Tribunal judiciaire de Paris, 5e chambre 1re sec, 9 mars 2021, n° 18/05918

TRIBUNAL JUDICIAIRE DE PARIS 1  5^e chambre 1^re section

N° RG 18/05918 N° Portalis JUGEMENT 352J-W-B7C-CM6ZL rendu le 09 Mars 2021 N° MINUTE :

Assignation du : 24 Avril 2018 DEMANDEUR

Monsieur Y Z […] représenté par M^e Hong Ngoc NGUYEN, avocat au barreau de PARIS, vestiaire #E0601, avocat postulant, et par M^e Arnaud DIMEGLIO, avocat au barreau de MONTPELLIER, avocat plaidant

DÉFENDERESSES

S.A.R.L. GOOGLE FRANCE 8 rue de Londres 75009 PARIS représentée par M^e Alexandra NERI du PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocats au barreau de PARIS, vestiaire #J0025

Société GOOGLE LLC 1600 Amphithéatre Parkway Mountain View 94043 CALIFORNIA (USA) représentée par M^e Alexandra NERI du PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocats au barreau de PARIS, vestiaire #J0025

PARTIE INTERVENANTE VOLONTAIRE

Société GOOGLE IRELAND LIMITED Gordon House, Barrow Street DUBLIN 4 (IRLANDE) représentée par M^e Alexandra NERI du PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocats au barreau de PARIS, vestiaire #J0025

2 Expéditions exécutoires – M^e Hong ngoc NGUYEN – M^e Alexandra NERI délivrées le : 1 copie dossier

Page 1

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

COMPOSITION DU TRIBUNAL Florence BLOUIN, Première Vice-Présidente Adjointe Lise DUQUET, Vice-Présidente Séverine MOUSSY, Vice-Présidente

assistées de : Marine MOUGENOT, Faisant fonction de Greffier lors des débats et de Nadia SHAKI, Greffier lors du prononcé

DÉBATS A l’audience collégiale du 19 Janvier 2021 présidée par Florence BLOUIN, tenue en audience publique après clôture des débats, avis a été donné aux avocats que le jugement serait rendu par mise à disposition au greffe le 23 Février 2021, prorogé au 09 Mars 2021.

JUGEMENT Prononcé par mise à disposition au greffe Contradictoire En premier ressort

FAITS ET PROCÉDURE Monsieur Y Z est chirurgien dentiste.

Sur le moteur de recherche GOOGLE.fr lorsqu’étaient saisis le prénom et le nom Y Z, apparaissait une fiche GOOGLE relative à son activité de dentiste comprenant notamment l’adresse de son cabinet, ses horaires d’ouverture et des avis relatifs à ce cabinet et à son activité.

A sa demande, par ordonnance du 1^er septembre 2017, le président de ce tribunal a enjoint aux sociétés GOOGLE INC et GOOGLE FRANCE de lui communiquer les données permettant l’identification des auteurs des avis, visées par l’article 1 2° et 3° du décret n° 2011-219 du 25 février 2011 relatif à la conservation des données.

Le 11 septembre 2017, le conseil de Monsieur Y Z a adressé aux sociétés GOOGLE INC et GOOGLE FRANCE une demande de suppression de cette fiche, de toute fonction permettant d’utiliser ses données personnelles, de le noter et de donner son avis à son sujet, ainsi que de tout avis le concernant. Il a également sollicité la communication des données visées par l’ordonnance du 1^er septembre 2017.

Le 18 septembre 2017, une copie de cette lettre a été envoyée par mail aux conseils de ces sociétés à Paris.

Le 6 octobre 2017, la société GOOGLE a notifié en réponse sa décision de ne pas faire droit à la suppression de cette fiche et des nouveaux avis, les plus anciens ayant été effectivement supprimés.

Page 2

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Le même jour, elle a envoyé un second mail communicant des données d’identification des auteurs d’avis.

Saisi par Monsieur Y Z par une assignation en référé à heure indiquée, le juge des référés a, dans une ordonnance du 6 avril 2018, prononcé la mise hors de cause de la société GOOGLE FRANCE et ordonné à la société GOOGLE LLC (anciennement GOOGLE INC) de supprimer, dans les 15 jours à compter de la signification de l’ordonnance, la fiche GOOGLE MY BUSINESS du requérant, en ce compris toutes les informations et fonctions contenues dans cette dernière, accessible sur le moteur de recherche GOOGLE.fr en effectuant une recherche sur les mots Y Z, sous astreinte de 1 000 euros par jour de retard dans la limite de 90 jours. Les sociétés GOOGLE n’ont pas interjeté appel de cette décision qui leur a été signifiée le 17 avril 2018. Elles ont supprimé la fiche litigieuse.

Par actes d’huissier des 25 avril et 4 mai 2018, Monsieur Y Z a fait assigner la société GOOGLE FRANCE et la société GOOGLE LLC devant ce tribunal afin que l’affaire soit jugée au fond.

Dans ses dernières conclusions signifiées par voie électronique le 15 octobre 2020, Monsieur Y Z demande au tribunal, au visa des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, des articles 1, 2, 6, 7, 22, 32, 38, 40 et 67 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés (version antérieure à l’ordonnance du 12 décembre 2018), des articles 4, 5, 6, 7, 13, 14, 17, 21, 35, 82 du Règlement européen n° 2016/679 du 27 avril 2016 sur la protection des données personnelles, des articles 1,2, 4, 5, 48, 51, 56 et 80 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés (version postérieure à l’ordonnance du 12 décembre 2018), des articles 111-7-2, 121-1, 121-3, 121-4, D 111-17 et D 111-18 du code de la consommation, des articles 6 et 20 de la loi du 21 juin 2004 pour La Confiance dans l’Economie Numérique, de l’article 1 2° et 3° du décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données, des articles L. 34, L. 34-5 et R. 10-4 du code des postes et des communications électroniques, des articles 1240 et 1241 du code civil, et de l’article 32 du code de procédure civile, de:

Sur la protection des données personnelles – dire et juger que sa fiche GOOGLE MY BUSINESS constitue un traitement automatisé de ses données personnelles ayant pour finalité sa prospection commerciale, au moyen des informations contenues dans sa fiche, et de son profilage. – dire et juger que les sociétés GOOGLE ont manqué à leur obligation de : o Formalités préalables, en raison de l’absence de déclaration à la CNIL, et d’autorisation de la CNIL, o Collecte loyale et licite, en raison d’une collecte de ses données auprès de la société ORANGE et INFOBEL, sans son information préalable, o Transparence du traitement de ses données, en raison du caractère particulièrement obscur du traitement quant à son objet, sa finalité, et l’identité des personnes responsables, o Finalité déterminée du traitement, en raison de l’absence d’information explicite à son profit sur la finalité commerciale du traitement de ses données,

Page 3

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

o Finalité légitime du traitement, en raison du fait : – Que le traitement est effectué à des fins de prospection commerciale, alors qu’il exerce une profession réglementée lui interdisant de faire de la publicité, – Qu’il a pour objet des données de santé alors qu’il est tenu au secret médical et ne peut répondre publiquement à des patients, – Qu’il existe une réglementation spécifique dans le code de la santé publique concernant la diffusion de l’identité des professionnels de santé, laquelle exclut l’exploitation de ses données par une société privée telle que GOOGLE o Minimisation du traitement des données, en raison de : – L’absence de limitation dans la diffusion de la fiche – L’absence de limitation dans le contenu de la fiche – L’absence de limitation dans la notation et l’évaluation o Limitation de la durée de conservation des données, en raison de : – L’absence de limitation dans la durée de diffusion de la fiche – L’absence de limitation dans la durée de diffusion des notes et avis o Licéité du traitement, en raison de : – L’absence de consentement de sa part – L’absence d’intérêt légitime des sociétés GOOGLE – L’atteinte à ses droits et libertés fondamentaux – Transfert hors UE de leurs données vers les Etats Unis sur une base légale invalidée (Privacy shield) – dire et juger que les sociétés GOOGLE ont manqué à leur obligation de respecter ses droits : o Droit d’information, en raison de son absence d’information lors de la collecte de ses données, et de la création de sa fiche, o Droit d’opposition, en raison du fait que le traitement de ses données est effectué à des fins de prospection commerciale, et qu’il dispose de motifs légitimes, tenant à sa situation particulière de professionnel de santé, o Droit d’effacement, en raison du fait que le traitement de ses données est illicite, et effectué à des fins de prospection commerciale, – dire et juger que ce traitement est constitutif des infractions pénales suivantes : o Article 226-16 du code pénal : absence de déclaration et d’autorisation préalable o Article 226-18 du code pénal : collecte déloyale, et illicite de données o Article 226-18-1 du code pénal : traitement malgré l’opposition o Article 226-21 du code pénal : détournement de la finalité du traitement des données o Article R 625-10 et 12 du code pénal : absence d’information et d’effacement – dire et juger que le traitement de ses données est excessif en raison du fait qu’il n’est pas limité: • Dans la diffusion de la fiche : n’importe qui peut y accéder • Dans le contenu de la fiche : traitement de données non exclusivement professionnelles

