CA Chambéry, 2e ch., 22 mai 2025, n° RG 22/01814
Un professionnel de santé peut obtenir l’effacement de la fiche Google créée à son nom sans son consentement : c’est l’échec de l’intérêt légitime de la plateforme, et non le défaut d’information ni le caractère déloyal de la collecte, qui fonde la suppression.
C’est l’apport d’un arrêt du 22 mai 2025, dans lequel la cour d’appel de Chambéry est venue préciser les conditions dans lesquelles une fiche d’établissement professionnel « Google My Business » peut être effacée sur le fondement de l’article 17 du RGPD.
1. Les faits et la procédure
En tapant son nom dans le moteur de recherche de Google en 2017, Madame C., chirurgienne-dentiste, découvrait l’existence d’une fiche « Google My Business » la concernant, faisant apparaître son nom patronymique, l’adresse de son cabinet, une notation par étoiles et des avis liés à son activité professionnelle, dont certains très négatifs.
Le 27 novembre 2017, Madame C. mettait en demeure la société Google France de supprimer les avis publiés et la fonction « avis » de sa fiche. Le 8 décembre 2017, Google France refusait de faire droit à ces demandes, se bornant à lui indiquer les démarches à effectuer pour gérer sa fiche et signaler les commentaires qu’elle estimerait inappropriés.
Le 9 juillet 2018, le conseil de Madame C. réitérait la mise en demeure, cette fois aux fins de suppression de la fiche entière. Le 17 juillet 2018, Google France, répondant pour Google LLC, réitérait sa réponse en des termes similaires.
Madame C. faisait alors assigner Google France et Google LLC devant le juge des référés du tribunal de grande instance de Paris. Par ordonnance du 12 avril 2019, ce dernier mettait Google France hors de cause et disait n’y avoir lieu à référé. En septembre 2019, Madame C. faisait assigner au fond, devant le tribunal de Chambéry, les sociétés Google France, Google LLC et Google Ireland Limited. Elle obtenait parallèlement, par ordonnance sur requête du 25 septembre 2019, la communication des données permettant d’identifier les auteurs des avis litigieux ; son conseil en contactait neuf, trois avis étaient retirés et un quatrième, émanant d’un compte extérieur à l’Union européenne, était supprimé par Google.
Par jugement du 15 septembre 2022, le tribunal judiciaire de Chambéry condamnait les trois sociétés à supprimer la fiche sous astreinte de 100 euros par jour, retenait des manquements aux principes de loyauté et de transparence, ainsi que des actes de dénigrement et de parasitisme, et allouait à Madame C. 20 000 euros au titre de son préjudice moral. Google interjetait appel.
2. La fiche Google d’un médecin est-elle un traitement de données personnelles ?
La cour écarte d’emblée le moyen tiré du caractère professionnel des données et de l’exercice en société. Après avoir rappelé la définition de l’article 4, paragraphe 1, du RGPD, elle relève que la fiche fait apparaître le nom, le prénom, la profession, l’adresse d’exercice et les coordonnées téléphoniques professionnelles de l’intéressée :
« Il s’agit incontestablement de données à caractère personnel. A cet égard, il importe peu que Mme [C] exerce son activité sous la forme juridique d’une société dès lors que sa dénomination sociale permet d’identifier la personne physique. »
La cour constate en outre qu’il est constant que ces données ont fait l’objet d’un traitement, les sociétés Google ayant créé la fiche sans le consentement de Madame C., à partir de données collectées auprès de la société Infobel, elle-même les ayant obtenues de la société Orange, fournisseur d’accès internet de l’intéressée.
La collecte de données du médecin n’est pas illicite
Les données ayant été vendues par Orange à Infobel, qui les a mises à disposition de Google, la cour relève que les opérateurs sont tenus de communiquer les listes d’abonnés à toute personne souhaitant éditer un annuaire universel ou fournir un service universel de renseignements. Elle observe encore que les mêmes données figurent dans d’autres annuaires librement accessibles, et qu’elles avaient été publiées par Madame C. sur son propre site internet :
« Il en résulte donc que la collecte des données personnelles de Mme [C] par Google n’est pas illicite. »
Le manquement à l’article 14 ne justifie pas l’effacement
La cour retient en revanche que les sociétés Google ne justifient pas avoir délivré, dès la création de la fiche, l’information requise par l’article 14 du RGPD, et écarte l’argument tiré du caractère disproportionné des efforts à fournir, lequel leur est exclusivement imputable. Elle en tire toutefois une conséquence limitée :
« […] le non-respect de cette obligation n’est pas de nature à justifier la suppression des données collectées, mais fait encourir au responsable du traitement des sanctions par les autorités compétentes, et engage sa responsabilité à l’égard des personnes concernées. »
Le défaut d’information fonde donc l’indemnisation, non l’effacement. Une demande de suppression construite principalement sur ce terrain ne saurait prospérer.
Pourquoi l’intérêt légitime de Google est-il écarté ?
