CA Chambery, 22 mai 2025, RG 22/01814

N° Minute : 2C25/222

COUR D'APPEL de CHAMBÉRY

2ème Chambre

Arrêt du Jeudi 22 Mai 2025

N° RG 22/01814 - N° Portalis DBVY-V-B7G-HDLV

Décision déférée à la Cour : Jugement du TJ hors JAF, JEX, JLD, J. EXPRO, JCP de CHAMBERY en date du 15 Septembre 2022, RG 19/01427

Appelantes

S.A.R.L. GOOGLE FRANCE dont le siège social est sis [Adresse 4] prise en la personne de son représentant légal

Société GOOGLE LLC, dont le siège social est sis [Adresse 1] USA prise en la personne de son représentant légal

Société GOOGLE IRELAND LIMITED, dont le siège social est sis [Adresse 5] IRELAND prise en la personne de son représentant légal

Représentées par la SCP PEREZ ET CHAT, avocat postulant au barreau de CHAMBERY et le cabinet PARTNERSHIPS HERBERT SMITH FREEHILLS PARIS LLP, avocat plaidant au barreau de PARIS

Intimée

Mme [O] [C]

née le [Date naissance 2] 1965 à [Localité 6], demeurant [Adresse 3]

Représentée par Me Jennifer BOULEVARD, avocat postulant au barreau de CHAMBERY et Me Arnaud DIMEGLIO, avocat plaidant au barreau de MONTPELLIER

---

COMPOSITION DE LA COUR :

Lors de l'audience publique des débats, tenue en double rapporteur, sans opposition des avocats, le 12 novembre 2024 par Madame Alyette FOUCHARD, Conseillère faisant fonction de Présidente, à ces fins désignée par ordonnance de Madame la Première Présidente, qui a entendu les plaidoiries, en présence de Monsieur Fabrice GAUVIN, Conseiller, avec l'assistance de Madame Sylvie DURAND, Greffière présente à l'appel des causes et dépôt des dossiers et de fixation de la date du délibéré, à laquelle il a été procédé au rapport,

Et lors du délibéré, par :

- Madame Alyette FOUCHARD, Conseillère faisant fonction de Présidente, qui a rendu compte des plaidoiries

- Monsieur Fabrice GAUVIN, Conseiller,

- Mme Elsa LAVERGNE, Conseillère, Secrétaire Générale,

---

EXPOSÉ DU LITIGE

Mme [O] [C] exerce la profession de dentiste. En tapant son nom dans le moteur de recherche de Google en 2017, elle a découvert l'existence d'une fiche «Google My Business» (GMB) la concernant, faisant apparaître son nom patronymique, l'adresse de son cabinet, ainsi qu'une notation avec des étoiles et des avis liés à son activité professionnelle, dont certains très négatifs.

Par courrier en date du 27 novembre 2017, Mme [C] a mis en demeure la société Google France de supprimer tous les avis publiés la concernant et de supprimer la fonction «avis» de sa fiche.

Par courrier en date du 8 décembre 2017, la société Google France a refusé de faire droit à ces demandes en lui indiquant les démarches à effectuer pour gérer les informations figurant dans sa fiche, ainsi que pour signaler des commentaires qu'elle estimerait inappropriés.

Par courrier en date du 9 juillet 2018, le conseil de Mme [C] a réitéré cette mise en demeure à l'égard des sociétés Google LLC et Google France de supprimer sa fiche GMB, en ce compris toutes les informations, avis et fonctions contenus dans cette dernière.

Par courrier du 17 juillet 2018, la société Google France, répondant pour Google LLC, a réitéré dans des termes similaires à sa précédente réponse.

Par ordonnance rendue sur requête de Mme [C] par le président du tribunal de grande instance de Chambéry le 25 septembre 2019, les société Google Ireland Limited, Google Inc. et Google France ont été condamnées à communiquer à Mme [C] les données permettant l'identification des auteurs des notes négatives publiées sur sa fiche GMB.

Cette ordonnance a été pour l'essentiel exécutée et le conseil de Mme [C] a contacté neuf des auteurs en question. Quatre avis négatifs ont été supprimés ensuite de cette démarche.

Mme [C], n'obtenant pas amiablement la suppression de sa fiche GMB, a fait assigner les sociétés Google France et Google LLC devant le juge des référés du tribunal de grande instance de Paris aux fins de suppression sous astreinte de celle-ci, en ce compris toutes les informations et fonctions contenues dans cette dernière.

Par ordonnance rendue le 12 avril 2019, le juge des référés du tribunal de grande instance de Paris a mis hors de cause la société Google France et a dit n'y avoir lieu à référé sur les demandes de Mme [C].

C'est dans ces conditions que, par actes en date des 3, 5 et 10 septembre 2019, Mme [C] a fait assigner la société Google France, la société de droit américain Google LLC et la société de droit irlandais Google Ireland Limited, devant le tribunal de Chambéry aux fins principalement de condamnation sous astreinte à cesser d'utiliser ses données personnelles pour permettre l'accès et la diffusion de sa fiche GMB, et, subsidiairement, de condamnation à limiter le traitement de ses données, leur durée de conservation et la fonction d'avis aux seules personnes ayant eu une expérience de consommation avec elle en qualité de professionnelle. Mme [C] a également sollicité la condamnation des défenderesses au paiement de dommages et intérêts en réparation des préjudices subis.

La société Google France a sollicité sa mise hors de cause. Les sociétés Google LLC et Google Ireland Limited se sont opposées aux demandes en invoquant la licéité du traitement des données personnelles de Mme [C] et la possibilité pour elle d'agir directement contre les auteurs des avis publiés dont elles ne sont pas responsables du contenu.

