Lorsque vous exercez votre activité à titre individuel, vos données professionnelles peuvent être réutilisées et publiées dans des annuaires en ligne. Ces annuaires, édités par des sociétés privées, sont souvent constitués à partir des registres publics.
Voir vos données affichées sur un site que vous ne connaissez pas ou qui semble manquer de sérieux, peut vous gêner.
Comment, donc, faire face à la réutilisation de vos données professionnelles sur internet ?
Dans la mesure où les données publiées dans les annuaires (nom, prénom, fonction, spécialité, lieu d’exercice, coordonnées) constituent des données à caractère personnel au sens de la règlementation, vous pouvez notamment vous fonder sur les dispositions du Règlement (UE) 2016/679 sur la protection des données personnelles (« RGPD ») et la loi n° 78-18 dite loi Informatique et Libertés (« LIL »).
En ce sens, la CNIL a récemment rappelé les droits et les moyens d’action des professionnels dans le cas où leurs données figurent dans des annuaires publiquement accessibles : https://www.cnil.fr/fr/avis-et-notations-en-ligne-quels-sont-les-droits-des-professionnels.
Les différents types d’annuaires concernés
En premier lieu, il convient de distinguer les annuaires qui se limitent à reproduire les informations figurant dans les registres publics et les annuaires qui comportent des fonctionnalités d’avis et de notation ou qui enrichissent les données via d’autres sources (par exemple, une photographie de vous publiée sur un réseau social non professionnel).
Dans le premier cas, les annuaires consistent uniquement à vous référencer et se limitent, par défaut, à rediffuser les données « élémentaires » sur votre activité (données d’identité, spécialité, coordonnées du lieu d’exercice de la profession, etc.) qui ont été publiées en vertu d’un cadre légal spécifique (par exemple, les annuaires professionnels cités ci-dessus).
Dans ce cas, la CNIL estime que le recueil de votre consentement n’est pas obligatoire : les sociétés qui éditent ces annuaires peuvent, en principe, légalement se fonder sur leur intérêt légitime à traiter ces données.
Pour ce qui est des annuaires comportant des fonctionnalités de notations et d’avis, ce type d’annuaire est plus susceptible de porter atteinte à votre réputation puisque des notes ou avis négatifs peuvent être déposés.
Dans ce cas, la CNIL estime que l’annuaire doit vous permettre de refuser ou de quitter le service, en particulier :
- si les commentaires négatifs affectent gravement votre activité ;
- si vous ne pouvez pas y répondre librement (ex. : secret professionnel).
La CNIL estime que l’éditeur du site devrait, en général, accepter votre demande de retrait global (la suppression de votre fiche et/ou de tous les contenus qui vous concernent).
Par exemple, si vous êtes médecin ou avocat et que vous recevez des commentaires négatifs auxquels vous ne pouvez pas répondre à cause du secret professionnel, vous devez pouvoir obtenir la suppression de votre fiche pour protéger votre image et votre réputation.
Cependant, en pratique, les éditeurs refusent souvent d’y faire droit, en se prévalant du droit à l’information et de la liberté d’expression.
Mise en balance du droit à l’effacement vs la liberté d’expression
Alors que les décisions de jurisprudence antérieures limitaient fortement le droit à l’effacement des données des professionnels sur les annuaires face à la liberté d’expression et d’information (article 17 paragraphe 3 du RGPD), une récente décision, largement commentée, semble ouvrir la voie à un droit à l’effacement plus largement admis.
Ainsi, les juges de la Cour d’appel de Chambéry (22 mai 2025, RG n° 22/01814) ont fait droit à la demande d’effacement de la fiche Google My Business d’une professionnelle de santé et lui ont alloué des dommages et intérêts à celle-ci, aux motifs notamment que :
- « la possibilité de répondre aux avis, voire de modifier ou rectifier le contenu des informations figurant sur la fiche GMB, est soumise à l’obligation, pour la personne concernée, de se créer un compte Google en renseignant une adresse mail, avec la proposition de création d’une adresse Gmail. Il s’agit donc d’une adhésion forcée à un service commercial auquel Mme [C] n’aurait pas nécessairement souhaité adhérer, le fait qu’il soit gratuit étant indifférent.
