L’arrêt rendu le 22 mai 2025 par la Cour d’appel de Chambéry (RG no22/01814) traite de la publication d’une fiche Google My Business (GMB) relative à une professionnelle de santé. Cette affaire oppose Mme [C], chirurgienne-dentiste, aux sociétés Google France, Google LLC (États-Unis) et Google Ireland Limited (Irlande), qu’elle a assignées en raison de la création d’une fiche professionnelle affichant notamment des avis négatifs, sans son consentement.

À l’origine, Mme [C] découvre en 2017 l’existence d’une fiche GMB la concernant, contenant des informations personnelles et professionnelles (nom, adresse du cabinet, etc.), ainsi qu’un système de notation accessible au public. S’estimant lésée, elle demande à Google la suppression de cette fiche et des avis associés. Google refuse, invoquant des moyens techniques permettant à l’intéressée de gérer elle-même sa fiche. Un contentieux s’ensuit, au cours duquel Mme [C] obtient en référé en 2019 une ordonnance obligeant Google à révéler l’identité de plusieurs auteurs d’avis négatifs. Certaines critiques sont alors retirées.

Devant l’impossibilité d’obtenir la suppression complète de la fiche, Mme [C] assigne Google, demandant notamment la suppression de la fiche, l’arrêt du traitement de ses données personnelles et la réparation de son préjudice.

Le Tribunal judiciaire de Chambéry, dans une décision de septembre 2022, donne largement raison à Mme [C]. Il constate notamment que les sociétés Google n’ont pas respecté plusieurs principes fondamentaux du Règlement général sur la protection des données (licéité, loyauté, transparence), que Mme [C] n’a jamais consenti au traitement de ses données, et que les sociétés ne justifient pas d’un intérêt légitime. Il ordonne donc la suppression de la fiche sous astreinte, rejette les arguments d’exception de Google France, et condamne solidairement les trois entités à des dommages et intérêts.

Les sociétés interjettent appel. La Cour d’appel confirme en grande partie les constatations du tribunal de première instance, tout en apportant certaines nuances.

Sur la recevabilité des demandes contre Google France, la Cour infirme le jugement et considère que cette société, agissant uniquement comme prestataire de Google Ireland, n’exploite pas le moteur de recherche Google ni la fiche GMB. Elle est donc mise hors de cause.

Concernant la qualification des données, la Cour rappelle que, bien que liées à une activité professionnelle, les informations publiées permettent l’identification d’une personne physique, en l’occurrence Mme [C], et relèvent donc bien du champ d’application du RGPD. Le traitement de ces données, automatisé et non consenti, est qualifié d’illicite.

La Cour insiste sur le défaut d’information préalable de Mme [C], laquelle n’a pas été avisée de la création de la fiche GMB ni de ses droits. Cela empêche notamment l’exercice de son droit d’opposition, ce qui constitue une faute engageant la responsabilité de Google.

S’agissant de l’intérêt légitime, la Cour rejette l’argument des sociétés Google selon lequel la publication des avis viserait uniquement à informer les consommateurs. Elle souligne que la finalité est également commerciale : la fiche incite la professionnelle à adhérer aux services Google (notamment la création d’un compte Google pour pouvoir répondre aux avis ou gérer la fiche). Cette adhésion implique la communication de nouvelles données personnelles et l’exposition à des sollicitations commerciales. Par ailleurs, la possibilité de publier des avis de manière anonyme, sans vérification de la qualité de patient des auteurs, déséquilibre fortement la situation au détriment de la professionnelle de santé, notamment en raison de ses obligations déontologiques.

En l’absence d’un intérêt légitime prépondérant et en raison de l’illicéité du traitement, la Cour confirme la suppression de la fiche GMB en application de l’article 17 du RGPD, rejetant les exceptions invoquées relatives à la liberté d’expression et au droit à l’information. Elle considère en effet que ces droits ne justifient pas ici le maintien d’un traitement déloyal, non transparent, et déséquilibré, d’autant plus que la qualité et l’authenticité des avis publiés ne sont pas garanties.

S’agissant de la demande indemnitaire, la Cour réforme partiellement le jugement de première instance. Elle exclut toute responsabilité de Google au titre du dénigrement et du parasitisme, faute de preuve directe et de préjudice économique démontré. Toutefois, elle confirme l’existence de fautes liées à la création de la fiche et au défaut d’information, lesquelles ont causé un préjudice moral à Mme [C]. Celle-ci a dû entreprendre de nombreuses démarches pour faire valoir ses droits, notamment en justice, et a subi l’atteinte causée par la publication de plusieurs avis négatifs invérifiables. La Cour fixe l’indemnisation à 10 000 euros, au lieu des 20 000 initialement alloués.

En conclusion, cet arrêt rappelle aux acteurs technologiques étrangers que le RGPD impose des obligations strictes, y compris en matière d’information, de transparence et de justification de l’intérêt légitime lorsqu’un traitement de données est effectué sans consentement. Il insiste également sur les spécificités tenant à la nature de la profession de santé, où la diffusion incontrôlée d’avis anonymes peut heurter de manière disproportionnée la réputation d’un praticien, sans offrir de garanties suffisantes ni de moyens raisonnables de réponse.

Me Philippe Ehrenström, avocat, LLM