Par jugement contradictoire du 15 septembre 2022, le tribunal judiciaire de Chambéry a :

dit que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis une faute en ne déclarant pas à la CNIL le traitement des données automatisées de Mme [C],

rejeté la demande de Mme [C] tendant à voir sa fiche et ses données effacées au titre de l'absence de respect des formalités préalables,

dit que Mme [C] n'a jamais consenti au traitement automatisé de ses données personnelles,

dit que la société Google France, la société Google LLC et la société Google Ireland Limited ne justifient pas d'un intérêt légitime leur permettant de procéder au traitement automatisé des données personnelles de Mme [C] sans son consentement,

dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de loyauté dans la collecte des données de Mme [C],

dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de transparence du traitement des données de Mme [C],

dit en conséquence que Mme [C] est légitime et bien fondée à invoquer son droit d'opposition au traitement de ses données,

condamné la société Google France, la société Google LLC et la société Google Ireland Limited à supprimer la fiche Google My Business de Mme [C] sous astreinte de 100 euros par jour à l'issue d'un délai de deux mois à compter de la signification de la décision,

rejeté la demande de la société Google France tendant à être mise hors de cause,

dit que les manquements aux principes du RGPD susvisés sont constitutifs de fautes,

dit en outre que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis des actes de dénigrement et d'agissements parasitaires, constitutifs de fautes,

dit en conséquence que la responsabilité délictuelle de la société Google France, la société Google LLC et la société Google Ireland Limited est engagée,

condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de son préjudice moral,

condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de l'article 700 du code de procédure civile,

débouté la société Google France, la société Google LLC et la société Google Ireland Limited de leur demande au titre de l'article 700 du code de procédure civile,

condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited aux entiers dépens de l'instance,

ordonné l'exécution provisoire de la décision,

rejeté toutes les autres demandes plus amples ou contraires formées par les parties.

Par déclaration du 19 octobre 2022, la société Google France a interjeté appel de ce jugement.

Par déclaration du 14 décembre 2022, les sociétés Google LLC et Google Ireland Limited en ont également interjeté appel.

Les deux affaires ont été jointes.

***

Par conclusions notifiées le 12 septembre 2024, auxquelles il est expressément renvoyé pour l'exposé des moyens, la société Google France demande en dernier lieu à la cour de :

Vu le RGPD et la loi n°78-17 du 6 janvier 1978,

Vu les articles 32, 122, 696 et 700 du code de procédure civile,

infirmer le jugement déféré en ce qu'il a rejeté la mise hors de cause de la société Google France, cette dernière n'étant pas impliquée dans l'exploitation des services Google Search et Google Maps ainsi que des fiches d'établissement professionnel,

Y ajoutant,

juger irrecevables les demandes formées à l'encontre de la société Google France, faute de qualité à défendre de cette dernière,

Subsidiairement,

juger mal fondées les demandes formulées à l'encontre de la Google France,

Et en tout état de cause,

condamner Mme [C] aux entiers dépens, en application de l'article 696 code de procédure civile,

condamner Mme [C] à verser à la société Google France la somme de 5 000 euros au titre de l'article 700 de code de procédure civile.

***

Par conclusions notifiées le 14 octobre 2024, auxquelles il est expressément renvoyé pour l'exposé des moyens, les sociétés Google LLC et Google Ireland Limited demandent en dernier lieu à la cour de :

Vu le RGPD et la loi n°78-17 du 6 janvier 1978 ,

Vu les articles 226-18, 226-18-1, 226-21, R.625-10, R.625-12, et 226-22-2 du code pénal,

Vu l'article 8 de l'arrêté du 6 février 2009 portant création du RPPS et l'article L.332-1 du code des relations entre le public et l'administration,

Vu l'article 9 du code civil et l'article 226-4-1 du code pénal,

Vu les articles L.111-7-2, D.111-17 et D.111-18 du code de la consommation,

Vu les articles 1240 et 1241 du code civil,

Vu les articles 696 et 700 du code de procédure civile,

infirmer le jugement déféré en ce qu'il a :

- dit que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis une faute en ne déclarant pas à la CNIL le traitement des données automatisées de Mme [C],

- dit que Mme [C] n'a jamais consenti au traitement automatisé de ses données personnelles,

- dit que la société Google France, la société Google LLC et la société Google Ireland Limited ne justifient pas d'un intérêt légitime leur permettant de procéder au traitement automatisé des données personnelles de Mme [C] sans son consentement,

- dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de loyauté dans la collecte des données de Mme [C],

- dit que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le principe de transparence du traitement des données de Mme [C],

- dit en conséquence que Mme [C] est légitime et bien fondée à invoquer son droit d'opposition au traitement de ses données,

- condamné la société Google France, la société Google LLC et la société Google Ireland Limited à supprimer la fiche Google My Business de Mme [C] sous astreinte de 100 euros par jour à l'issue d'un délai de deux mois à compter de la signification de la décision,

- rejeté la demande de la société Google France tendant à être mise hors de cause,

- dit que les manquements aux principes du RGPD susvisés sont constitutifs de fautes,

- dit en outre que la société Google France, la société Google LLC et la société Google Ireland Limited ont commis des actes de dénigrement et d'agissements parasitaires, constitutifs de fautes,

- dit en conséquence que la responsabilité délictuelle de la société Google France, la société Google LLC et la société Google Ireland Limited est engagée,

- condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de son préjudice moral,

- condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à payer à Mme [C] la somme de 20 000 euros au titre de l'article 700 du code de procédure civile,

- débouté la société Google France, la société Google LLC et la société Google Ireland Limited de leur demande au titre de l'article 700 du code de procédure civile,

- condamné in solidum la société Google France, la société Google LLC et la société Google Ireland Limited aux entiers dépens de l'instance,

- ordonné l'exécution provisoire de la décision,

- rejeté toutes les autres demandes plus amples ou contraires formées par les parties.

