La protection limitée des données à caractère personnel ayant un caractère public
Auteur : par Alice Hérole et Ghislaine Betton
Publié le :
22/12/2020
22
décembre
déc.
12
2020
Les fiches Google My Business
Les données à caractère personnel désignent tous types d’informations se rapportant à une personne physique identifiée ou identifiable, que ce soit de manière directe ou indirecte, notamment par référence à un nom, à un numéro d’identification, des données de localisation, ou par référence à des caractéristiques physiques (art. 4 Règlement 2016/679, 27 avril 2016 dit RGPD).Cette définition très large a conduit légitimement les professionnels du monde médical, tels que les médecins, à considérer leurs données professionnelles en tant que données à caractère personnel protégeables, au titre de la Loi n°78-17 Informatique et Liberté du 6 janvier 1978 modifiée, et du RGPD.
Cette problématique s’est récemment cristallisée autour des Fiches « Google My Business » référençant, s’agissant des médecins, leur prénom, leur nom, leur adresse d’exercice, et leurs coordonnées téléphoniques. Ces fiches ont aussi la particularité de contenir des avis déposés par des patients du praticien, qui peuvent en fonction de leur contenu lui faire une bonne ou une mauvaise publicité.
Trois décisions, rendues en référé, ont toutefois posé des limites à la protection des données professionnelles des médecins, et dentistes qui avaient sollicités en référé la suppression de leur Fiche (TGI Paris, Ordonnance de référé, 12 avril 2019 ; TGI Paris, Ordonnance de référé, 11 juillet 2019, n° 19/54734 ; TGI de Metz, Ordonnance de référé, 16 juillet 2019).
Dans les trois décisions rendues, le Juge considère que les données professionnelles publiées dans le cadre de la Fiche « Google My Business » sont bien des données à caractère personnel, mais que leur collecte et leur publication sont légales, et ne causent pas de trouble manifestement illicite, dans la mesure où les données ont été collectées sur des sites publics tels que des annuaires dématérialisés.
Il estime, en outre, que les avis de patients ne peuvent être effacés, sur le fondement du droit à l’effacement visé à l’article 17 para 3 du RGPD, aux motifs qu’ils constitueraient une injure, du dénigrement, ou de la diffamation, car il s’agit en réalité d’une appréciation critique du praticien relevant de la liberté d’expression, et ayant pour objectif d’informer les consommateurs.
Enfin, pour lui, la Fiche « Google My Business » n’étant pas une forme de sollicitation commerciale, les demandeurs ne peuvent pas faire opposition à la publication de leurs données sur le fondement de l’article 21 para 2 du RGPD.
S’agissant de la demande de communication des données d’identification des internautes (Nom, adresse IP…) formulée sur le fondement de l’article 145 du Code de procédure civile, elle n’est pas traitée de la même manière dans l’Ordonnance de référé du 11 juillet 2019, et celle rendue le 16 juillet 2019.
Ainsi, le Président du TGI de Paris estime que la préservation de l’image de la demanderesse, dentiste, justifie la communication de ces données. A l’inverse, le Président du TGI de Metz estime que la protection des droits et libertés du médecin psychiatre, demandeur, ne justifie en rien la levée de l’anonymat des internautes ayant commenté la fiche « Google My Business », car cela contreviendrait à leur liberté d’expression.
Quoi qu’il en soit, ces trois décisions s’opposent à une précédente Ordonnance de référé, rendue le 6 avril 2018 par le Juge des référés du TGI de Paris, aux termes de laquelle la Juridiction avait au contraire ordonné la suppression de la fiche litigieuse, en la qualifiant de traitement illicite de données à caractère personnel, réalisé à des fins de prospection commerciale, malgré l’opposition du titulaire de ces données, Chirurgien-dentiste.
La décision vise, à ce titre, les articles 226-18-1 et 226-4 du Code pénal.