• Dans la durée de conservation des données, et en particulier dans : o La durée de diffusion de la fiche o La durée de diffusion des avis

Page 4

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

• Dans la notation et l’évaluation : n’importe qui peut donner son avis – dire et juger que sa fiche GMB constitue un moyen de prospection directe ou indirecte au sens de l’article L. 34-5 du code des postes et des communications électroniques, et que les sociétés GOOGLE auraient donc dû solliciter son consentement préalable, – dire et juger que le traitement de ses données étant effectué à des fins de prospection commerciale, y compris de profilage, Monsieur Y Z n’a pas à justifier de son opposition, laquelle est « de droit », – dire et juger qu’il bénéficie du droit à l’effacement de ses données, – dire et juger que GOOGLE ne peut, en raison de sa qualité de robot et de l’article 32 du code de procédure civile, se prévaloir des exceptions liées à la liberté d’expression, – dire et juger que sa prospection et son profilage, au moyen de sa fiche GMB, ne sont pas nécessaires à l’exercice du droit à la liberté d’expression et d’information des internautes au sens de l’article 17.3 du RGPD, – dire et juger que l’exception prévue à l’article 67 (devenu l’article 80) de la loi de 1978 n’est pas davantage applicable, dans la mesure où GOOGLE ne s’exprime pas à titre artistique, littéraire, ou en qualité de journaliste professionnel, le traitement effectué par GOOGLE n’a pas été effectué à ces « seules fins », et qu’une telle dérogation, aujourd’hui, n’est pas nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information à ces seules fins, – dire et juger que les articles susvisés du code pénal dérogent dans tous les cas à ces articles, – dire et juger que le traitement de ses données affecte potentiellement gravement ses droits, – dire et juger que ces derniers prévalent par conséquent sur les intérêts économiques des sociétés GOOGLE, et celui des internautes, – dire et juger qu’il n’y a pas de raison particulière, tenant à sa situation, et d’intérêt prépondérant, de faire prévaloir les intérêts des internautes sur les droits du demandeur,

Sur la publicité trompeuse – dire et juger que les sociétés GOOGLE LLC, France et Ireland, en n’indiquant pas la véritable intention commerciale du service GOOGLE MY BUSINESS, ont altéré de manière substantielle son comportement économique, professionnel normalement informé et raisonnablement attentif et avisé, – dire et juger que la pratique des sociétés GOOGLE est trompeuse sur le fondement des articles L. 121- 3 et 4 du code de la consommation, et par voie de conséquence, déloyale au sens de l’article 121-1 du code de la consommation,

Sur l’absence d’information loyable, claire et transparente – dire et juger que les sociétés GOOGLE, sur le fondement des articles L. 111-7-2, D. 111-17 et D 111-18 du code de la consommation, ont manqué à leur obligation d’information loyale, claire et transparente,

Sur la violation de l’article 6 de la LCEN – dire et juger que les sociétés GOOGLE, ont manqué à leur obligation d’information sur le fondement de l’article 6 de la loi du 21 juin 2004 pour La Confiance dans l’Economie Numérique,

Page 5

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Sur la responsabilité des sociétés Google – dire et juger que, par leur traitement, les sociétés GOOGLE LLC, FRANCE et IRELAND ont engagé leur responsabilité sur le fondement des articles susvisés de la loi de 1978, et du RGPD, – dire et juger que, par leur comportement, les sociétés GOOGLE ont effectué des fautes tant de commission (article 1240 du code civil), que de négligence (article 1241 du code civil), – dire et juger que les manquements des sociétés GOOGLE lui ont créé un préjudice, – engager par conséquent la responsabilité des sociétés GOOGLE sur le fondement des articles susvisés.

Sur les mesures réparatrices

* Principalement, – condamner les sociétés GOOGLE LLC, FRANCE et IRELAND , sous astreinte de 1 000 euros par jour de retard, 15 jours à compter de la signification du jugement, à cesser d’utiliser définitivement ses données personnelles pour permettre l’accès et la diffusion de sa fiche GMB, sur le moteur GOOGLE.fr, * Subsidiairement, – condamner les sociétés GOOGLE LLC, France et Ireland, sous astreinte de 1 000 euros par jour de retard, 15 jours à compter de la signification du jugement, à : • Communiquer : o Les informations visées aux articles 32-1 de la loi de 1978 (avant sa modification), 13 et 14 du RGPD, 48 de la loi de 1978 modifiée par l’Ordonnance de 2018, et notamment : – La date de collecte de ses données, et de création de sa fiche – L’identité et les coordonnées du représentant du responsable du traitement – La finalité du traitement – Les coordonnées du délégué à la protection des données – L’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition; – L’existence du droit de demander au responsable du traitement l’effacement des données, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données, o Les données visées à l’article 1 2° et 3° du décret n° 2011-219 du 25 février 2011, en ce compris l’adresse IP de la création des avis, leurs dates et heures précises, o Les informations visées par les articles 111-7-2, D. 111-17 et D 111-18 du code de la consommation et notamment la date précise des avis sous la forme J/M/A et la date précise de l’expérience de consommation sous la forme J/M/A, • Identifier le caractère publicitaire de la fiche GMB,

— condamner les sociétés GOOGLE, sous astreinte de 1 000 euros par jours de retard, à : • Limiter le traitement de ses données, à ses seules données professionnelles, de façon à ce que sa fiche ne soit pas accessible, et diffusée lors d’une recherche avec ses seuls nom et prénom, mais en

Page 6

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

combinaison avec les données liées à sa profession, telles que son titre de Docteur, ou son activité de dentiste (par exemple nom et/ou prénom + dentiste ou docteur), • Limiter le traitement de ses données personnelles dans le contenu de sa fiche, à ses seules données professionnelles, en supprimant ses deuxièmes et troisièmes prénoms, et en mentionnant son titre de « Docteur », • Limiter la durée de diffusion de sa fiche à la durée de 3 ans à compter de sa diffusion en raison de la prospection commerciale du demandeur, • Supprimer les fonctions « notation » et « avis » de sa fiche,

* A titre très subsidiaire, – supprimer la fonction « notation » de la fiche, – supprimer le classement par « pertinence », et en raison du caractère « défavorable ou favorable » des avis, – limiter la durée de diffusion des avis à une durée maximale d’un an à compter de leur publication initiale, et supprimer par voie de conséquence tout avis ayant une durée supérieure à 1 an, – supprimer tous les avis dénigrants susvisés (notés 1 étoile), – condamner in solidum les sociétés LLC, FRANCE et IRELAND à verser la somme de 50 000 euros au titre de la réparation du préjudice qu’il a subi, – condamner in solidum les sociétés GOOGLE LLC, FRANCE et IRELAND à lui verser la somme de 54 000 euros au titre de l’article 700 du code de procédure civile, ainsi qu’aux entiers dépens, – ordonner l’exécution provisoire du jugement à intervenir. A l’appui de ses demandes, Monsieur Y Z indique tout d’abord la réglementation relative à la protection des données personnelles applicable, soulignant que le défaut d’information par les sociétés GOOGLE de ses droits dès la collecte de ses données empêche de connaître précisément le droit applicable : – la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers, et aux libertés modifiée par la loi du 20 juin 2018 et l’ordonnance du 12 décembre 2018, puisque les données traitées par GOOGLE ont un caractère personnel, peu important qu’il soit ou non un professionnel dès lors qu’il n’est pas une personne morale – qui ne bénéficie pas du droit des données personnelles – et peu important que ces données soient privées ou publiques ; – le Règlement Général sur la Protection des Données (RGPD) n° 2016/679 du 27 avril 2016 entré en application le 25 mai 2018, succédant à la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995, dans la mesure où le traitement de ses données est en l’état suspendu et non interrompu, pour la seule la période postérieure au 25 mai 2018 néanmoins à défaut de rétroactivité, ; – l’ordonnance du 12 décembre 2018 qui a donc modifié la loi de 1978, entrée en vigueur le 1^er juin 2019 s’agissant du traitement de ses données, postérieur à cette date.