Et en tout état de cause,

juger que les sociétés Google LLC et Google Ireland Limited n'ont commis aucune faute susceptible de justifier le maintien de la suppression de la Fiche d'Etablissement Professionnel de Mme [C],

juger que les sociétés Google LLC et Google Ireland Limited n'ont commis aucune faute susceptible de rechercher leur responsabilité délictuelle ou pénale,

juger que l'ensemble des demandes formulées par Mme [C] sont mal fondées et l'en débouter,

condamner Mme [C] aux entiers dépens, en application de l'article 696 code de procédure civile,

condamner Mme [C] à verser aux sociétés Google LLC et Google Ireland Limited la somme de 50 000 euros au titre de l'article 700 de code de procédure civile.

Par conclusions notifiées le 4 octobre 2024, auxquelles il est expressément renvoyé pour l'exposé des moyens, Mme [O] [C] demande en dernier lieu à la cour de :

Vu les articles 7 et 8 de la Charte des droits fondamentaux de l'Union européenne,

Vu les articles 1, 2, 4, 6, 7, 22, 32, 38, 40, 48, 56 et 67 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers, et aux libertés (version antérieure à l'ordonnance du 12 décembre 2018),

Vu les articles 4, 5, 6, 7, 12, 13, 14, 15, 17, 21, 27, 35, 82, 84 du Règlement européen n°2016/679 du 27 avril 2016 sur la protection des données personnelles (RGPD),

Vu les articles 1,2, 4, 5, 48, 51, 56 et 80 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers, et aux libertés (version postérieure à l'ordonnance du 12 décembre 2018),

Vu l'article L. 34-5 du code des postes et des communications électroniques,

Vu l'article R. 4127-4, R. 4127-19, R. 4127-215-1, R. 4127-217, D. 4113-118, du code de la santé publique,

Vu les articles 2, 1240 et 1241 du code civil,

Vu l'article 4 du code de procédure civile,

A titre principal,

confirmer le jugement en toutes ses dispositions,

Tout en précisant que,

1° Sur les manquements des sociétés Google au RGPD :

dire que la société Google France, la société Google LLC et la société Google Ireland Limited n'ont pas respecté le droit à l'information (article 14 du RGPD) et le droit d'accès aux données (article 15 du RGPD) de Mme [C],

dire que la société Google France, la société Google LLC et la société Google Ireland Limited ont effectué un traitement des données de Mme [C], sans finalité déterminée et légitime (article 5 1) b) du RGPD),

2° Sur la suppression de la fiche

Mme [C] est fondée à demander la suppression de sa fiche Google sur le fondement général de l'article 17 du RGPD, et plus précisément :

- sur le fondement de son droit d'opposition au traitement de ses données (article 17.1 c du RGPD) :

' en raison de sa situation particulière de professionnel de santé et d'absence d'intérêt légitime et impérieux des sociétés Google (article 21.1 du RGPD),

' à des fins de prospection commerciale (article 21.2 RGPD)

- en raison du caractère illicite du traitement de ses données (article 17.1 d) du RGPD) :

' du fait de l'absence de consentement de Mme [C] (article 6.1 a) du RGPD),

' du fait de l'absence d'intérêt légitime des sociétés Google à un tel traitement, et de la prévalence des droits de Mme [C] sur les intérêts économiques des sociétés Google (article 6.1 f) du RGPD),

- en raison de l'absence de nécessité du traitement de ses données pour l'exercice du droit à la liberté d'expression et d'information (article 17.3 a)),

Subsidiairement,

limiter, sur le fondement de l'article 5 1 b) c) e) du RGPD :

- la fiche de Mme [C] : Mme [C] demande à la cour de condamner les sociétés Google, sous astreinte de 1000 euros par jours de retard, à :

' limiter le traitement de ses données, à ses seules données professionnelles, de façon à ce que sa fiche ne soit pas accessible, et diffusée lors d'une recherche avec ses seuls nom et prénom,

' limiter la durée de diffusion de sa fiche à la durée de 3 ans à compter de sa diffusion,

' supprimer les fonctions « notation » et « avis » de sa fiche,

- la fonction notation et avis : très subsidiairement, Mme [C] demande à la cour de condamner les sociétés Google, sous astreinte de 1000 euros par jours de retard, à :

' supprimer la fonction « notation » de la fiche,

' supprimer le classement par « pertinence », et en raison du caractère « défavorable ou favorable » des avis,

' supprimer tous les avis ne respectant pas le format de date JJ/MM/AA, et a fortiori tous ceux qui, postérieurs à la date du 1 er janvier 2018 ne précisent pas la date d'expérience de consommation,

' limiter la durée de diffusion des avis à un durée maximale de 3 ans à compter de leur publication initiale, et supprimer par voie de conséquence tous les avis ayant une durée supérieure à 3 ans,

' supprimer les avis concernant Mme [C] qui, en raison de la négligence des sociétés Google ne comportent pas la date d'expérience de consommation de leurs auteurs, et de date claire permettant de déterminer le jour de leur diffusion,

débouter la société Google France, la société Google LLC et la société Google Ireland Limited de l'intégralité de leurs demandes,

condamner in solidum la société Google France, la société Google LLC et la société Google Ireland Limited à verser à Mme [C] la somme supplémentaire de 20 000 euros, au titre des frais d'appel, de l'article 700 du code de procédure civile, ainsi qu'aux entiers dépens qui seront recouvrés conformément aux dispositions de l'article 699 du code de procédure civile.

