Les données personnelles s'appliquent à la vie professionnelle
Le TGI de Paris, dans une ordonnance de référé du 6 avril 2018 a condamné la société Google LLC, anciennement Google Inc, à une amende de 3.500 euros et lui a ordonné la suppression d'une fiche Google My Business accessible via le moteur de recherche Google.fr pour traitement illicite de données à caractère personnel.
Si la notion de données à caractère personnel est récemment sur toutes les lèvres avec l'entrée en vigueur du RGPD, la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés défini, en son article 2, la notion de traitement de données à caractère personnel comme « toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction».
En l'espèce, Monsieur X, un chirurgien et dentiste, constate que lorsque son nom et son prénom sont tapés dans la barre de recherche du moteur de recherche Google.fr, une fiche Google My Business- un service Google permettant d'améliorer la visibilité des entreprises-apparaît. Voyant que cette dernière contient des informations relatives à son activité (adresse de son cabinet, horaires d'ouverture,avis de clients) ce dernier demande aux sociétés Google France et Google Inc sa suppression.
Les sociétés ayant refusé de faire droit à sa demande, Monsieur X, les assigne en référé.
Le TGI de Paris choisit de ne se pencher que sur la demande de Monsieur X concernant la suppression de la fiche litigieuse. Il adopte pour cela un raisonnement en deux étapes avant de condamner le société Google LLC (anciennement Google Inc).
- Il décide tout d'abord de la mise hors de cause de Google France
- Il se penche ensuite sur la suppression ou non de la fiche Google My business en recherchant une responsabilité de Google LLC notamment en se basant sur l'article 226-18-1 du Code pénal
- Une mise hors de cause de la société Google France
Monsieur X, soutient que la société Google France devrait être condamnée pour ne pas avoir respecté ses obligations en matière de traitement de données à caractère personnel en refusant de supprimer la fiche Google Business.
Cependant comme le rappelle le TGI, « le responsable d'un traitement de données à caractère personnel est la personne qui détermine la finalité et les moyens » du traitement.
Pour prononcer la mise hors de cause de la société Google France, ce dernier se base donc sur :
- le fait que les conditions d'utilisation de Google précisent que les services fournis le sont par la société Google LLC anciennement Google Inc
- le fait que la fiche « nous contacter » mentionne l'adresse du siège de cette même société aux États-Unis
- le fait qu'aucune preuve n'indique que la société Google FRANCE soit mandataire de la société Google LLC
Ainsi, en l'absence d'éléments prouvant que la société Google FRANCE est responsable de traitement, sa responsabilité ne saurait être engagée pour le traitement des données à caractère personnel de Monsieur X. La société est donc mise hors de cause.
2. Une demande de suppression de la fiche Google Business par Google LLC
Le TGI répond tout d'abord à une question : La notion de données à caractère personnel, est-elle restreinte aux seules informations relatives à la vie privée comme le soutient la société Google LLC ? Une réponse positive aurait exclu l’application des dispositions relatives aux données à caractère personnel car les informations contenues dans la fiche Google Business sont professionnelles.
Pour parvenir à une réponse, le Tribunal rappelle tout d'abord que l'article 2 de la loi du 6 janvier 1978 défini une donnée à caractère personnel comme « toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres ».
Le TGI considère que le fait que des données comme un nom, un prénom, une adresse, un numéro de téléphone soient relatives à l'activité professionnelle d'une personne n'exclut pas une qualification de données à caractère personnel.
Ainsi, la fiche Google Business se voit appliquer le régime mis en place pour ces données.
Par la suite, pour condamner Google LLC, le TGI rappelle que Monsieur X, s'il avait tout d'abord accepté la création d'une telle fiche et donc l'utilisation de ses données, s'était par la suite ravisé. De plus, la création d'une fiche Google My Business allait de pair avec l'envoi par Google de courriels proposant à Monsieur X de payer pour des annonces publicitaires lui permettant d'améliorer ses performances par le biais du service Google AdWords Express.
Or, de telles pratiques apparaissent contraires à l'article 226-18-1 du Code pénal consacrant le fait que « Le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende. »
Au regard de cet article, il apparaît évident que le traitement des données à caractère personnel mis en place par Google LLC constituait un « trouble manifestement illicite » et devait cesser.
Ainsi, le TGI, reconnaît la responsabilité de la société Google LLC en matière de traitement de données à caractère personnel dans le cadre des fiches Google My Business. Cette dernière est donc condamnée à supprimer dans les 15 jours à compter de la signification de l'ordonnance la fiche litigieuse sous astreinte de 1000 € par jour de retard dans la limite de 90 jours et est condamnée à verser à Monsieur X la somme de 3 500 €.
Par cette décision, le TGI de Paris illustre donc une volonté d'appliquer largement les dispositions légales relatives aux données à caractère personnel. Cette jurisprudence apparaît donc en adéquation avec un contexte de protection élargie des individus et de mise en conformité des entreprises avec le RGPD lequel entre en vigueur le 25 mai 2018.
Si vous souhaitez être assisté dans le cadre de la mise en conformité au RGPD, n’hésitez pas à contacter le Cabinet.