOGLE LLC engage sa responsabilité en qualité de responsable du traitement de ses données personnelles, d’hébergeur et de professionnel, soumis au code de la consommation. Elle expose également que la société GOOGLE FRANCE engage sa responsabilité en qualité de sous-traitant du traitement des données personnelles effectué par la société GOOGLE LLC et en sa qualité de professionnel. Elle prétend enfin que la société GOOGLE LLC engage sa responsabilité en ce que depuis le 22 janvier 2019, le service GMB est exploité par cette société pour les utilisateurs résidant dans l’espace Economique Européen et en Suisse. Elle estime que les sociétés défenderesses engagent leur responsabilité sur le fondement des articles 9, 1240 et 1241 du code civil, en ce qu’elles ont utilisé ses données personnelles en vue de troubler sa tranquillité, en la laissant être dénigrée par des personnes anonymes et en profitant gratuitement de ses données. Elle fait valoir qu’elle a perdu une chance de s’opposer au traitement de ses données et qu’elle a dû supporter des frais de justice conséquents pour tenter d’obtenir l’identité de personnes anonymes. Elle soutient encore subir un préjudice d’anxiété relatif au fait d’être notée et évaluée par n’importe qui et dans n’importe quelles conditions. Outre le retrait de sa fiche, Madame Z X demande tous chefs de préjudices confondus la somme de 50 000 euros.

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED soutiennent que les griefs invoqués par Madame Z X sont peu sérieux. Elles contestent usurper l’identité de Madame Z X aux yeux des tiers et exposent que leur but est de fournir des informations objectives à propos de l’établissement et recueillir des avis au sujet de son activité professionnelle. Elles soutiennent que les auteurs des propos dénigrant sont seuls responsables de leurs avis, dans la mesure où elles ne sont que l’hébergeur de ces avis. Au fond, elles contestent que les avis émis puissent être qualifiés de dénigrants, en ce qu’ils relèvent uniquement du droit de la presse, alors que des avis négatifs ne sont pas synonymes d’abus dans la liberté d’expression. Elle fait encore valoir que le préjudice financier de Madame Z X est hypothétique, que les inconvénients résultant du fait pour tout professionnel d’être exposé à la critique des consommateurs doivent être considérés comme acceptables dans une société démocratique.

L’article 1240 du code civil dispose que tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer.

Si Madame Z X n’a pas besoin de démontrer un préjudice pour prétendre exercer les droits à opposition et les droits à l’oubli tirés du RGPD, elle peut également prétendre à l’indemnisation de préjudices qui découleraient directement de fautes commises par les sociétés défenderesses.

En l’espèce, au vu du nombre de manquements et violations du RGPD qui sont établis, il est incontestable que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ont commis des fautes.
Madame Z X invoque encore des fautes relatives au dénigrement, au parasitisme et à l’atteinte à la vie privée.

a) Sur l’atteinte à la vie privée
Madame Z X ne démontre pas une atteinte à sa vie privée, les données collectées par les sociétés défenderesses n’ayant pas eu pour effet de surveiller ses faits et gestes de manière continue.

b) Sur le dénigrement

Le dénigrement consiste selon la jurisprudence « à porter atteinte à l’image de marque d’une entreprise ou d’un produit désigné ou identifiable afin de détourner la clientèle en usant de propos ou d’arguments répréhensibles ayant ou non une base exacte, diffusés ou émis en tout cas de manière à toucher les clients de l’entreprise visée, concurrente ou non de celle qui en est l’auteur » (Cour d’appel de Versailles, 9 sept. 1999).

Il entre dans la mission des tribunaux de distinguer le dénigrement de ce qui n’est qu’une critique (Cour de cassation Civ. 16 juin 2005) et le juge doit rechercher si les agissements litigieux ont ou non dépassé le droit de libre critique.

En matière de dénigrement, la Cour de cassation rappelle que « lorsque l’information en cause se rapporte à un sujet d’intérêt général et repose sur une base factuelle suffisante » elle « relève du droit à la liberté d’expression, qui inclut le droit de libre critique, et ne saurait, dès lors, être regardée comme fautive, sous réserve qu’elle soit exprimée avec une certaine mesure » (Cour de cassation Civ. 1re, 11 juillet 2018).