Il ajoute que le droit des données personnelles ne se confond pas avec le droit au respect de la vie privée, de sorte que les données personnelles peuvent être protégées même lorsqu’elles n’ont pas de caractère privé mais sont publiques.

Monsieur Y Z expose ensuite quels sont les principes fondamentaux et quels sont les droits personnels que les sociétés GOOGLE ont violé au cas présent.

Page 7

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

S’agissant des principes fondamentaux, il invoque plus précisément :

— l’absence de formalités préalables, à savoir l’absence de déclaration à la CNIL et l’absence d’autorisation de la CNIL qui étaient en vigueur au moment de la création de la fiche, qui constituent toutes deux une infraction pénale et qui lui ont crée un préjudice tenant à l’impossibilité de connaître les droits dont il bénéficie, de s’y opposer immédiatement et de bénéficier du contrôle de cette commission ;

— le traitement déloyal et illicite de ses données dans la mesure où la collecte a été effectuée à son insu, en violation des articles L.34 et R.10-4 du code des postes et des communications électroniques, qui est répréhensible pénalement car la fiche litigieuse n’est pas un annuaire public mais un véritable profilage sur le média le plus puissant du monde en vue d’une prospection commerciale, en violation de l’article 8 de l’arrêté du 6 février 2009 portant création du Répertoire Partagé des Professionnels intervenant dans le Système de santé (RPPS), en violation de l’article L.322-1 du code des relations entre le public et l’administration car ses données ont été altérées par GOOGLE, et en violation de l’article 226-18 du code pénal qui réprime la collecte déloyale et illicite de données à caractère personnel ;

— l’absence de transparence du traitement, tant dans son objet que dans ses finalité, de ses données, ce qui l’a privé et le prive encore de la faculté d’exercer ses droits ;

— l’absence de finalité déterminée et explicite de la fiche GOOGLE MY BUSINESS qui n’est pas purement informationnelle comme le soutient GOOGLE de façon tardive et trompeuse, mais qui est bien commerciale puisqu’elle consiste dans la prospection commerciale des services gratuits (ouverture de comptes comme Gmail, Google Maps…) et payants (ADWORDS) de GOOGLE, les défenderesses opérant une confusion entre la finalité et les moyens informationnels utilisés à cette fin ;

— l’absence de finalité légitime de la fiche GOOGLE MY BUSINESS qu’elle soit relative à la prospection commerciale du traitement de ses données en ce qu’elle est contraire au caractère non commercial de sa profession dont la réglementation interdit la publicité et oblige au secret professionnel et médical, ou à sa finalité prétendument informationnelle en ce qu’elle est ici contraire à l’interdiction du traitement des données des professionnels de santé et à la notation anonyme des personnes ;

— l’absence de limitation du traitement et des données, et plus précisément le caractère excessif du traitement de ses données, faute de limitation par rapport à la diffusion extrêmement aisée de sa fiche, par rapport au contenu de sa fiche avec la présence de ses trois prénoms mais pas celle de son titre de docteur, ainsi que par rapport à sa notation et évaluation, n’importe qui pouvant donner son avis sur lui ;

— l’absence de limitation de la durée de conservation des données que ce soit pour la fiche elle-même ou pour les avis ;

— et l’illicéité du traitement faute de consentement de sa part pourtant d’autant plus nécessaire qu’il fait l’objet d’une prospection directe de la part de GOOGLE qui est soumise à l’interdiction de principe de l’article 34-5 du code des postes et des communications électroniques et qui, subsidiairement, ne justifie pas de son intérêt légitime, lequel doit dans tous les cas respecter le sien ;

Page 8

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

S’agissant de la violation de ses droits personnels par GOOGLE, Monsieur Y Z se prévaut : – d’une absence d’information pourtant prévue par toute la législation applicable en matière de données personnelles, que ce soient lors de la collecte de ses données par GOOGLE auprès de la société INFOBEL, lors de la création de sa fiche, lors de la diffusion des avis, lors du transfert par GOOGLE LLC de ses données à GOOGLE IRELAND ou lors du transfert de ses données à des tiers (annonceurs notamment) ;

— de son opposition au traitement de ses données, justifiée par des motifs légitimes tenant à sa situation particulière de professionnel de santé, de la prospection commerciale dont il fait l’objet qui rend son opposition de droit mais qu’il n’a pu exercer, et du profilage lié à cette prospection, sa fiche GOOGLE MY BUSINESS permettant d’évaluer sa personne, sa compétence, sa fiabilité, son comportement, et ce, tant sur le plan professionnel, que personnel, grâce aux internautes dont GOOGLE se sert, ce dans le cadre d’un traitement automatisé ;

— du droit à l’effacement des données prévue par toute la législation applicable en matière de données personnelles, de sorte qu’en n’y procédant pas dès réception de sa lettre de mise en demeure à cette fin, la société GOOGLE a commis une faute à l’origine pour lui d’un préjudice tenant à la poursuite de son fichage, de sa notation et de son évaluation par n’importe qui.

Monsieur Y Z fait également valoir que, pour se soustraire à leurs obligations, les sociétés GOOGLE ne peuvent valablement demander à bénéficier de l’exception tirée de la liberté d’expression alors qu’elles ne sont que des robots qui ne s’expriment pas, ou de la liberté d’expression des internautes qu’elles ne représentent pas et ne peuvent pas représenter.

Il indique, à titre subsidiaire, que l’exception de l’article 17.3 du RGPD relative à la liberté d’expression et d’information n’est pas générale mais limitée au droit à l’effacement, et que la prétendue expression de GOOGLE ne passe pas par le traitement des données. Il ajoute que GOOGLE ne peut pas plus exciper de l’exception dite d’expression littéraire, artistique et journalistique prévue par la loi de 1978 dans ses diverses versions et par le RGPD puisque le traitement qu’elle réalise n’est absolument pas effectué à ces fins et que les défenderesses ne démontrent pas que ces dérogations seraient nécessaires pour exercer son activité.

Le demandeur en déduit que la balance des intérêts invoqué en défense n’a pas à être effectuée. Il précise que c’est donc seulement subsidiairement qu’il fait état de ce que ses droits prévalent par principe sur ceux de GOOGLE et des internautes, rien ne justifiant par ailleurs une limitation de cette prévalence en l’absence de rôle joué par lui dans la vie publique et d’intérêt prépondérant du public d’avoir accès à l’information concernée.

Monsieur Y Z soutient que GOOGLE se rend coupable : – d’une pratique commerciale trompeuse au sens des articles 121-1 et suivants du code de la consommation en n’informant pas les internautes de la finalité commerciale de la fiche GOOGLE MY BUSINESS ; – d’une violation de l’article L. 111-7-2 du code de la consommation en ne délivrant pas une information loyale, claire et transparente sur les modalités de publication et de traitement des avis mis en ligne.

Page 9

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Il répond aux défenderesses que ces dispositions leur sont applicables puisque, contrairement à leurs explications, la France a respecté la procédure de notification de l’article 3 de la directive commerce électronique.