Dans cette décision, il n’est nullement fait référence au caractère public des données collectées auprès d’annuaires dématérialisés, ni à la nécessité d’assurer l’information du consommateur. En réalité, le seul fait que le titulaire des données était opposé à leur traitement, et que la fiche était une forme de prospection commerciale, suffisait à démontrer son illicéité, ainsi qu’à permettre que soit ordonné la suppression de la fiche.
En référé, la tendance jurisprudentielle semble donc évoluer vers une protection des données à caractère personnel moins absolue qu’elle ne l’était auparavant, et qui devrait être contrebalancé avec d’autres droits tels que l’information du consommateur, et la liberté d’expression, mais de nouvelles décisions devront le confirmer.
Par ailleurs, pour l’instant, rien ne préjuge de la position du Juge du fond sur la question épineuse de la licéité du traitement des données à caractère personnel effectué par « Google My Business ».
Le Cabinet Pivoine est à vos côtés afin de vous accompagner dans le cadre de la mise en œuvre du RGPD, et de toute problématique juridique ou judiciaire que vous rencontrez s’agissant du traitement de données à caractère personnel.
Historique
-
Digital Market Act et Digital Service Act
Publié le : 15/02/2021 15 février févr. 02 2021Propriété intellectuelle, droit des nouvelles technologies et des plateformes
Projets pour le futur du droit des plateformes Le Digital Market Act (DMA) et le Digital Services Act (DSA) sont deux projets de règlement publiés le 15 décembre 2020 par la Commission Européenne. Ils visent à définir des règles de responsabilité des plateformes numériques et à doter les Etats m... -
Confinement et numérisation des entreprises
Publié le : 15/02/2021 15 février févr. 02 2021Propriété intellectuelle, droit des nouvelles technologies et des plateformes
Une nouvelle aide exceptionnelle de l’Etat Confinement : une aide exceptionnelle de l’Etat pour accompagner la numérisation des entreprises Décret n° 2021-69 du 27 janvier 2021 relatif à l'aide exceptionnelle à la numérisation pour certaines entreprises employant moins de onze salariés qui n'... -
Groupe Carrefour : Offensive de la CNIL
Publié le : 21/01/2021 21 janvier janv. 01 2021Propriété intellectuelle, droit des nouvelles technologies et des plateformes
De lourdes sanctions pour manquements au RGPD CNIL 18 nov. 2020, délibération N°SAN-2020-008 CNIL 18 nov. 2020, délibération N°SAN-2020-009 Le 18 novembre dernier, la CNIL a prononcé de sévères sanctions à l’encontre de deux sociétés du groupe Carrefour – Carrefour Banque et Carrefour Fran... -
E-commerce
Publié le : 21/01/2021 21 janvier janv. 01 2021Corporate, droit de sociétés, financementPropriété intellectuelle, droit des nouvelles technologies et des plateformes
Comment vendre son site internet e-commerce ? Un cybermarchand peut tout à fait peut envisager de céder son site internet après l'avoir développé. Le cybermarchand capte une clientèle, et la vente d’un site internet de e-commerce est assimilée à une cession de fonds de commerce électronique dès... -
La protection limitée des données à caractère personnel ayant un caractère public
Publié le : 22/12/2020 22 décembre déc. 12 2020Propriété intellectuelle, droit des nouvelles technologies et des plateformes
Les fiches Google My Business Les données à caractère personnel désignent tous types d’informations se rapportant à une personne physique identifiée ou identifiable, que ce soit de manière directe ou indirecte, notamment par référence à un nom, à un numéro d’identification, des données de locali...
-
Click and Collect
Publié le : 07/12/2020 07 décembre déc. 12 2020Propriété intellectuelle, droit des nouvelles technologies et des plateformes
Quelles obligations pour le cybermarchand dans le cadre de ses relations BtoC ? Suite à la crise sanitaire liée à la pandémie de Covid-19, le Click and Collect a été largement admis comme une alternative permettant aux commerçants de vendre leurs produits sur internet et, ainsi, minimiser l’...