- L’ « impossibilité, pour un professionnel de santé, de s’assurer, ab initio, que les avis publiés proviennent effectivement de ses patients, ce qui est le seul moyen d’y répondre pertinemment, crée un déséquilibre au détriment de Mme [C], compte tenu de sa situation particulière. Ce déséquilibre est d’autant plus important que, tenue au secret médical, il pourrait même lui être interdit dans une réponse de désigner l’auteur d’un avis comme étant son patient (articles L. 1110-4 et R. 4127-4 du code de la santé publique). »
- « Mme [C] n’a reçu aucune information de la part des sociétés Google de la collecte et du traitement des données, obtenues par l’intermédiaire de l’opérateur Orange, comme rappelé ci-dessus, et elle ne pouvait raisonnablement s’attendre à ce que leur traitement, auquel les sociétés Google ont procédé sans l’en informer, aboutirait à la publication d’avis sur sa pratique professionnelle susceptibles de lui nuire gravement. »
En conséquence, la Cour a jugé que l’intérêt légitime des sociétés Google sur lequel était fondé le traitement des données personnelles de la requérante n’était pas justifié au sens de l’article 6, paragraphe 1, point f) du RGPD, et que le traitement des données était donc illicite.
Elle a ainsi fait droit à la demande d’effacement au motif que :
« En l’espèce, le traitement des données personnelles de Mme [C], par la création et la mise en ligne de la fiche GMB, a été jugé illicite comme ne répondant pas aux exigences de l’article 6, paragraphe 1 du RGPD, de sorte que, sur le fondement du paragraphe 1, point d) de l’article 17 suscité, elle est fondée à en demander l’effacement. »
En pratique, cela signifie :
- qu’un professionnel ne peut pas exiger systématiquement la suppression de toute fiche à son nom ;
- mais qu’il peut obtenir l’effacement si les conditions du RGPD ne sont pas respectées (illicéité du traitement, défaut de base légale, défaut d’information, etc.) ou si, au cas par cas, la balance des intérêts penche en sa faveur.
Concrètement, quels droits RGPD exercer ?
La CNIL rappelle les droits dont vous disposez pour garder la maîtrise de vos informations sur les annuaires en ligne.
Vous pouvez notamment :
- vous opposer à apparaître dans l’annuaire si le traitement repose sur l’intérêt légitime de l’éditeur du site, ou retirer votre consentement si celui-ci a été recueilli au préalable ;
- faire effacer certaines informations, par exemple, vos coordonnées personnelles ou des commentaires diffamatoires, injurieux ou excessifs ;
- accéder à vos données pour savoir ce que l’annuaire publie et comment vos informations sont utilisées ;
- faire corriger ou mettre à jour vos données si elles sont inexactes, anciennes ou ne correspondent plus à votre situation (par exemple, après une reconversion).
Comment les exercer ? Il vous suffit de vous rendre sur le site de l’éditeur et d’envoyer votre demande à l’adresse indiquée dans sa politique de confidentialité, en précisant l’objet de votre demande (accès, effacement, etc.).
Par ailleurs, veuillez noter qu’au-delà du RGPD, vous disposez également d’un droit de réponse prévu par la loi n°2004-575 pour la confiance dans l’économie numérique (« LCEN ») (article 1-1).
Point d’attention ⚠️
Si vous exercez sous la forme d’une société et que les notations sont rattachées au nom de la société et non à un salarié en particulier ou à un dirigeant, vous ne pouvez pas vous fonder sur le régime de la protection des données à caractère personnel.
En effet, ce régime protège les individus, personnes physiques et non les sociétés.
En revanche, une protection pourra être invoquée sur le fondement de la loi de la presse (diffamation dénigrement), la concurrence déloyale si le message provient d’un concurrent.
Pour aller plus loin
Pour en savoir plus, n’hésitez pas à nous contacter !
https://virtual-dpo.fr/contactez-nous/
Besoin de sous traiter votre DPO ?
https://virtual-dpo.fr/offres/dpo-externalise/
Décision de la Cour d’appel de Chambéry du 22 mai 2025 :
https://www.courdecassation.fr/decision/68300ad793ab4231dd3e52d9
Source CNIL :
https://www.cnil.fr/fr/avis-et-notations-en-ligne-quels-sont-les-droits-des-professionnels