Le demandeur argue de la violation de l’article 6 II de la loi du 21 juin 2004 pour la Confiance dans l’Économie Numérique (LCEN) et du décret n° 2011-219 du 25 février 2011 par GOOGLE qui, malgré l’ordonnance de référé du 1^er septembre 2017, ne lui a pas communiqué les données exhaustives permettant l’identification des auteurs des avis. Or, il explique que : – la société GOOGLE LLC héberge sa fiche, de sorte qu’elle est fournisseur d’hébergement au sens de l’article 2 de la loi susvisée ; – les dispositions qu’il invoque sont applicables aux sociétés défenderesses ; – les juges des Etats membres ne sont pas tenus d’appliquer la loi du pays d’origine du prestataire comme le prétendent les sociétés défenderesses et au cas présent, conformément au droit international privé, la loi applicable est la lex loci delicti, la loi où il subit son préjudice, soit la France ; – la conservation et la communication des données de connexion des auteurs des avis lors de la publication des avis ne restreignent en rien la liberté de circulation des services de la société GOOGLE ; – la société GOOGLE IRELAND ne rapporte en tout état de cause pas la preuve du droit Irlandais qu’elle prétend plus exigeant en termes de collecte de données que le droit français ; – le décret de 2011 a été notifié conformément aux directives 2015/1535 10 et 2000/31/CE et apparaît parfaitement respectueux du droit européen, de sorte qu’il est applicable à GOOGLE ; – l’obligation de conserver les données d’identification est sanctionnée pénalement ce qui démontre qu’elle intéresse la protection de l’ordre public, de sorte qu’écarter son application au profit de la société GOOGLE IRELAND créerait un risque évident d’atteinte à l’ordre public.

Monsieur Y Z fait enfin valoir que les sociétés GOOGLE engagent leur responsabilité civile en raison du fait qu’elles utilisent ses données en vue de troubler sa tranquilité, qu’elles le laissent se faire dénigrer par des personnes anonymes, tout en profitant sans bourse délier de ses données constitutif de parasitisme. Il fonde ainsi sa demande sur les articles 1240 et 1241 du code civil.

Il expose que chacune des sociétés en défense engage en outre sa responsabilité :

— la société GOOGLE LLC en qualité de responsable de traitement de ses données personnelles, d’hébergeur, de sous-traitant des données personnelles communiquées par les internautes, d’éditeur par l’extraction de certains passages dans les avis et de professionnel au sens du code de la consommation ; – la société GOOGLE FRANCE en qualité de sous-traitant du traitement des données personnelles effectué par la société GOOGLE LLC et de professionnel au sens du code de la consommation ;

— la société GOOGLE IRELAND, un transfert de données ayant été opéré vers elle depuis la société GOOGLE LLC, sans qu’il n’en ait d’ailleurs été informé, et en qualité de professionnel soumis à ce titre au code de la consommation.

Page 10

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Au-delà des préjudices d’ores et déjà évoqués au fil de ses écritures, après avoir rappelé que le préjudice n’a pas à être démontré en cas de violation de la réglementation applicable au traitement des données personnelles, Monsieur Y Z expose que s’y ajoutent les frais de justice qu’il a été contraints d’engager, la désorganisation sur son activité créée par la fiche qui provoque pour lui un surplus d’activité non souhaité, un préjudice d’anxiété découlant du risque de se voir noter et évaluer par n’importe qui, écrivant n’importe quoi, n’importe quand.

Dans ses dernières conclusions signifiées par voie électronique le 30 novembre 2020, la société GOOGLE FRANCE, la société GOOGLE LLC et la société GOOGLE IRELAND LIMITED intervenante volontaire demandent au tribunal de :

Sur l’intervention volontaire de la société GOOGLE IRELAND LIMITED – déclarer la société GOOGLE IRELAND LIMITED recevable et bien fondée en son intervention volontaire,

Sur l’absence d’illicéité justifiant la cessation de l’affichage de la fiche litigieuse et/ou de la fonctionnalité de dépôt des avis – constater que la Fiche Professionnelle ne porte nullement atteinte au droit fondamental à la protection des données à caractère personnel de Monsieur Y Z qui ne prévaut pas, en toute hypothèse, sur la liberté d’information de GOOGLE LLC à fournir cette fiche et à celle du public à y accéder et à exercer sa liberté d’expression au travers d’avis ; – constater que le traitement mis en œuvre à l’occasion de la publication de la Fiche Professionnelle poursuit des finalités déterminées et légitimes, au sens de l’articles 6, paragraphe 1 sous f) du Règlement Général qui prévalent sur les intérêts de Monsieur Y Z ; – constater qu’il n’existe aucune raison légitime tenant à la situation particulière de Monsieur Y Z propre à renverser la prévalence de ces finalités (articles 21, paragraphe 1, et 17, paragraphe 1 sous c) du Règlement Général) ; – constater que les finalités poursuivies par GOOGLE LLC et GOOGLE IRELAND doivent être qualifiées d’impérieuses, et par ailleurs nécessaires à l’exercice de la liberté d’expression, au sens de l’Article 17, paragraphe 3, sous a) du Règlement Général ; – constater en outre, que le traitement litigieux a pour seule finalité la divulgation au public d’informations ainsi que d’opinions ou d’idées exprimées par des internautes aux travers d’avis, et doit donc être qualifié de « journalistique », au sens de l’article 85 du Règlement Général, de l’article 41 du Data Protection Act de la République d’Irlande qui régit le traitement litigieux sur ce point, ainsi que de la jurisprudence de la Cour de justice de l’Union européenne dans l’arrêt Satakunnan Markkinapörssi du 16 décembre 2008 (C-73/07) ; – constater que les données traitées sont pertinentes et non excessives par rapport à ces finalités légitimes, en particulier par rapport à la finalité de la fonctionnalité permettant de recueillir, stocker et publier des avis de consommateurs ; – constater que Monsieur Y Z dispose d’une information suffisante, garantissant la loyauté et la transparence du traitement à son égard, alors pourtant que GOOGLE LLC n’était pas tenue de la lui fournir ; – constater que le traitement en cause n’est soumis à aucune formalité déclarative, ni à l’obtention de l’autorisation préalable de la Commission nationale de l’informatique et des libertés; à supposer que ces formalités aient été précédemment applicables, tel n’est plus le cas à ce jour et Monsieur Y Z n’en a subi aucun préjudice ;

Page 11

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

— constater que la fiche litigieuse n’héberge aucune donnée de santé recueillie à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social ; – constater l’absence d’infractions aux articles 226-16, 226-18, 226-18-1, 226-21 ou 226-22 du code pénal ; – constater que la fonctionnalité relative aux avis répond également aux exigences du code de la consommation, dont les dispositions en la matière sont pourtant inapplicables et non opposables aux sociétés GOOGLE en application de la jurisprudence de la Cour de justice de l’Union européenne (arrêt Airbnb) ;

Sur l’absence de préjudice justifiant l’octroi d’une indemnité réparatrice au titre de dommages et intérêts – constater que le seul chef de préjudice invoqué par Monsieur Y Z tient à la présence d’avis en marge de la Fiche Professionnelle litigieuse; – constater que ces avis étaient licites, dès lors qu’ils n’ont pas dépassé les limites de la libre critique, qu’ils sont couverts par l’exception littéraire et journalistique, et que les notes et propos en cause n’ont pas été poursuivis sur le fondement de la loi du 29 juillet 1881 sur la liberté de la presse ; – constater que GOOGLE LLC n’en était que l’hébergeur et partant, qu’elle ne saurait répondre du préjudice en résultant ; – constater que GOOGLE IRELAND ne saurait répondre de faits antérieurs à la date du 22 janvier 2019 où elle est devenue l’hébergeur des avis ;

Sur les mesures de réparation – constater que la mesure de suppression de la fiche litigieuse est actuellement sans objet (la fiche ayant été retirée provisoirement au mois d’avril 2018) et disproportionnée au regard du préjudice invoqué; – constater que les mesures de limitation de la fiche et des avis, et de communication d’informations sont incompatibles avec l’article 5 du code civil, puisqu’elles induiraient de prononcer des dispositions générales ; – constater que la demande tendant à limiter le traitement des données figurant dans la Fiche Professionnelle à des données professionnels est sans objet, GOOGLE y faisant déjà apparaître exclusivement des informations sur les établissements professionnels, dans le respect du principe de minimisation des données ; – constater que Monsieur Y Z dispose déjà des informations requises par la loi ;

En conséquence et en tout état de cause : – juger mal-fondées l’ensemble des prétentions de Monsieur Y Z et l’en débouter ; – mettre hors de cause la société GOOGLE FRANCE, faute pour elle de disposer d’une quelconque qualité à répondre des demandes ; – condamner Monsieur Y Z au paiement de la somme de 25 000 euros au titre de l’article 700 du code de procédure civile à chacune des sociétés GOOGLE LLC et GOOGLE FRANCE, ainsi qu’aux dépens.

