RGPD et avis Google : données personnelles dans un avis

Qu’est-ce qu’une donnée personnelle dans un avis ?

Une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Dans un avis, il peut s’agir d’un nom, d’un prénom associé à une fonction, d’une photo, d’un numéro de téléphone, d’une adresse ou de détails permettant de reconnaître quelqu’un.

Donnée à caractère personnel

Au sens du RGPD (Règlement (UE) 2016/679), toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom) ou indirectement (fonction, description, combinaison d’éléments).

Données de santé

Données relatives à la santé physique ou mentale d’une personne. Elles font partie des catégories particulières de données dont le traitement est en principe interdit par l’article 9 du RGPD, sauf exceptions.

Les situations les plus fréquentes

Trois situations reviennent souvent : un salarié nommément désigné, une information de santé, et la divulgation de coordonnées ou de détails privés.

Un salarié nommé dans un avis

Citer le prénom d’une serveuse pour la remercier est courant et rarement problématique. La situation change lorsque l’avis nomme un salarié pour l’accuser, le décrire physiquement de manière dégradante ou divulguer des éléments de sa vie privée. Le salarié devient alors une personne identifiée, exposée publiquement sans pouvoir répondre.

Des informations de santé

Dans les secteurs de santé, un avis peut révéler une pathologie, un traitement ou un acte médical. Lorsque c’est le patient qui parle de lui-même, la situation est différente de celle où un tiers révèle la santé d’une autre personne. Dans tous les cas, le professionnel de santé ne peut pas répondre en dévoilant des informations couvertes par le secret médical, rappelé pour les médecins par l’article R.4127-4 du Code de la santé publique. Notre page consacrée aux médecins aborde ces précautions.

Coordonnées et détails privés

Un numéro de téléphone personnel, une adresse privée, une plaque d’immatriculation ou des informations familiales n’ont pas leur place dans un avis. Les règles de Google interdisent expressément la publication d’informations personnelles et confidentielles.

Quels droits le RGPD ouvre-t-il ?

Deux droits sont particulièrement utiles : le droit à l’effacement et le droit d’opposition. Ils appartiennent à la personne concernée, c’est-à-dire celle dont les données figurent dans l’avis.

Ces droits ne sont pas absolus. L’article 17 prévoit notamment que l’effacement ne s’applique pas lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information. Une mise en balance est donc opérée entre la protection des données de la personne et la liberté d’expression de l’auteur de l’avis.

Le responsable du traitement doit en principe répondre dans un délai d’un mois, qui peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes. La CNIL présente ces règles dans sa page sur le droit à l’effacement.

Qui est responsable du traitement ?

Pour l’application du RGPD, il faut identifier le responsable du traitement, c’est-à-dire celui qui détermine les finalités et les moyens du traitement. S’agissant des avis publiés sur Google Maps, c’est en pratique auprès de Google que les demandes relatives aux données figurant dans un avis sont adressées, via ses formulaires dédiés.

L’établissement visé par l’avis n’est pas, en principe, responsable du traitement des données publiées par un tiers sur la plateforme. Il l’est en revanche de ce qu’il publie lui-même, notamment dans sa réponse. Une réponse qui révèle le nom complet d’un client, sa date de visite ou les détails de sa commande peut à son tour poser une difficulté au regard du RGPD et, pour les professions concernées, du secret professionnel.

Qui peut agir, et comment ?

La demande fondée sur le RGPD doit en principe émaner de la personne concernée ou être présentée avec son accord. Un employeur ne peut pas exercer à la place de son salarié des droits qui appartiennent à ce dernier, mais il peut l’accompagner et signaler parallèlement l’avis au regard des règles de Google.

1. Signalement au titre des règles de Google : l’établissement signale l’avis pour informations personnelles. C’est souvent la voie la plus directe (voir signaler un avis Google).
2. Demande au titre de la vie privée : la personne concernée utilise les formulaires de Google dédiés aux demandes relatives à la vie privée ou à la protection des données.
3. Réclamation auprès de la CNIL : si la demande est restée sans réponse satisfaisante, la personne concernée peut saisir l’autorité de contrôle.
4. Action en justice : en cas d’atteinte grave à la vie privée, une action est possible, avec l’assistance d’un avocat.

RÉPUTATION intègre ces éléments dans son analyse de conformité et rédige une contestation motivée pour l’établissement par les canaux officiels de Google. Nous n’exerçons pas à la place d’un salarié les droits personnels que lui confère le RGPD. Pour toute question sur votre situation, vous pouvez nous contacter.