L'affaire a été clôturée à la date du 12 novembre 2024 et renvoyée à l'audience du même jour, à laquelle elle a été retenue et mise en délibéré à la date du 27 mars 2025, prorogé à ce jour.

MOTIFS DE LA DÉCISION

1. Sur la demande de mise hors de cause de la société Google France :

La société Google France fait grief au jugement déféré d'avoir rejeté sa demande de mise hors de cause alors, selon elle, qu'elle n'a aucune qualité pour défendre. A cet effet elle expose qu'elle ne participe pas à l'exploitation des services Google en cause et ne peut donc être l'auteur des faits considérés comme fautifs par Mme [C]. Elle conclut à l'irrecevabilité des demandes formées à son encontre.

Mme [C] soutient que la société Google France exploite les services Google en apparence, mais également du fait des services qu'elle fournit. Elle conclut à la confirmation du jugement qui a rejeté la demande de mise hors de cause.

Sur ce, la cour,

En application de l'article 31 du code de procédure civile, l'action est ouverte à tous ceux qui ont un intérêt légitime au succès ou au rejet d'une prétention, sous réserve des cas dans lesquels la loi attribue le droit d'agir aux seules personnes qu'elle qualifie pour élever ou combattre une prétention, ou pour défendre un intérêt déterminé.

L'article 32 du même code dispose qu'est irrecevable toute prétention émise par ou contre une personne dépourvue du droit d'agir.

Enfin, selon l'article 122 du code de procédure civile, constitue une fin de non-recevoir tout moyen qui tend à faire déclarer l'adversaire irrecevable en sa demande, sans examen au fond, pour défaut de droit d'agir, tel le défaut de qualité, le défaut d'intérêt, la prescription, le délai préfix, la chose jugée.

L'article 3 de la loi n°78-17 du 6 janvier 1978 (loi informatique et libertés) dispose que :

I.- Sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), l'ensemble de ses dispositions s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France.

II.- Les règles nationales prises sur le fondement des dispositions du même règlement renvoyant au droit national le soin d'adapter ou de compléter les droits et obligations prévus par ce règlement s'appliquent dès lors que la personne concernée réside en France, y compris lorsque le responsable de traitement n'est pas établi en France.

L'arrêt de la CJUE du 13 mai 2014 (C131/12 Google Spain c/Agencia Española de Proteccion de Datos), invoqué par Mme [C], s'est prononcé sur l'interprétation de l'article 4 de la directive 95/46 du 24 octobre 1995 (qui a précédé le RGPD) quant à son champ territorial d'application, et non sur un principe de responsabilité de la filiale locale de Google (dans l'espèce jugée Google Spain) dans le traitement des données.

En effet, selon le point 56 de cette décision, « les activités de l'exploitant du moteur de recherche et celles de son établissement situé dans l'Etat membre concerné sont indissociablement liées dès lors que les activités relatives aux espaces publicitaires constituent le moyen pour rendre le moteur de recherche en cause économiquement rentable et que ce moteur est, en même temps, le moyen permettant l'accomplissement de ces activités », ce qui ne veut pas dire que l'établissement local est lui-même responsable du traitement des données.

La CJUE a en effet conclu (point 60) que l'article 4, paragraphe 1, sous a), de la directive 95/46 « doit être interprété en ce sens qu'un traitement de données à caractère personnel est effectué dans le cadre des activités d'un établissement du responsable de ce traitement sur le territoire d'un Etat membre, au sens de cette disposition, lorsque l'exploitant d'un moteur de recherche crée dans un Etat membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l'activité vise les habitants de cet Etat membre ».

Ceci signifie que la loi nationale, en l'espèce la loi française, est applicable au traitement des données en cause par l'exploitant du moteur de recherche qui a créé une succursale en France, mais pas que la succursale française en est elle-même responsable, la qualité d'exploitant ne pouvant se déduire des seuls liens qui unissent ces deux sociétés.

Pour pouvoir agir en responsabilité contre la société Google France, Mme [C] doit donc démontrer que celle-ci est l'exploitant des données litigieuses.

Mme [C] invoque l'apparence d'exploitation qui résulterait de la confusion créée par les mentions fréquentes de la société Google France sur les documents accessibles en ligne.

Toutefois, le nom de domaine « google.fr », qui appartient à la société Google LLC (pièce n° 20 des appelantes), mis en avant par l'intimée, est parfaitement distinct de la dénomination de la société Google France.

Les divers documents produits par l'intimée ne démontrent pas que Google France serait apparemment l'exploitant du moteur de recherche Google, ces documents étant relatifs essentiellement à la structure elle-même et aux emplois qu'elle propose, ou encore à des activités distinctes de celles ici en litige (recherche, innovation, transformation numérique), tandis que les pages consacrées aux conditions d'utilisation de Google renvoient à la société Google Ireland Limited (pièces n° 63 à 66 de l'intimée).

Il y a lieu de noter que la page intitulée « nous contacter » (pièce n° 67 de l'intimée) fait certes état de l'adresse de Google France, mais également de celle de Google LLC, cette page ne permettant pas, là encore, de conclure que Google France serait l'exploitant du moteur de recherche ou propriétaire du nom de domaine « google.fr ». L'extrait Kbis de la société Google France ne permet pas plus d'établir l'apparence alléguée, les activités principales qui y sont mentionnées ne suffisant à l'évidence pas à démontrer l'exploitation du moteur de recherche Google.