Après avoir présenté le service GOOGLE MY BUSINESS et le rôle de la société GOOGLE IRELAND LIMITED, les trois sociétés défenderesses exposent plus précisément les précautions mises en place par la société GOOGLE LLC afin d’assurer la fiabilité des informations disponibles sur chaque fiche professionnelle, pour fournir à ses utilisateurs des données fiables et actualisées, d’une part, et préserver les intérêts des professionnels concernés, d’autre part.

Page 12

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Elles insistent sur le fait que les internautes tiers ne peuvent pas ajouter ou modifier eux-mêmes directement les informations figurant sur une fiche mais seulement suggérer des modifications s’ils identifient des erreurs, cette faculté n’appartement qu’aux gérants légitimes des établissements professionnels fichés.

Elles indiquent que l’enjeu de la décision de ce tribunal est de déterminer si la société GOOGLE LLC doit maintenir la suppression de la fiche professionnelle du requérant ou, au contraire, si elle peut librement publier une nouvelle fiche professionnelle relative à l’établissement professionnel de Monsieur Y Z, en conformité avec les dispositions du Règlement général de l’Union européenne sur la protection des données désormais applicables.

Elle ajoutent que l’issue du litige déterminera également si la fonctionnalité permettant de publier des avis peut à nouveau être intégrée dans la fiche litigieuse (et les anciens avis à nouveaux publiés au sein de celle-ci). Les sociétés défenderesses font valoir que le Règlement général de l’Union européenne sur la protection des données régit entièrement le traitement de données à caractère personnel litigieux.

Elles soutiennent que le traitement consistant à publier une telle fiche professionnelle est parfaitement licite et ne nécessite nullement le consentement préalable de Monsieur Y Z dans la mesure où: – ce document ne porte pas atteinte au droit fondamental à la protection des données à caractère personnel du demandeur qui ne prévaut pas, en toute hypothèse, sur la liberté d’information de GOOGLE LLC à fournir cette fiche et à celle du public à y accéder et à exercer sa liberté d’expression au travers d’avis ; – le traitement mis en œuvre à l’occasion de la publication de la fiche poursuit des finalités légitimes qui prévalent sur les intérêts du demandeur ; – le traitement réalisé dans le cadre de la fiche ne constitue par un «profilage » ; – les données traitées sont « adéquates », « pertinentes » et « non excessives » par rapport aux finalités poursuivies ; – le requérant dispose d’une information suffisante garantissant la loyauté et la transparence du traitement à son égard ; – le traitement en cause n’est soumis à aucune formalité déclarative, ni à l’obtention de l’autorisation préalable de la Commission nationale de l’informatique et des libertés (CNIL) ; – la fiche professionnelle n’héberge pas de données de santé de sorte que sa création n’est pas soumise à l’obtention par GOOGLE LLC d’un certificat d’hébergement ; – une telle fiche ne matérialise aucune infraction aux diverses dispositions du code pénal visées en demande ; – la fonctionnalité permettant de publier des avis sur la fiche est conforme aux exigences du code de la consommation, sans que cela ait au demeurant la moindre incidence sur la licéité du document lui-même.

Elles soutiennent également que le traitement consistant à utiliser certaines données pour promouvoir le service AdWords est totalement distinct de celui objet de ses prétentions, et est au demeurant tout aussi licite.

Page 13

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Les sociétés défenderesses se prévalent d’un défaut de préjudice pour Monsieur Y Z imputable à GOOGLE LLC et justifiant l’octroi de quelconques dommages et intérêts ou mesures de réparation « en nature ».

Enfin, elles font valoir que la société GOOGLE IRELAND LIMITED n’est pas responsable de la fiche litigieuse, dont la publication a cessé avant qu’elle assure l’hébergement des avis y figurant et que la société GOOGLE FRANCE doit, en tout état de cause, être mise hors de cause. Elles indiquent en effet que le rôle de cette dernière est réduit à une mission de marketing limitée et qu’elle n’a jamais été responsable ni de la publication de la fiche, ni du traitement des avis, qui relèvent exclusivement des sociétés GOOGLE LLC et GOOGLE IRELAND LTD.

Pour un plus ample exposé des moyens et prétentions des parties, il convient de se référer à leurs dernières écritures conformément aux dispositions de l’article 455 du code de procédure civile.

La clôture a été prononcée le 2 décembre 2020.

MOTIFS DE LA DÉCISION Les demandes des parties tendant à voir « dire et juger » et « constater « ne constituent pas des prétentions au sens des dispositions de l’article 4 du code de procédure civile mais sont en réalité un résumé des moyens. Elles ne donneront donc pas lieu à mention au dispositif.

Sur les parties en défense * Sur l’intervention volontaire de la société GOOGLE IRELAND LIMITED

Aux termes de l’article 329 du code de procédure civile, « L’intervention est principale lorsqu’elle élève une prétention au profit de celui qui la forme. Elle n’est recevable que si son auteur a le droit d’agir relativement à cette prétention. »

En l’espèce, le droit d’agir de la société GOOGLE IRELAND LIMITED n’est pas contesté par le demandeur qui formule des demandes à son encontre.

Il convient, en conséquence, de déclarer cette société recevable en son intervention volontaire.

* Sur la mise hors de cause de la société GOOGLE FRANCE

Compte tenu des éléments produits en défense – conditions générales de GOOGLE applicables à tous ses services, mentions indiquées dans la rubrique « Nous contacter », liste des brevets détenus par la société GOOGLE LLC et résultat des recherches sur l’enregistrement des principaux noms de domaine de GOOGLE -, il est tout d’abord établi que la société américaine GOOGLE LLC exploite le moteur de recherche GOOGLE Search et qu’elle est le responsable du traitement des données opéré au moyen de ce moteur de recherche. Elle est donc l’entité exploitante des fiches GOOGLE MY BUSINESS. Il apparaît ensuite que la société GOOGLE FRANCE est dans l’incapacité d’intervenir elle-même sur le fonctionnement des services GOOGLE et sur leurs moyens d’exploitation, qu’elle ne contrôle ni matériellement, faute de maîtrise de l’architecture technique et

Page 14

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

logistique du site www.google.fr dont elle n’est pas l’hébergeur, ni juridiquement au regard du contrat de service liant les sociétés GOOGLE IRELAND et GOOGLE FRANCE.

Enfin, l’arrêt du 13 mai 2014 (GOOGLE SPAIN v AEPD and Mario Costeja González) de la Cour de Justice de l’Union Européenne (CJUE) invoqué en demande se prononce seulement sur le point de savoir si, en matière de données à caractère personnel, le droit espagnol pouvait s’appliquer à la société GOOGLE LLC au motif qu’elle dispose d’une filiale locale en Espagne. La Cour n’en a toutefois pas déduit que la société GOOGLE SPAIN devait répondre des dommages allégués du fait de l’exploitation du moteur de recherche par GOOGLE LLC.

Par conséquent, la société GOOGLE FRANCE n’a pas qualité à défendre dans la présente instance et sera mise hors de cause.

Sur la licéiété du traitement de la fiche professionnelle par GOOGLE Il convient de rappeler que la société GOOGLE LLC génère des fiches professionnelles et que le professionnel peut, en outre, adhérer gratuitement au service GOOGLE MY BUSINESS, ce qui lui permet de valider et le cas échéant, d’enrichir et de modifier certains éléments de la fiche qui le concerne.