Le consentement faisant défaut, Madame C. s’y étant opposée dès la découverte de la fiche, seul l’intérêt légitime de l’article 6, paragraphe 1, point f), pouvait fonder le traitement. La cour rappelle que le recours à cette base légale suppose trois conditions cumulatives : un intérêt légitime, un traitement nécessaire, et le respect des droits des personnes concernées ainsi que de leurs attentes raisonnables. Elle admet les deux premières, la finalité informationnelle étant réelle et le traitement nécessaire à cette information, avant de procéder à la mise en balance.
Elle relève d’abord que la finalité affichée n’est pas la seule poursuivie :
« Les éléments produits et les explications des parties établissent que l’objectif de la création de la fiche GMB est de permettre la publication en ligne d’avis par des utilisateurs d’internet. En effet, la publication des renseignements d’annuaire à eux seuls ne nécessitent aucunement la création d’une telle fiche. »
Elle constate ensuite que la faculté de répondre aux avis ou de rectifier la fiche est subordonnée à la création d’un compte Google, laquelle emporte transmission de nouvelles données, réception de messages publicitaires, acceptation de conditions générales permettant la transmission des données à des sociétés tierces, et proposition de services payants :
« Il s’agit donc d’une adhésion forcée à un service commercial auquel Mme [C] n’aurait pas nécessairement souhaité adhérer, le fait qu’il soit gratuit étant indifférent. »
La cour en déduit que le but poursuivi n’est pas la seule information la plus large des internautes, mais également le développement de l’activité commerciale de Google, par les recettes publicitaires perçues auprès de tiers et la diffusion de publicités pour ses propres services payants, sans qu’aucune information n’ait été délivrée sur ces utilisations.
Elle relève enfin que les avis ne sont pas vérifiés, qu’ils peuvent être publiés sous pseudonyme et que la plupart de leurs auteurs n’étaient pas les patientes de l’intéressée. La circonstance est aggravée par le secret médical, qui pourrait interdire à la praticienne de désigner l’auteur d’un avis comme son patient :
« Cette impossibilité, pour un professionnel de santé, de s’assurer, ab initio, que les avis publiés proviennent effectivement de ses patients, ce qui est le seul moyen d’y répondre pertinemment, crée un déséquilibre au détriment de Mme [C], compte tenu de sa situation particulière. »
Appliquant enfin le critère des attentes raisonnables, la cour observe que Madame C., n’ayant reçu aucune information sur la collecte, ne pouvait raisonnablement s’attendre à ce que le traitement aboutisse à la publication d’avis susceptibles de lui nuire gravement. Il s’ensuit que l’intérêt légitime invoqué n’est pas justifié au sens de l’article 6, paragraphe 1, point f), et que le traitement est illicite.
3. Comment la cour applique-t-elle le droit à l’effacement ?
Le traitement étant illicite, la cour retient que Madame C. est fondée à en demander l’effacement sur le fondement du paragraphe 1, point d), de l’article 17 du RGPD. Les sociétés Google opposaient l’exception du paragraphe 3, point a), tirée de l’exercice du droit à la liberté d’expression et d’information. La cour l’écarte en deux temps.
Sur la liberté d’expression d’abord, elle juge que celle-ci n’est pas compromise par le retrait de la fiche, la publication d’avis sur les prestations d’un professionnel de santé ne relevant pas de la protection de cette liberté, compte tenu de l’anonymat possible des auteurs et des contraintes pesant sur la praticienne pour y répondre. Sur le droit à l’information ensuite :
« […] la publication de ces mêmes avis ne présente pas un caractère suffisamment impérieux pour l’information du public, au regard des droits de Mme [C] à protéger ses propres données […]. En effet, en l’absence de toute vérification des avis, la qualité et la sincérité de l’information délivrée n’est pas garantie. »
Elle en conclut que la demande est justifiée sur le seul fondement de l’article 17 du RGPD, sans qu’il soit nécessaire d’examiner les autres fondements invoqués.
4. Cette jurisprudence a-t-elle été suivie ?
À ce jour, aucune décision publiée ne reprend la solution de la cour d’appel de Chambéry, aucune autre cour d’appel ne s’est prononcée en sens contraire, et aucun arrêt de la Cour de cassation n’est identifié. L’arrêt conserve donc une autorité persuasive et non contraignante.
Cette décision rappelle la rigueur avec laquelle est appréciée la base légale d’un traitement fondé sur l’intérêt légitime, et plus précisément l’exigence de mise en balance ; et ce, qui plus est lorsque la personne concernée est un professionnel de santé, dont le secret professionnel interdit structurellement de répondre aux avis publiés. Elle rappelle aussi, en creux, qu’il n’existe aucun droit automatique à la suppression d’une fiche Google : la seule affaire tranchée au fond aura duré près de huit ans.
Vous êtes médecin, chirurgien-dentiste ou professionnel de santé et une fiche Google a été créée à votre nom sans votre accord ? Le cabinet vous accompagne dans vos demandes d’effacement fondées sur le RGPD.