Enfin, le fait que Google France ait répondu aux courriers adressés par Mme [C] ou son conseil n'est pas plus probant, ces réponses mentionnant systématiquement que l'entité à laquelle il convient de s'adresser est bien Google LLC (pièces n° 6 et 8 de l'intimée).

A l'inverse, la société Google France démontre (pièces n° 16 à 22 des appelantes):

- que seule la société Google Ireland Limited fournit les services de recherche sur le site https://www.google.fr,

- que toutes les marques Google ont été déposées par la société Google LLC, laquelle est également propriétaire des technologies mises en oeuvre pour l'exploitation du moteur de recherche « google.fr »,

- qu'elle-même intervient uniquement en qualité de prestataire de services (animation commerciale, services juridiques, de communication, etc...) pour la société Google Ireland Limited, sans avoir aucun rôle dans l'exploitation du moteur de recherche incriminé.

Ce point est confirmé par le contrat de marketing et de prestation de services pour la France produit par Mme [C] elle-même liant la société Google Ireland Limited à la société Google France (pièce n° 73).

Il en résulte que la société Google France, qui est étrangère au traitement des données personnelles de Mme [C], sur lesquelles elle n'intervient pas, n'a pas qualité pour défendre à l'action engagée par Mme [C], de sorte que les demandes formées à son encontre sont irrecevables.

Le jugement sera infirmé de ce chef.

***

2. Sur l'application du droit des données personnelles

Les appelantes soutiennent que le RGPD, et plus généralement le droit relatif à la protection des données personnelles, ne serait pas applicable en l'espèce dès lors que les données dont la suppression est demandée concernent exclusivement l'activité professionnelle de Mme [C], exercée sous forme de société.

Mme [C] soutient que la fiche GMB créée par Google est relative à une personne physique et non à une personne morale et qu'en tout état de cause les données collectées permettent d'identifier une personne physique, de sorte qu'elle est bien soumise au droit des données personnelles.

Sur ce, la cour,

Le traitement des données à caractère personnel est défini et réglementé par le règlement (UE) 2016/679 du 27 avril 2016 dit règlement général sur la protection des données (RGPD).

Selon son article 1er, le RGPD établit les règles relatives à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et des règles relatives à la libre circulation de ces données, et il protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel.

L'article 2 précise que ce règlement s'applique au traitement de données à caractère personnel, automatisé en tout ou en partie, ainsi qu'au traitement non automatisé de données à caractère personnel ou appelées à figurer dans un fichier.

En application de l'article 8, paragraphe 1, de la Charte des droits fondamentaux de l'Union européenne, toute personne a droit à la protection des données à caractère personnel la concernant.

L'article 4 paragraphe 1, du RGPD dispose qu'on entend par « données à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

En l'espèce, les informations figurant sur la fiche GMB de Mme [C] créée par Google, portent sur son nom, son prénom, sa profession, l'adresse de son exercice professionnel et ses coordonnées téléphoniques professionnelles. Il s'agit incontestablement de données à caractère personnel.

A cet égard, il importe peu que Mme [C] exerce son activité sous la forme juridique d'une société dès lors que sa dénomination sociale permet d'identifier la personne physique. En outre, la mention de la forme juridique d'exercice, soit « SELARL du Dr [C] », a été ajoutée par l'intimée elle-même après avoir découvert l'existence de sa fiche GMB.

Les données figurant sur la fiche telle qu'elle a été créée, et telle qu'elle existait au moment de la saisine du tribunal, sont donc bien des données personnelles au sens du RGPD.

Par ailleurs, il est constant que ces données ont fait l'objet d'un traitement par les sociétés Google en ce qu'elles ont procédé, sans le consentement de Mme [C], à la création d'une fiche d'établissement professionnel dite Google My Business (GMB), à partir des données collectées auprès de la société Infobel, elle-même les ayant obtenues de la société Orange (fournisseur d'accès internet de Mme [C]). Ces éléments factuels, rappelés dans l'ordonnance de référé du 12 avril 2019, et dans le jugement déféré, ne sont pas contestés par les appelantes, bien qu'ils ne figurent plus dans leurs conclusions.

L'application du RGPD au présent litige n'est donc pas discutable.

***

3. Sur l'absence de déclaration préalable à la CNIL :

Les parties concluent à nouveau longuement sur le non respect par les sociétés Google des dispositions de l'article 22 ancien de la loi informatique et libertés du 6 janvier 1978, alors qu'elles admettent que, cette obligation de déclaration préalable à la CNIL ayant été supprimée par l'entrée en vigueur du RGPD, ce fait ne peut fonder la demande de suppression de la fiche GMB par Mme [C].

Le tribunal, après avoir constaté l'absence de déclaration préalable, et considéré que celle-ci est fautive, a toutefois considéré que la demande de retrait ne pouvait aboutir sur ce moyen. Mme [C] sollicite la confirmation du jugement sur ce point.

Il n'y a donc pas lieu d'examiner ce moyen qui ne peut, en tout état de cause, pas permettre de faire droit aux demandes principales de Mme [C].

***

4. Sur la licéité du traitement des données au regard du RGPD :

Les appelantes soutiennent que la création de la fiche d'établissement professionnel de Mme [C] répond à un intérêt légitime au sens des dispositions du RGPD, soit le droit à l'information des utilisateurs de leur moteur de recherche, ainsi que la liberté d'expression de ceux-ci. Elles exposent que la finalité du traitement des données effectué est de mettre à disposition des internautes des informations relatives à des professionnels (comme dans un annuaire) mais également de leur fournir un moyen d'évaluer lesdits professionnels par la publication d'avis et de notes, ce qui contribue à enrichir l'information délivrée au public.