Des propos factuels ne peuvent être constitutifs de dénigrement. Par contre, laisser croire que des professionnels réalisent des profits excessifs ou réalisent des actes délictueux constitue du dénigrement. (Cour d’appel de Paris 09 décembre 1992). Le dénigrement peut porter sur la personne même du concurrent, dans des propos visant son honorabilité ou sa compétence professionnelle.

La caractérisation des propos dénigrants implique donc la vérification de trois critères : l’existence d’un sujet d’intérêt général, le support d’une base factuelle suffisante et l’expression mesurée.

En l’espèce, la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ne démontrent pas que la base factuelle soit suffisante, puisque rien ne permet de démontrer que les avis sont vérifiés.

Les propos tenus par les internautes concernent en l’espèce l’honorabilité et les compétences professionnelles de Madame X « regardez bien vos remboursements » « la sécurité sociale devrait être attentive à ces pratiques '> < je ne la trouve pas professionnelle du tout », Dentiste horrible, juste nulle » praticienne horrible avec les enfants ! Dangereuse! (…) une femme abominable »>«< arrogante et sans aucune forme d’empathie » « il semblerait que cette praticienne soit adepte des faux commentaires 5 étoiles pour contrebalancer son manque de professionnalisme »>.

Vu la violence des critiques qui peuvent être formulées à l’encontre d’un professionnel et des atteintes qu’elles peuvent avoir sur la personne qui en est l’objet, les sociétés défenderesses doivent s’assurer que la base factuelle est suffisante avant de laisser publier les avis, ce qui est loin d’être le cas en l’espèce.

Quand bien même les actes de dénigrement ne sont pas commis par des sociétés concurrentes, il a été largement démontré que les sociétés GOOGLE en profitent directement, leur publicité étant basée sur la possibilité d’améliorer les avis GOOGLE et la visibilité de l’entreprise. Le dénigrement est donc caractérisé.

c) Le parasitisme

Le parasitisme se définit comme l’ensemble des comportements par lesquels un agent économique s’immisce dans le sillage d’un autre afin de tirer profit, sans rien dépenser, de ses efforts et de son savoir-faire. Il se manifeste toujours par l’exploitation du travail, des idées, des investissements, de la publicité ou de la notoriété d’autrui. Il vise à utiliser, pour son propre profit, le succès commercial et industriel d’un autre. On parle d’agissements parasitaires en l’absence de rapport concurrentiel. Les agissements parasitaires interviennent principalement dans le domaine de l’utilisation des signes distinctifs notoires.

Le dommage sera souvent moral et résultera de tout trouble commercial provoqué ou induit de la pratique reprochée

En l’espèce, les sociétés GOOGLE utilisent les données de Madame Z X et notamment son savoir-faire pour que des internautes puissent donner un avis. En fonction des avis donnés, les internautes à la recherche d’un praticien de même spécialité que Madame Z X dans le secteur, ne connaissant personne et qui utilisent les services du moteur de recherche google, vont se positionner et choisir leur praticien en fonction de différents critères et notamment des avis laissés par les internautes.

Les avis google sont devenus importants sur internet pour se faire une publicité positive et gagner en clientèle et de nombreux professionnels utilisent ainsi les services de Y afin de se faire une réputation, comme l’affirme le support GOOGLE : « les avis google fournissent des informations utiles pour vous aider à gagner en visibilité ».

Par le biais des avis et fiches, GOOGLE créé et organise sans avoir à le dire, sans avoir à dépenser le moindre centime, sous couvert de droit à l’information, une mise en concurrence des prestataires d’un même service dans une région donnée, ce qui lui permet de leur offrir grâce à ses propres services, gratuits et payants des moyens d’accroitre leur visibilité.

Ce faisant, il est très clair que grâce à un système particulièrement verrouillé puisque personne ne peut en sortir de son plein gré, les sociétés Y tirent profit de la réputation des professionnels.

Les agissements parasitaires sont ainsi caractérisés.
Madame Z X démontre que ces fautes ont engendré pour elle un surcroit de travail puisqu’elle a été dans l’obligation d’effectuer elle-même des démarches pour identifier puis contacter les auteurs d’avis afin d’exercer ses droits.

Il est également certain que Madame Z X subit un préjudice moral dans la mesure où des avis négatifs invérifiables ont été déposés sur sa fiche Y et en raison du fait que les sociétés GOOGLE grâce à des avis invérifiables tirent profit d’une mise en concurrence en proposant des services directement liés à ces avis.

