C’est au niveau des juges du fond, et non à celui des hautes juridictions, que s’est manifestée ces derniers mois l’actualité jurisprudentielle la plus intéressante en matière de responsabilité liée aux sciences et aux nouvelles technologies. Enracinées dans des questions de fait, les décisions sélectionnées révèlent néanmoins de véritables audaces d’application de la règle de droit.

# Fiches Google my business et RGPD

1 V. les analyses de P. Sergent, « Pratique contentieuse. L’e-réputation des professionnels de sant (...) 2Les professionnels exerçant en libéral reçoivent de l’entreprise Google, sans intervention de leur part, une « fiche Google my business »1 qui apparaît lorsque des recherches sont effectuées sur internet. Ces fiches contiennent des données d’identification, dont leur nom et leur adresse, et des avis laissés par des utilisateurs. Ceux-ci sont susceptibles d’être préjudiciables au professionnel lorsqu’ils sont négatifs : un outil de communication non maîtrisé par la personne réalisant l’activité sur laquelle la communication se fait est dangereux ! Plusieurs actions, sur divers fondements, ont été intentées aux fins, notamment, de faire supprimer de telles fiches. Elles ont donné lieu à des ordonnances de référé ou à des décisions de fond allant dans des sens différents.

2 Tb jud. Paris, 5e ch. 1re sect., 9 mars 2021, n° 18/05918 ; v. aussi CA Paris, pôle 1, ch. 8, 22 (...) 3Certaines décisions convergent plutôt vers une clémence envers l’entreprise technologique. Ainsi, le tribunal judiciaire de Paris, le 9 mars 20212, a tranché un litige opposant un chirurgien-dentiste à Google. Si, en référé, Google avait été condamné sous astreinte à retirer la fiche, ce qu’il avait fait, sans interjeter appel, au fond, le demandeur est débouté, le traitement de sa fiche professionnelle n’étant pas jugé illicite, notamment parce que les données ne concerneraient pas sa vie privée, et qu’elles seraient accessibles par ailleurs.

3 Tb jud. Chambéry, civ., 15 sept. 2022, n° 19/01427. 4 Exactement : SARL Google France, la société Google LLC et la société Google Ireland Limited. 5 Règ. (UE) n° 2016/679 du PE et du Conseil, 27 avr. 2016, dit Règlement Général sur la Protection (...) 6 CJUE, 9 mars 2017, C-398/15 MANNI. 4C’est dans un tout autre sens que s’oriente la décision récente du tribunal judiciaire de Chambéry3, qui permet une protection assez inédite du professionnel libéral contre Google4. Il s’agissait à nouveau d’une dentiste découvrant, en tapant son nom dans la barre de recherche, la fiche la concernant, avec son nom, son domicile, une note et des avis. N’ayant pu obtenir ni de manière amiable, ni en référé, le retrait de la fiche, une assignation au fond a été délivrée. Le tribunal fonde sa décision sur le RGPD5, définissant les données à caractère personnel comme « toute information relative à une personne physique identifiée ou identifiable. Toute donnée directement ou indirectement identifiante est une donnée à caractère personnel, peu important son caractère confidentiel ou public et son caractère privé ou professionnel », étant rappelé que « la circonstance que ces informations s’inscrivent dans le contexte d’une activité professionnelle n’est pas de nature à leur ôter la qualification de données à caractère personnel »6. Dès lors, le tribunal retient que le traitement des données de la demanderesse constitue un traitement de données personnelles et que cette qualification obligeait Google à respecter « le régime légal réservé aux données à caractère personnel ».

Une première faute est découverte dans la méconnaissance des obligations déclaratives de la loi du 6 janvier 1978 : il aurait fallu réaliser une déclaration à la CNIL selon le droit applicable. Certes, le RGPD change les exigences en matière de déclaration, mais la publication de la fiche était antérieure à son entrée en vigueur. Le tribunal relève que, si l’article 112-1 du Code pénal empêche une déclaration de culpabilité, la faute civile demeure. Néanmoins, la demande en suppression de la fiche pour non-respect des formalités préalables est rejetée, en raison du nouvel état du droit, et de l’absence d’une telle sanction.