Mme [C] soutient pour sa part que le traitement de ses données personnelles par les sociétés Google ne répond à aucun motif légitime, qu'il s'agit en réalité d'une finalité purement commerciale, dissimulée mais révélée par l'envoi de publicités pour des services payants, et que les informations résultant des avis non vérifiés publiés sur sa fiche ne peuvent être considérées comme justifiant le traitement litigieux. Elle ajoute qu'elle n'a reçu aucune information préalable, qu'elle n'a pas consenti au traitement de ses données, lequel est en outre déloyal et non transparent.

Sur ce, la cour,

Selon l'article 5 du RGPD, les données à caractère personnel doivent être notamment :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d'une manière incompatible avec ces finalités [...] (limitation des finalités) ;

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

d) exactes et, si nécessaires, tenues à jour [...] (exactitude).

Le responsable du traitement est responsable du respect de ces principes et est en mesure de démontrer qu'ils sont respectés (principe de responsabilité).

L'article 6, paragraphe 1 du RGPD prévoit que le traitement des données personnelles n'est licite que si, et dans la mesure où, au moins l'une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques [...]

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Il convient de préciser que ce texte prévoit six cas possibles de traitement des données personnelles, mais seuls les a) et f) intéressent le présent litige.

Le paragraphe 4 du même article 6 prévoit que, lorsque le traitement à une fin autre que celle pour laquelle les données ont été collectées n'est pas fondé sur le consentement de la personne concernée ou sur le droit de l'Union ou le droit d'un État membre qui constitue une mesure nécessaire et proportionnée dans une société démocratique pour garantir les objectifs visés à l'article 23, paragraphe 1, le responsable du traitement, afin de déterminer si le traitement à une autre fin est compatible avec la finalité pour laquelle les données à caractère personnel ont été initialement collectées, tient compte, entre autres :

a) de l'existence éventuelle d'un lien entre les finalités pour lesquelles les données à caractère personnel ont été collectées et les finalités du traitement ultérieur envisagé ;

b) du contexte dans lequel les données à caractère personnel ont été collectées, en particulier en ce qui concerne la relation entre les personnes concernées et le responsable du traitement ;

c) de la nature des données à caractère personnel, en particulier si le traitement porte sur des catégories particulières de données à caractère personnel, en vertu de l'article 9, ou si des données à caractère personnel relatives à des condamnations pénales et à des infractions sont traitées, en vertu de l'article 10 ;

d) des conséquences possibles du traitement ultérieur envisagé pour les personnes concernées ;

e) de l'existence de garanties appropriées, qui peuvent comprendre le chiffrement ou la pseudonymisation.

a) Sur la collecte des données :

En l'espèce il n'est pas contesté que Mme [C] n'a pas consenti au traitement de ses données, puisqu'elle s'y est même opposée après avoir découvert l'existence de la fiche GMB la concernant.

Par ailleurs, il résulte de l'exposé des faits et des moyens des parties que ce ne sont pas les informations qui figurent dans la fiche GMB qui posent difficulté à Mme [C], laquelle a expressément indiqué qu'elle souhaitait continuer d'être référencée sur le moteur de recherches Google, mais bien la possibilité ouverte aux internautes, par l'intermédiaire de cette fiche, de publier des avis sur son activité professionnelle.

A cet égard, il convient de souligner que, nonobstant les très longues explications de Mme [C], les informations qui figurent sur sa fiche d'établissement professionnel GMB portent uniquement sur son activité professionnelle, puisqu'il s'agit de son nom, de sa profession et des coordonnées de son cabinet dentaire, de sorte qu'elles ne présentent aucun caractère sensible.

Il n'est pas prétendu qu'elles soient inexactes.

De surcroît il n'est pas établi qu'elles aient été obtenues par les sociétés Google de manière illicite, puisque vendues par Orange à la société Infobel qui les a elles-mêmes mises à leur disposition.

Or l'article R. 10-4 du code des postes et des télécommunications électroniques dispose que les opérateurs communiquent les listes d'abonnés et d'utilisateurs prévues au quatrième alinéa de l'article L. 34, à toute personne souhaitant éditer un annuaire universel ou fournir un service universel de renseignements.

La transmission des données aux sociétés Google n'est donc pas illicite, celles-ci mettant incontestablement à disposition des utilisateurs d'internet un annuaire universel et fournissant un service universel de renseignements au sens du texte précité.

Enfin, il convient de relever que les données publiées par les sociétés Google figurent également dans d'autres annuaires librement accessibles (pages jaunes, annuaire professionnel de l'ordre national des chirurgiens dentistes notamment), et ont été publiées par Mme [C] elle-même sur son site internet.

Il en résulte donc que la collecte des données personnelles de Mme [C] par Google n'est pas illicite.

b) Sur l'information délivrée à Mme [C] :

L'article 14 du RGPD prévoit que, lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations qui y sont énoncées, portant notamment sur les finalités du traitement et la base juridique de celui-ci et, s'il est fondé sur l'article 6, paragraphe 1, point f), les intérêts légitimes poursuivis, mais également les droits de demander l'accès, la rectification ou l'effacement de celles-ci, ou une limitation du traitement.