L’article 8, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne dispose que toute personne a droit à la protection des données à caractère personnel la concernant.

Le Règlement Général sur la Protection des Données (RGPD) n° 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,abrogeant la directive 95/46/CE, entré en vigueur le 25 mai 2018, ainsi que la loi relative à l’informatique, aux fichiers, et aux libertés dans ses diverses versions visent à assurer le respect de ce droit fondamental.

Il n’est toutefois pas absolu, comme le précise le préambule du RGPD: « il doit être considéré par rapport à sa fonction dans la société et être mis en balance avec d’autres droits fondamentaux, conformément au principe de proportionnalité ».

Il est étroitement lié au droit au respect de la vie privée et doit être mis en balance avec la liberté d’expression et d’information notamment.

En l’espèce, les informations mises en ligne dans la fiche de Monsieur Y Z portent sur son nom, ses prénoms, l’adresse de son lieu d’exercice professionnel, son numéro de téléphone professionnel et les horaires d’ouverture de son cabinet dentaire. Leur exactitude n’est pas remise en cause, seule l’omission de son titre de docteur étant invoquée en demande.

Elles sont incontestablement des données à caractère personnel.

Pour autant, ces données ne relèvent pas de la sphère privée en ce que, d’une part, elles portent uniquement sur des aspects élémentaires de son activité professionnelle qui ne présentent pas de caractère spécifique de sensibilité.

Page 15

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

D’autre part, elles sont publiques et accessibles par ailleurs, notamment grâce à des démarches entreprises par Monsieur Y Z lui-même. Il s’en évince que ce dernier n’a pas d’intérêt à la conservation d’un quelconque secret autour de ces informations et qu’il pouvait raisonnablement s’attendre à ce qu’elles soient susceptibles d’être recherchées sur internet.

Il est ainsi établi en défense que les données litigieuses sont sur le site web de Monsieur Y Z et qu’elles figurent dans des annuaires universels des abonnés téléphoniques dont les Pages Jaunes, outre dans plusieurs annuaires médicaux spécialisés, notamment Doctolib.

A cet égard, il est justifié par la société GOOGLE LLC des modalités de la collecte de ces données : la ligne téléphonique de Monsieur Y Z est gérée par la société ORANGE qui en a vendu les coordonnées à la société INFOBEL dans les conditions prévues par l’article L.34 du code des postes et télécommunications, ce, selon les stipulations du contrat passé avec l’opérateur de téléphonie. Par la suite, la société INFOBEL a transmis ces données à la société GOOGLE LLC. Ainsi, la violation alléguée en demande des dispositions légales relatives à la collecte de ses données n’est pas démontrée, ce d’autant que la société GOOGLE LLC ne réalise pas de profilage au sens du RGPD. En effet, elle n’opère pas de traitement des informations rassemblées dans la fiche professionnelle, qui viseraient à évaluer des caractéristiques individuelles de la personne concernée, mais se borne à afficher ces données de façon « neutre ». Et le fait que les internautes puissent porter des appréciations à son encontre dans des avis importe peu car celles-ci ne reposent pas sur un traitement automatisé des données recueillies par la société GOOGLE LLC : elles ne reflètent que l’opinion subjective exprimée par son auteur.

Au demeurant, l’éventuelle faute des sociétés ORANGE et INFOBEL dans la communication de ces données ne saurait permettre de caractériser une faute de la société GOOGLE, défenderesse à la présente instance.

Enfin, les données litigieuses sont nécessairement dans le domaine public dès lors que leur publicité est exigée par la loi, au sein du Répertoire des entreprises et de leurs établissements (SIRÈNE) et du Répertoire partagé des professionnels de santé (RPPS), étant ici souligné que la société GOOGLE LLC n’y a pas collecté les informations présentes dans la fiche de Monsieur Y Z.

Par conséquent, la fiche professionnelle GOOGLE ne porte pas atteinte au droit fondamental à la protection des données à caractère personnel de Monsieur Y Z.

En tout état de cause, il résulte de ce qui précède que l’impact éventuel de cette fiche sur la jouissance de ce droit pour le requérant est faible et qu’il ne saurait prévaloir sur la liberté d’expression et d’information de la société GOOGLE LLC et des internautes, qui est garantie par l’article 10 de la Convention européenne de sauvegarde des Droits de l’Homme.

Or, les finalités de la fiche GOOGLE de Monsieur Y Z consistent justement dans la mise à disposition gratuite des internautes des informations élémentaires relatives à l’exercice de sa profession, à savoir notamment ses coordonnées pour le contacter et le localiser, et

Page 16

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

dans la constitution d’un forum potentiel pour ses patients désirant «poster » des avis sur leur expérience.

Ces finalités sont donc déterminées et explicites conformément aux exigences de la loi de 1978 dans sa version antérieure à l’ordonnance de 2018 comme modifiée par ce texte (respectivement les articles 6 et 4), et par l’article 5 1 b) du RGPD. Le demandeur ne peut d’ailleurs pas valablement prétendre le contraire puisque ce sont précisément les finalités qu’il souhaite voir interdire à la société GOOGLE LLC de poursuivre dans le cadre de la présente action.

Par ailleurs, il soutient en vain que la fiche litigieuse aurait en réalité une finalité de prospection commerciale dès lors que sa fiche professionnelle n’est pas en elle-même un message de prospection commerciale, d’une part, et que la société GOOGLE LLC peut publier une telle fiche sans qu’elle soit revendiquée par le professionnel concerné, l’adhésion au service GOOGLE MY BUSINESS étant rappelons-le optionnelle, et sans que celui-ci ne reçoive la moindre offre commerciale, d’autre part.

La défenderesse démontre que la promotion du service AdWords (Ads depuis 2018) est distincte et indépendante de la publication d’une fiche professionnelle, la première consistant dans l’envoi à des fins commerciales à un professionnel ayant adhéré au service GOOGLE MY BUSINESS, d’une publicité pour un service payant (AdWords) et ce, dans un message privé affiché sur l’écran de l’interface de son compte personnel ou sur son adresse email, et la seconde consistant dans la diffusion de données à des fins informationnelles pour laquelle elle ne perçoit aucune rémunération, et qui ne nécessite l’adhésion préalable du professionnel concerné à aucun service.

En effet, Monsieur Y Z a reçu la publicité pour le service AdWords en janvier 2018, au travers de messages affichés dans l’interface de son compte GOOGLE MY BUSINESS et du compte de messagerie électronique Gmail associé, c’est à dire utilisé par lui dans le cadre de sa souscription au service GOOGLE MY BUSINESS. Rien ne l’obligeait ni à adhérer au service GOOGLE MY BUSINESS, ni à faire paraître des publicités AdWords.

D’ailleurs, le demandeur ne peut valablement déduire que sa fiche professionnelle avait une finalité promotionnelle du fait que certains professionnels ont choisi de faire paraître des publicités AdWords au sein de GOOGLE Maps ou de GOOGLE Search.

Dans ces conditions, l’ensemble des moyens soulevés par Monsieur Y Z à propos de la finalité « commerciale » poursuivie par la société GOOGLE LLC sont inopérants. Cela exclut l’existence d’une violation par la défenderesse du principe fondamental tenant à la nécessité de finalité déterminée et légitime sur ce fondement, et du principe d’interdiction du spaming telle que prévue par l’article 34-5 du code des postes et des communications électroniques, ainsi que l’existence d’une publicité déguisée réprimée par les articles 121-1 et suivants du code de la consommation. Cela lui ôte aussi un droit d’opposition de droit tel que prévu par l’article 21 2° paragraphe du RGPD (« Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection »).

Page 17

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Les demandes tendant à voir indiquer sur la fiche professionnelle son caractère publicitaire et de limiter la durée de conservation des informations y figurant à trois ans sont, en conséquence, rejetées.