7 V. N. Mettalinos, « Les apports du règlement général relatif à la protection des données personne (...) 6Sur le RGPD7, précisément, l’on sait que l’article 6 énumère six hypothèses rendant licite le traitement des données personnelles ; la première (consentement de la personne concernée) et la dernière (intérêts légitimes poursuivis par le responsable du traitement ou par un tiers) étaient invoquées. Le tribunal écarte la première, estimant que le consentement n’était pas établi en l’espèce. Quant à l’hypothèse des « intérêts légitimes poursuivis par le responsable du traitement », le tribunal estime, après des motifs extrêmement détaillés, que le référencement des professionnels correspond à une prospection commerciale effectuée par Google et que le traitement des données a donc une finalité commerciale cachée par cette société. Il est encore remarqué que « l’organisme doit tenir compte d’une pondération entre son intérêt légitime et les droits et intérêts des personnes dont les données sont exploitées », et « le tribunal relève que l’intérêt des sociétés défenderesses tout comme celui de [la demanderesse] est de créer de la richesse, que ce soit pour la redistribuer à des actionnaires et croître ou pour vivre et faire vivre une famille ».

8 Elle diverge donc de ce qu’avait retenu le jugement du TJ de Paris précité, sur lequel v. A. Dani (...) 7Dans cette recherche de pondération, le tribunal détaille sa compréhension de la liberté d’expression8, notamment à la lumière de la Convention européenne des droits de l’homme et de la jurisprudence du Conseil constitutionnel, et affirme que, « si le principe de l’avis même n’est pas contestable au nom du droit à l’information et de la liberté d’expression, il est aussi particulièrement connu que l’internaute anonyme derrière son écran a une fâcheuse tendance à oublier tout sens de la modération, voire tout sens commun ». Il estime finalement que, faute de garanties suffisantes permettant d’atteindre un équilibre entre les droits et intérêts en cause, Google ne justifie pas d’un intérêt légitime permettant de passer outre l’absence de consentement de la personne à voir publier ses données personnelles et les avis qui y sont accolés. Il est encore retenu que le principe de loyauté n’a pas été respecté.

Pour ces raisons, le tribunal juge que la dentiste peut invoquer son droit d’opposition au traitement de ses données, et Google est condamnée à supprimer la fiche litigieuse sous astreinte.

Reste alors à trancher la question de la réparation des préjudices allégués – la preuve d’un préjudice n’étant pas nécessaire pour faire cesser l’atteinte. L’atteinte à la vie privée n’est pas retenue, actant de la traditionnelle dissociation entre les notions de données personnelles et de vie privée. Le dénigrement, en revanche, est caractérisé ; s’il est certes le fait des utilisateurs et non de Google, il est reproché à l’entreprise de ne pas s’assurer que les avis reposent sur une base factuelle suffisante avant publication ; la décision relève que Google en profite directement, sa « publicité étant basée sur la possibilité d’améliorer les avis Google ». De surcroît, des agissements de parasitismes sont retenus : Google organise par ces fiches une concurrence entre les professionnels du même domaine dans une région donnée, puis leur propose ses propres services, gratuits ou payants, pour accroître leur visibilité. Ces fautes ayant causé un surcroît de travail, et un préjudice moral, une indemnisation est prononcée à hauteur de 20 000 €.

La décision, rendue à juge unique mais à la motivation extrêmement détaillée, est clairement en faveur de la protection des données personnelles. Sa portée ne doit toutefois pas être exagérée : elle ne condamne pas tout système de notation en ligne. Ce n’est que parce que le traitement des données s’inscrit dans un cadre qui n’est ni celui de la pure information, ni celui de la liberté d’expression, mais l’élément d’un écosystème tourné vers la promotion des services de Google, que son illicéité, et, partant, la responsabilité de l’entreprise, ont été reconnues.

# Devoir de conseil de l’assureur en matière de recherche biomédicale

9 V. H. Groutel, « Assurance des recherches biomédicales », RDSS 2010, HS1, p. 103 ; sous l’empire (...) 10 Délai pouvant être prolongé pour les victimes mineures. 11Selon les dispositions des articles L. 1121-10 et L. 1121-1 du Code de la santé publique, les recherches impliquant la personne humaine, autres que celles qui sont « non interventionnelles qui ne comportent aucun risque ni contrainte », exigent la souscription préalable, par le promoteur, d’une assurance garantissant sa responsabilité civile. Cette responsabilité civile est particulière. Il s’agit d’un régime spécial, précisément une responsabilité pour faute présumée, dans laquelle la victime ne peut se voir opposer le fait d’un tiers ou son retrait volontaire du protocole de recherche. Ces dernières précisions font quasiment basculer le régime dans une responsabilité sans faute, voire au-delà, puisque les causes étrangères exonératoires sont limitées par rapport au droit commun. Une telle sévérité rend dès lors l’assurance indispensable, le promoteur de la recherche sur la personne humaine pouvant voir sa responsabilité engagée dans de larges séries d’hypothèses9. Le Code de la santé publique ne se contente pas de prévoir une obligation d’assurance, il règle en outre la question de l’étendue de la couverture assurantielle dans le temps : le contrat d’assurance, serait-il rompu, survit au moins pour couvrir toute première réclamation survenant dans les dix ans qui suivent la fin de la recherche10.