Le paragraphe 3 de ce texte fixe à un mois à compter de l'obtention des données le délai maximum dans lequel le responsable est tenu d'en informer la personne concernée, et le paragraphe 5 fixe les cas dans lesquels cette information n'est pas due, notamment dans le cas où la personne concernée dispose déjà de ces informations, ou celui dans lequel la fourniture de ces informations se révèle impossible ou exigerait des efforts disproportionnés.

L'article 14 du RGPD reprend des dispositions antérieures similaires qui figuraient dans l'article 32 de la loi informatique et libertés du 6 janvier 1978.

En l'espèce, s'il est exact que les sociétés Google ne justifient pas avoir fourni à Mme [C], dès la création de la fiche d'établissement professionnel, les informations requises par l'article 14 du RGPD, ni, antérieurement à son entrée en vigueur, par l'article 32 ancien de la loi informatique et libertés, le non-respect de cette obligation n'est pas de nature à justifier la suppression des données collectées, mais fait encourir au responsable du traitement des sanctions par les autorités compétentes, et engage sa responsabilité à l'égard des personnes concernées.

Sur ce point, c'est en vain que les sociétés Google prétendent que la fourniture des informations requises serait impossible ou exigerait des efforts disproportionnés au sens du paragraphe 5 de l'article 14 du RGPD.

En effet, elles n'invoquent pour cela que la masse des informations collectées par elles, ce qui relève de leur seule volonté pour procéder à la mise en ligne d'un volume maximum d'informations. Dans la mesure où elles disposent des coordonnées de Mme [C], elles ne peuvent invoquer une quelconque impossibilité de délivrer cette information. Le caractère disproportionné des efforts à fournir qu'elles invoquent leur est exclusivement imputable, et ne peut justifier une dispense de procéder à l'information requise, laquelle est exigée pour un respect effectif des droits fondamentaux des personnes concernées.

A cet égard, l'arrêt de la CEDH du 10 mai 2011 (n° 48009/08) qu'invoquent les appelantes n'est pas pertinent, celui-ci se rapportant à une information préalable au traitement des données qui aurait des effets paralysants, lorsqu'ici il n'est question que d'une information à délivrer dans le mois qui suit le traitement des données.

Il y a lieu d'ajouter que, bien que tardivement, les informations ont été fournies à Mme [C] dans le cadre de l'action qu'elle a engagée. La faute commise par les sociétés Google ne permet donc pas d'ordonner la suppression de la fiche litigieuse, mais engage leur responsabilité à l'égard de Mme [C], lui ouvrant droit à réparation dans la mesure où elle justifierait d'un préjudice en lien direct et certain avec cette faute.

c) Sur l'intérêt légitime :

Les articles 5 et 6 du RGPD précités, éclairés par les considérants du RGPD, notamment le considérant n° 47, mais aussi par les lignes directrices définies par le Comité européen de la protection des données (CEPD), le recours à l'intérêt légitime pour fonder le traitement de données à caractère personnel doit répondre à plusieurs conditions cumulatives :

- l'intérêt poursuivi doit être légitime,

- le traitement doit être nécessaire,

- le traitement doit être réalisé dans le respect des droits des personnes concernées et la prise en compte de leurs attentes raisonnables.

En l'espèce, les sociétés Google invoquent le droit à l'information des usagers du moteur de recherche et produisent des documents expliquant la finalité du service GMB (devenu depuis « Google Business Profile ») et de l'existence de la fiche d'établissement professionnel (pièces n° 2, 4, 13 et 14). La finalité informationnelle du traitement des données est donc bien réelle, ce qui ne signifie pas nécessairement qu'elle soit la seule poursuivie.

Le traitement des données de Mme [C] est également nécessaire à cette information.

Mais le responsable du traitement doit opérer en outre une mise en balance entre ses propres droits et intérêts et ceux de la personne concernée afin de vérifier qu'il n'est pas créé de déséquilibre au détriment des droits de celle-ci. Il doit être tenu compte notamment des incidences potentiellement négatives du traitement des données sur la personne concernée.

Les éléments produits et les explications des parties établissent que l'objectif de la création de la fiche GMB est de permettre la publication en ligne d'avis par des utilisateurs d'internet. En effet, la publication des renseignements d'annuaire à eux seuls ne nécessitent aucunement la création d'une telle fiche.

Il convient de rappeler que la pratique de publication d'avis sur les professionnels est admise par la loi et codifiée depuis l'entrée en vigueur de la loi n° 2016-1321 du 7 octobre 2016, à l'article L. 111-7-2 du code de la consommation, dont les parties ne discutent pas l'applicabilité à l'activité des professionnels de santé.

L'équilibre entre les droits et intérêts des parties suppose que la personne concernée puisse, gratuitement, répondre aux avis, voire en vérifier la pertinence quant aux auteurs, c'est-à-dire qu'il s'agisse effectivement d'utilisateurs de ses propres services, soit en l'espèce ses patients. Ce dernier point est particulièrement important s'agissant d'un professionnel de santé, ses services n'étant pas des prestations commerciales, outre sa soumission au respect du secret médical.

Or il est constant que la possibilité de répondre aux avis, voire de modifier ou rectifier le contenu des informations figurant sur la fiche GMB, est soumise à l'obligation, pour la personne concernée, de se créer un compte Google en renseignant une adresse mail, avec la proposition de création d'une adresse gmail. Il s'agit donc d'une adhésion forcée à un service commercial auquel Mme [C] n'aurait pas nécessairement souhaité adhérer, le fait qu'il soit gratuit étant indifférent.