Il en va de même s’agissant des prétentions de Monsieur Y Z fondées sur la responsabilité civile des sociétés GOOGLE au titre de l’article 1240 du code civil, puisque leur faute est constituée, selon lui, en une atteinte à sa tranquilité, caractérisée par « le seul fait de le démarcher commercialement », la fiche professionnelle étant en réalité un « prospectus qui vise à démarcher commercialement les professionnels pour qu’ils adhèrent aux services des sociétés GOOGLE.». Par extension, à défaut de finalité économique, il ne peut pas plus valablement arguer d’un détournement de sa patientèle par GOOGLE « pour mieux la drainer vers ses propres services. »

Si la finalité de la fiche professionnelle de Monsieur Y Z n’est pas illégitime pour le motif de prospection commerciale, il apparaît en outre que le traitement opéré par la société GOOGLE LLC poursuit en réalité des finalités légitimes au sens de l’article 6, paragraphe 1, sous f) du RGPD (« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie: (…) f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »), et ce, en proposant un accès rapide à des informations pratiques sur les professionnels de santé aux internautes. Dans ces conditions, et compte tenu du fait que les informations en cause (nom, adresse, numéros de téléphone …) permettent d’identifier le cabinet de Monsieur Y Z sans confusion possible avec un autre professionnel, GOOGLE soutient enfin à juste titre qu’elle opère un traitement de données utiles, pertinentes, adéquates et non-excessives par rapport aux finalités poursuivies au sens de l’article 5, 1^er paragraphe du RGPD. La légitimité globale de la fonctionnalité permettant le recueil et la publication des avis induit, en outre, que la pertinence, l’adéquation ou le caractère excessif des données figurant isolément dans certains avis importent peu.

S’agissant plus précisément des avis en ligne, la légitimité de cette pratique en ce qu’elle constitue une des principales sources d’information des utilisateurs est admise par le législateur qui lui a conféré un cadre juridique avec la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique.

Faire d’un professionnel comme Monsieur Y Z le sujet d’un forum sur lequel les internautes donnent leurs avis, relève d’une finalité d’information du consommateur qui est légitime, dès lors que ce dernier dispose de moyens de protection des droits de la personnalité contre d’éventuelles dérives tenant à des propos dépassant les limites admissibles de la liberté d’expression. Il dispose en effet de la possibilité d’engager une action en référé à l’encontre de GOOGLE aux fins de suppression d’avis, une action en référé ou au fond à l’encontre de l’internaute aux fins de suppression d’avis et d’obtention d’une indemnité sur le fondement de la loi du 29 juillet 1881 ou du dénigrement sur le fondement de l’article 1240 du code civil contre les internautes qui porteraient atteinte à son honneur ou à sa réputation ou qui publierait une critique excessive et fautive de ses services, ou de déposer une plainte avec constitution de partie civile pour diffamation ou injure.

Page 18

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Au surplus, la société GOOGLE LLC démontre que le traitement qu’elle effectue dans le cadre de la publication des fiches professionnelles est entouré de précautions propres à prévenir et corriger les risques d’atteinte aux intérêts légitimes des professionnels visés. Ainsi, les professionnels peuvent signaler à GOOGLE un avis inapproprié ou illicite, au moyen d’une notification à partir du sigle situé à proximité de chaque avis (« Signaler un contenu inapproprié ») ou d’une requête motivée à partir de la rubrique « Signaler un autre problème d’ordre légal relatif à la suppression » de la page « Aide Demandes légales » du site GOOGLE.

La suppression définitive d’une fiche professionnelle ou le maintien de sa suppression, parce qu’elle contient des avis possiblement attentatoires aux droits de Monsieur Y Z, contreviendrait au principe de la liberté d’expression, alors même qu’il lui est loisible d’agir spécifiquement contre les personnes à l’origine d’avis qu’il estimerait contraires à ses droits. Le tribunal relève d’ailleurs ici que l’existence d’un possible dénigrement dans les avis d’internautes ne permet pas de caractériser de faute de négligence de la part de GOOGLE telle qu’alléguée en demande sur le fondement de l’article 1241 du code civil.

Il convient en outre de rappeler que dans le cadre de la mise en balance prévue à l’article 6, paragraphe 1 f) du RGPD, les seuls intérêts du demandeur à prendre en compte sont ceux qui exigent une protection des données à caractère personnel. Or, il ressort des motifs précédemment adoptés, une absence d’atteinte à ce droit.

Quant au droit d’opposition dont Monsieur Y Z entend se prévaloir pour obtenir le retrait définitif de sa fiche professionnelle, ses conditions d’exercice sont fixées par les articles 21 (« Droit d’opposition») et 17 (« Droit à l’effacement («droit à l’oubli») ») du RGPD.

Ainsi, l’opposition de la personne concernée ne peut prospérer que s’il existe des « raisons tenant à sa situation particulière » de nature à renverser en sa faveur la pondération entre le droit à la protection de ses données à caractère personnel et les intérêts légitimes du responsable de traitement, et en cas de traitement des données à des fins de prospection, hypothèse d’ores et déjà écartée ci-dessus. Par ailleurs, le paragraphe 3 de l’article 17 prévoit expressément que la personne qui s’oppose au traitement de ses données n’est pas fondée à en exiger l’effacement lorsque celui-ci est « nécessaire à l’exercice du droit à la liberté d’expression et d’information ».

Or, tel est bien le cas en l’espèce, étant encore souligné que les informations en cause sont pour la plupart des informations dont la loi exige la publicité comme rappelé supra, qu’il est important que les professionnels de santé soient facilement localisables et que les avis des internautes peuvent permettre de rassembler une information pertinente selon la CNIL.

En outre, Monsieur Y Z ne peut valablement faire état, au titre de sa situation particulière, de l’interdiction de la publicité faite aux médecins puisqu’il n’est pas à l’initiative de la fiche professionnelle qui n’a pas de finalité promotionnelle mais informative, les informations concernées figurant d’ailleurs sur son propre site internet.

Page 19

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Il ne peut pas plus se prévaloir du fait que l’existence de la fiche litigieuse contreviendrait au secret médical qui ne lie pas les patients eux-mêmes, l’article 4 du code de déontologie médicale disposant que le secret professionnel est « institué dans l’intérêt des patients ». Il a ensuite la possibilité de répondre au seul auteur de l’avis, sans rendre son commentaire public. En tout état de cause, il ne prouve pas que les avis effectivement publiés le concernant comportaient des éléments d’information couverts par ce secret.

L’inconvénient lié au temps consacré à la surveillance des avis de consommateurs ne saurait justifier le prononcé d’une mesure radicale de suppression ou d’interdiction d’un espace d’expression, étant là encore souligné que les avis publiés au cas présent étaient majoritairement positifs.

L’argument tenant à une augmentation de clientèle non désirée n’est pas non plus pertinent, dès lors qu’il lui est loisible de gérer ses rendez-vous et qu’il a fait le choix d’être visible en ayant un site internet.

Enfin, Monsieur Y Z ne prouve pas que les données des fiches professionnelles des entreprises françaises en général et de la sienne en particulier, ainsi que les données à caractère personnel des auteurs des avis y étant relatifs seraient stockées « aux Etats-Unis sur le fondement de la « Privacy Shield » », tandis que GOOGLE lui oppose qu’elles le sont habituellement sur des serveurs européens. La société GOOGLE LLC ajoute que, même si pour des raisons techniques, ces données devaient être amenées à être dupliquées dans d’autres pays, elle a mis en place des clauses contractuelles type qui octroient des garanties suffisantes qui ont été approuvées par la Commission européenne. Le tribunal relève enfin avec la défenderesse que le transfert dénoncé est en l’état parfaitement hypothétique puisque la fiche professionnelle du demandeur est actuellement supprimée.

La licéiété du traitement de la fiche professionnelle par GOOGLE résiste également au dernier argument de Monsieur Y Z sur une absence d’information suffisante garantissant la loyauté et la transparence du traitement à son égard.

A l’issue de la présente instance, il dispose en effet de l’ensemble des informations exigées par le RGPD en son article 14 et, notamment, la base juridique du traitement constituée de cet article 14, les finalités poursuivies, les destinataires que sont les internautes qui consultent GOOGLE Search et GOOGLE Maps, ainsi que la durée du traitement liée à la vie de son établissement professionnel.