Il est ainsi aisé de se convaincre que le promoteur de recherches sur la personne humaine est soumis à un régime particulièrement sévère de responsabilité, et qu’il doit impérativement souscrire une offre spécifique couvrant sa responsabilité.

Une société menant des recherches sur la personne humaine avait souscrit une assurance couvrant la responsabilité professionnelle, mais qui était en réalité limitée à la « responsabilité civile exploitation », donc aux dommages causés aux tiers en dehors de la prestation elle-même, ce qui ne satisfaisait pas à ses obligations légales. Une personne soumise aux essais cliniques qui aurait recherché la responsabilité du promoteur n’aurait pu solliciter l’intervention de l’assureur par l’action directe, et l’entreprise procédant à la recherche n’aurait pas plus pu appeler en garantie la compagnie d’assurance si sa responsabilité avait été recherchée.

11 CA Bordeaux, 1re ch. civ., 21 mars 2022, n° 19/02289. 14Fort heureusement, nulle victime n’a été déplorée dans le cadre des différentes expérimentations réalisées par la société mal assurée. C’est donc en dehors de tout litige que le gérant de la société s’est rendu compte de l’insuffisance d’assurance. Celui-ci en son nom propre et sa société ont agi contre l’assureur, lui reprochant d’avoir fait souscrire un contrat non adapté aux demandes et à l’activité de l’assuré, et demandant une indemnisation. Le tribunal judiciaire de Bordeaux a rejeté cette action. L’arrêt commenté11 rappelle opportunément que tout assureur est, d’une manière générale, soumis à une obligation d’information et de conseil. Il est aisément admis en l’espèce qu’en faisant signer à son client un contrat qui ne satisfaisait pas à l’obligation d’assurance liée à son activité d’une part, et en délivrant des attestations libellées dans des termes tels que ce client avait pu légitimement ignorer les limites de la garantie d’autre part, des manquements au devoir d’information et de conseil étaient caractérisés.

Le contrat n’a pas été annulé pour erreur dans la mesure où les garanties souscrites restaient nécessaires. La seule indemnisation a été celle allouée à la personne physique gérant la société réalisant les recherches, pour son préjudice moral lié à son anxiété à la découverte de l’absence de couverture assurantielle adéquate. En revanche, le préjudice d’image n’est pas reconnu – il n’est pas établi que les clients de la société aient été informés, et la perte de chance de souscrire un contrat mieux adapté ne l’est pas davantage.

Il faut remarquer que dans cet arrêt, la cour d’appel de Bordeaux accepte in abstracto le principe de l’indemnisation de la perte de chance d’être mieux assuré, mais refuse de l’indemniser en l’espèce pour la seule raison que la découverte de l’absence de couverture adéquate s’est faite en dehors de tout sinistre. Il est aisé d’en déduire a contrario que, si la responsabilité du promoteur de la recherche avait été engagée, il aurait disposé d’une action personnelle contre son assureur tenant à la perte de chance d’obtenir une garantie suffisante. L’indemnisation réclamée par la victime aurait donc été en quelque sorte finalement partagée entre le promoteur et son assureur défaillant dans les informations et conseils donnés. Cet arrêt est dès lors un caveat adressé aux promoteurs d’une part afin qu’ils s’assurent d’être couverts pour la responsabilité spécifique qui leur incombe, et aux assureurs d’autre part pour qu’ils vérifient dans leurs portefeuilles d’assurés que les promoteurs de la recherche sur la personne humaine ont tous été convenablement informés et conseillés quant à leurs obligations assurancielles.