Au surplus, Madame Z X subit également un préjudice moral en ce qu’elle a toujours refusé que ses données fassent l’objet d’un traitement et que les sociétés défenderesses lui dénient ce droit.

L’ensemble de ces éléments justifient que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED soient condamnées in solidum à payer à Madame Z X une somme de 20 000 euros au titre de son préjudice moral.

§7 Sur les mesures accessoires

L’article 515 du Code de Procédure Civile dispose : « Hors les cas où elle est de droit, l’exécution provisoire peut être ordonnée, à la demande des parties ou d’office, chaque fois que le juge l’estime nécessaire et compatible avec la nature de l’affaire, à condition qu’elle ne soit pas interdite par la loi. Elle peut être ordonnée pour tout ou partie de la condamnation ».

Il ressort de la nature de l’affaire et de son ancienneté que l’exécution provisoire doit être ordonnée.

Aux termes de l’article 696 du Code de Procédure Civile, la partie perdante est condamnée aux dépens, à moins que le juge, par décision motivée, n’en mette la totalité ou une fraction à la charge d’une autre partie.

La SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED qui succombent supporteront la charge des dépens, en application des dispositions des articles 696 et 699 du Code de Procédure Civile.

En application de l’article 700 du code de Procédure Civile, dans toutes les instances le juge condamne la partie tenue aux dépens ou, à défaut, la partie perdante à payer à l’autre partie la somme qu’il détermine au titre des frais exposés et non compris dans les dépens. Le juge tient compte de l’équité ou de la situation économique de la partie condamnée. Il peut, même d’office, pour des raisons tirées des mêmes considérations, dire qu’il n’y a lieu à condamnation.

Il serait inéquitable de laisser à la charge de Madame Z X les frais irrépétibles qu’elle a dû engager, dont le montant est fixé à 20000 euros, somme au paiement de laquelle la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED sont condamnées in solidum, leur propre réclamation sur ce même fondement étant rejetée, et ce en application de l’article 700 du Code de Procédure Civile.

---

PAR CES MOTIFS

Le Tribunal, statuant publiquement, après débats en audience publique, par jugement contradictoire, en premier ressort et prononcé par mise à disposition au Greffe,

DIT que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ont commis une faute en ne déclarant pas à la CNIL le traitement des données automatisées de Madame Z X,

REJETTE la demande de Madame Z X tendant à voir sa fiche et ses données effacées au titre de l’absence de respect des formalités préalables.

DIT que Madame Z X n’a jamais consenti au traitement automatisé de ses données personnelles,

DIT que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ne justifient pas d’un intérêt légitime leur permettant de procéder au traitement automatisé des données personnelles de Madame Z X sans son consentement,

DIT que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED n’ont pas respecté le principe de loyauté dans, la collecte des données de Madame Z X,
DIT que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la, société GOOGLE IRELAND LIMITED n’ont pas respecté le principe de transparence du traitement des données de Madame Z X,
DIT en conséquence, que Madame Z X est légitime et bien fondée à invoquer son droit d’opposition au traitement de ses données

CONDAMNE la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED à supprimer la fiche Y MY BUSINESS de Madame Z X sous astreinte de 100 euros par jour à l’issue d’un délai de deux mois à compter de la signification de la présente décision.

REJETTE la demande de la SARL GOOGLE FRANCE tendant à être mise hors de cause,

DIT que les manquements aux principes du RGPD susvisés sont constitutifs de fautes,

DIT en outre que la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED ont commis des actes de dénigrement et d’agissements parasitaires, constitutifs de fautes,

DIT en conséquence que la responsabilité délictuelle de la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED est engagée,

CONDAMNE in solidum la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED à payer à Madame Z X la somme de 20 000 euros au titre de son préjudice moral,

CONDAMNE in solidum la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED à payer à Madame Z X la somme de 20000 euros au titre de l’article 700 du code de procédure civile,

DEBOUTE la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED de leur demande au titre de l’article 700 du code de procédure civile,

CONDAMNE in solidum la SARL GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED aux entiers dépens de l’instance,

ORDONNE l’exécution provisoire de la présence décision,

REJETTE toutes les autres demandes plus amples ou contraires formées par l es parties.

Ainsi jugé et prononcé le 15 Septembre 2022 par le Tribunal Judiciaire de Chambéry, la minute étant signée par :

Le Greffier, Le Président,