La société GOOGLE LLC indique également ne pas disposer d’un délégué à la protection des données à caractère personnel en France, aucune règle ne le lui imposant, et être le seul éditeur des informations figurant sous les fiches professionnelles non revendiquées, assumant à ce titre la qualité de responsable de traitement des informations à caractère personnel relatives aux professionnels fichés.

Monsieur Y Z ne peut pas non plus valablement reprocher à la société GOOGLE LLC de ne pas lui avoir précédemment adressé les informations concernées « dès l’enregistrement des données » selon l’article 32 III de la loi de 1978 en vigueur lors de la création de sa fiche professionnelle ou « dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois » (article 14 du RGDP), ce, sans qu’il y ait lieu de s’interroger sur l’applicabilité de ces dispositions ou de l’exception dite d’expression littéraire.

Page 20

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

En effet, la législation a toujours prévu une exception à cette obligation pour les cas où la personne concernée est déjà informée ou quand son information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche.

Or, il est indéniable que les données professionnelles litigieuses sont banales et non sensibles et que la recherche par le professionnel des informations concernées est d’une relative simplicité. Dès lors, mettre à la charge de la société GOOGLE LLC un envoi systématique d’une information à tous les entrepreneurs individuels susceptibles de faire l’objet d’une fiche professionnelle serait disproportionné.

S’agissant d’une information loyale, claire et transparente plus spécifiquement relative aux avis telle qu’imposée par l’article L.111-7-2 du code de la consommation et les articles réglementaires y afférent, la société GOOGLE LLC démontre qu’elle met à la disposition des internautes toutes les informations prescrites, alors qu’elle soutient n’y être pour autant pas tenue légalement.

En tout état de cause, il ressort effectivement d’une copie-écran et du document « Aide Google Maps – Rédiger des avis sur des lieux et leur attribuer des notes » que ces informations sont pour certaines accessibles dans un encart apparaissant en cliquant sur l’icône consistant en un point d’interrogation dans un rond, situé à proximité des avis. D’autres plus complètes le sont depuis le menu déroulant GOOGLE Maps, à proximité des avis publiés sous la fiche professionnelle grâce au lien « Informations aux consommateurs » : ce lien permet d’accéder à un article spécifique sur les informations liées aux avis (« Notes et Avis dans Google »). Il apparaît que cet article est également accessible par un lien d’information « en savoir plus » qui se trouve dans un encart à destination des consommateurs désirant poster des avis (Aide Google Maps – Rédiger des avis sur des lieux et leur attribuer des notes). GOOGLE reprend ensuite point par point les critiques faites en demande et indique précisément où se trouvent effectivement les informations (indication relative à la modération et au contrôle des avis; date des avis suffisamment précise d’une manière permettant de ne pas régir le contenu des avis ; indication du critère chronologique de classement des avis ; indication du délai maximum de publication et de conservation des avis qui « restent affichés tant qu’ils ne sont pas supprimés par leur auteur »).

Enfin, le tribunal note qu’une absence de conformité de cette fonctionnalité relative au dépôt et à la publication d’avis avec les dispositions législatives et réglementaires serait sans incidence pour Monsieur Y Z. A tout le moins, il n’établit pas le trouble personnel qui en résulterait pour lui. Il ne démontre pas plus que si une telle non-conformité était avérée, elle entraînerait l’illéciété de la fiche professionnelle.

Sur la nécessité de formalités préalables Tout d’abord, la soumission de la fiche professionnelle à une formalité déclarative ou d’autorisation préalable à la CNIL était prévue par des dispositions désormais abrogées par la loi n°2018-493 du 20 juin 2018 qui a mis la loi française en adéquation avec le RGPD.

Or, dès lors que les demandes de Monsieur Y Z ne peuvent intéresser que l’avenir, l’analyse portant sur la nécessité de ces deux formalités préalables doit être faite, comme pour les motifs ci-dessus, au regard des nouvelles dispositions telles que résultant du RGPD.

Page 21

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

Par conséquent, la fiche professionnelle du demandeur n’est pas soumise à une formalité préalable.

Et, comme le relève à juste titre la société GOOGLE LLC, aucune infraction pénale ne peut lui être reprochée en vertu de l’article 112-1 alinéa 3 du code pénal relatif au principe de la rétroactivité in mitius de la loi pénale.

Ensuite, la fiche professionnelle de Monsieur Y Z à l’instar de toutes les fiches GOOGLE n’héberge pas de données concernant la santé mais uniquement des informations pratiques sur le cabinet médical, de sorte que sa création n’était pas soumise à l’obtention d’un certificat d’hébergement de telles données.

Sur la communication par GOOGLE des données exhaustives permettant l’identification des auteurs d’avis Monsieur Y Z reproche à GOOGLE une absence de communication exhaustive des données d’identification des personnes auteurs des messages susvisés, en dépit de l’ordonnance de référé du 1^er septembre 2017 et en violation de l’article 6 II de la loi du 21 juin 2004 pour la Confiance dans l’Économie Numérique (LCEN) et du décret n° 2011-219 du 25 février 2011.

Il résulte néanmoins des pièces produites en défense – Whois relatif à l’adresse IP utilisée par le compte de Nerina Reihnardt ; Whois relatif à l’adresse IP utilisée par le compte de Stella R ; Whois relatif à l’adresse IP utilisée par le compte F.C ; Décision de l’ARCEP attribuant les numérotations téléphoniques « 06.61 » ; Résultat de recherche sur le web relative au numéro de téléphone de F.C – que GOOGLE a transmis à Monsieur Y Z des données permettant l’identification des auteurs d’avis.

Or, il ne démontre pas que d’autres données, certes prévues légalement, auraient été nécessaires pour ce faire, étant par ailleurs souligné qu’il n’a pas engagé d’action à l’encontre des auteurs d’avis identifiés.

Sur les demandes Au regard de l’ensemble des motifs adoptés, Monsieur Y Z n’établit pas que le traitement de sa fiche professionnelle par GOOGLE est illicite, ce qui aurait pu lui causer un préjudice.

Il convient en outre de relever que les mesures de limitation de la fiche et des avis, et de communication d’informations sont incompatibles avec l’article 5 du code civil en ce qu’elles supposent de prononcer des dispositions générales.

Monsieur Y Z est donc débouté de l’ensemble de ses demandes.

Partie perdante, il est condamné aux dépens.

En outre, Monsieur Y Z est condamné à verser à la société GOOGLE LLC et à la société GOOGLE FRANCE, qui ont dû exposer des frais irrépétibles pour faire valoir ses droits, une indemnité au titre de l’article 700 du code de procédure civile qu’il est équitable de fixer à la somme de 2 500 euros chacun.

Au vu des motifs adoptés, la demande d’exécution provisoire se trouve sans objet.

Page 22

Décision du 09 Mars 2021 5^e chambre 1^re section N° RG 18/05918 – N° Portalis 352J-W-B7C-CM6ZL

PAR CES MOTIFS Le tribunal statuant après débats en audience publique, par jugement contradictoire, en premier ressort et prononcé par mise à disposition au greffe,

Déclare la société GOOGLE IRELAND LIMITED recevable en son intervention volontaire ;

Met la SARL GOOGLE FRANCE hors de cause ;

Déboute Monsieur Y Z de l’ensemble de ses demandes :

Rejette toutes demandes plus amples ou contraires des parties ;

Condamne Monsieur Y Z à payer à la société GOOGLE LLC la somme de 2 500 euros au titre de l’article 700 du code de procédure civile ;

Condamne Monsieur Y Z à payer à la société GOOGLE FRANCE la somme de 2 500 euros au titre de l’article 700 du code de procédure civile

Condamne Monsieur Y Z aux dépens ;

Dit n’y avoir lieu à l’exécution provisoire du présent jugement.

Fait et jugé à Paris le 09 Mars 2021 Le Greffier La Présidente Nadia SHAKI Florence BLOUIN

Page 23