En effet, la création de ce compte induit nécessairement, non seulement la transmission de nouvelles données (adresse mail), mais aussi d'autres utilisations de ses données, notamment par l'envoi de messages publicitaires sur l'adresse mail renseignée. Il s'agit d'un effet en chaîne, puisque, en créant son compte Google, la personne concernée doit accepter les conditions générales d'utilisation et les règles de confidentialités, lesquelles incluent la possibilité pour Google de transmettre les données à d'autres sociétés commerciales qui pourront à leur tour les utiliser (pièces n° 66, 70 et 72 de Mme [C]).

A cet égard, il est significatif que, lors de la création du compte Google, il est proposé au professionnel l'adhésion à des services payants supplémentaires proposés par Google, visant à améliorer la visibilité de son activité (Adwords notamment, pièce n° 4 de Mme [C]).

La publication des avis d'utilisateurs, notamment lorsqu'ils sont négatifs, est une manière d'inciter fortement le professionnel, lorsqu'il les découvre, à prendre la main sur sa fiche afin d'y répondre, ce qu'il ne peut faire qu'en créant un compte Google. Le professionnel, qui n'a pas consenti au traitement de ses données personnelles, ni à la création de sa fiche, se retrouve ainsi contraint d'adhérer aux services proposés par Google, qui, pour être gratuits, n'en sont pas moins commerciaux, les sociétés Google ne pouvant sérieusement prétendre qu'elles n'y ont aucun intérêt propre. En effet, les sociétés Google valorisent les données collectées auprès de tiers, ce qui leur permet de bénéficier de recettes publicitaires.

Ainsi, le but poursuivi par les sociétés Google n'est pas la seule information la plus large des internautes, mais également le développement de sa propre activité commerciale, soit par les recettes publicitaires perçues auprès de tiers utilisant les données traitées, soit par la diffusion pour son propre compte de publicités pour ses propres services payants. Or aucune information sur ces utilisations n'a été donnée à Mme [C].

Par ailleurs, outre cet aspect commercial non explicite, il est constant que les avis publiés par Google ne sont pas vérifiés, ce qui n'est pas illicite au regard des dispositions du code de la consommation dès lors que cette absence de vérification est dûment affichée. Toutefois, Mme [C], en sa qualité de professionnel de santé, se retrouve ainsi la cible d'avis négatifs, voire particulièrement dénigrants, de personnes dont il apparaît que, pour la plupart, elles ne sont pas ses patientes (pièce n° 39 de Mme [C]), ce que les sociétés Google ne contestent pas. Il apparaît même que l'un des avis provient d'un compte extérieur à l'Union européenne, permettant de douter très sérieusement de son authenticité. La possibilité offerte aux utilisateurs de publier les avis sous un pseudonyme, augmente la difficulté pour Mme [C] d'y répondre, faute pour elle de pouvoir facilement identifier l'auteur, sans passer par la procédure contraignante d'identification auprès de Google (et pour laquelle elle a été contrainte d'agir en justice, voir l'ordonnance sur requête du 25 septembre 2019).

Cette impossibilité, pour un professionnel de santé, de s'assurer, ab initio, que les avis publiés proviennent effectivement de ses patients, ce qui est le seul moyen d'y répondre pertinemment, crée un déséquilibre au détriment de Mme [C], compte tenu de sa situation particulière. Ce déséquilibre est d'autant plus important que, tenue au secret médical, il pourrait même lui être interdit dans une réponse de désigner l'auteur d'un avis comme étant son patient (articles L. 1110-4 et R. 4127-4 du code de la santé publique).

La pondération à laquelle doit procéder le responsable du traitement doit encore tenir compte des attentes raisonnables des personnes concernées. En quelque sorte, en l'absence de consentement préalable au traitement des données, le responsable qui se fonde sur un intérêt légitime ne doit pas surprendre les personnes concernées dans les modalités de mise en oeuvre et dans les conséquences de ce traitement.

Or en l'espèce, Mme [C] n'a reçu aucune information de la part des sociétés Google de la collecte et du traitement des données, obtenues par l'intermédiaire de l'opérateur Orange, comme rappelé ci-dessus, et elle ne pouvait raisonnablement s'attendre à ce que leur traitement, auquel les sociétés Google ont procédé sans l'en informer, aboutirait à la publication d'avis sur sa pratique professionnelle susceptibles de lui nuire gravement.

Si la publication d'avis par les utilisateurs, qu'ils soient positifs ou négatifs, participe à la liberté d'expression et à l'information du public, ces droits sont à mettre en balance avec le droit pour la personne concernée de protéger ses données en refusant de se soumettre à ce type d'avis qui résulte d'un traitement auquel elle n'a pas consenti. Ce d'autant que les avis peuvent être publiés, anonymement, par des personnes complètement étrangères à son activité professionnelle, sans qu'elle ait aucun moyen de s'en assurer, sans passer par les services de Google.

A cet égard, en l'absence de tout contrôle effectif exercé sur les avis publiés, ceux-ci pourraient ainsi contenir à leur tour des données personnelles, potentiellement sensibles s'agissant de l'activité d'un professionnel de santé. Or la suppression de ces avis ne peut se faire que a posteriori, et suppose une démarche active de la personne concernée, ce qui est contraire aux principes régissant la protection des données personnelles.

Il résulte de l'ensemble de ces éléments que l'intérêt légitime invoqué par les sociétés Google n'est pas justifié au sens de l'article 6, paragraphe 1, point f) du RGPD. Le traitement des données de Mme [C] est donc illicite.

***

5. Sur la demande de retrait de la fiche GMB :

Les appelantes soutiennent que la demande d'effacement de Mme [C] ne peut pas se fonder sur les dispositions de l'article 17 du RGPD, le droit à