# Intégration sans consentement dans un protocole d’étude

12 Art. 223-8 C. pén. ; pour une application (d’une rédaction antérieure, similaire en substance), C (...) 17De responsabilité en matière de recherches sur la personne humaine il est encore question, mais cette fois sous l’angle du consentement du patient. Une patiente est opérée du genou, et subit une ligamentoplastie TLS (le procédé TLS, ou Tape Locking Screw, est un système de reconstruction des ligaments croisés du genou par greffe courte) associée à un débridement des lésions cartilagineuses et la mise en place d’un dispositif médical encore expérimental. Elle apprend, bien après l’opération, que cette opération s’est faite dans le cadre d’un protocole d’étude, et estime avoir subi une expérience médicale non conventionnelle, sans son consentement – ce qui aurait été susceptible de constituer une infraction pénale12.

13 Sur ces deux régimes, v. l’article 1142-1 CSP. 18Gardant une douleur et des séquelles fonctionnelles, elle assigne le CHU de Brest où s’est déroulée l’intervention, estimant qu’elle peut se prévaloir contre lui, qui serait promoteur de la recherche, des dispositions de l’article L. 1121-10 du Code de la santé publique. Cette disposition permet à la victime d’obtenir une indemnisation sans avoir à prouver de faute – contrairement à la responsabilité médicale, et sans avoir à justifier d’une atteinte grave ou anormale – contrairement au régime d’indemnisation de l’aléa thérapeutique par la solidarité nationale13.

Le CHU de Brest se défend en soutenant que la patiente n’a pas été incluse dans un protocole d’expérimentation clinique et que la greffe effectuée ne rentrait pas dans le cadre de la recherche biomédicale, qu’en outre aucun préjudice ne peut être invoqué utilement, les conséquences fonctionnelles et douloureuses n’étant qu’une manifestation de l’état antérieur.

14 CA Rennes, 5e ch., 19 janv. 2022, n° 18/05315. 20La réponse de la cour d’appel14 est un peu déceptive, car très formelle : elle reconnaît que le fabricant du ménisque implanté assurait la promotion d’une étude et que ce ménisque était bien celui qui était l’objet de l’étude. Toutefois, le centre ne pouvait participer à l’essai clinique car il n’était pas, au jour de l’opération, un centre investigateur enregistré auprès des autorités compétentes, et n’était donc pas habilité. Ce faisant, la faute consistant à n’avoir pas recueilli le consentement de la victime pour sa participation à l’essai clinique est partiellement neutralisée par une autre, celle d’avoir mené des investigations sans habilitation ! La solution est alors extraordinairement sévère pour la victime. La victime ne pouvant se prévaloir que d’un simple défaut d’information – qui est retenu par la cour d’appel – son indemnisation est limitée à la seule perte d’une chance. En l’espèce, un tel préjudice n’a pas de consistance car il est reconnu que l’opération réalisée n’a eu « aucune conséquence dommageable » sur la patiente. Pour la même raison, elle ne peut être indemnisée du préjudice d’impréparation qu’elle invoquait, car celui-ci suppose la réalisation d’un dommage pour lequel l’information sur le risque de survenance n’avait pas été délivrée. Cette circonstance particulière rend indifférent le fait de retenir, ou non, une responsabilité sur le régime spécial de l’expérimentation sur la personne humaine, mais à hauteur de principe il est difficile d’approuver la solution retenue. Elle revient à rien de moins que d’écarter toute conséquence civile attachée à la réalisation d’une expérimentation médicale lorsque cette dernière s’effectue à l’insu du patient, en-dehors de tout cadre légal !

<footnote n="1">1 V. les analyses de P. Sergent, « Pratique contentieuse. L’e-réputation des professionnels de santé à l’épreuve des avis Google », Comm. com. électr. 202/9, p. 50 ; A. Lecourt, « Dénigrement et atteinte à la réputation commerciale via les avis postés sur Google my business : après les restaurateurs, les architectes ! », Dalloz IP/IT 2022, 11, p. 574.</footnote>

<footnote n="2">2 Tb jud. Paris, 5e ch. 1re sect., 9 mars 2021, n° 18/05918 ; v. aussi CA Paris, pôle 1, ch. 8, 22 mars 2019, n° 18/17204. Comp. TGI Paris, réf., 6 avr. 2018, Monsieur X c. Google France et Google LLC, n° 16/92014.</footnote>

<footnote n="3">3 Tb jud. Chambéry, civ., 15 sept. 2022, n° 19/01427.</footnote>

<footnote n="4">4 Exactement : SARL Google France, la société Google LLC et la société Google Ireland Limited.</footnote>

<footnote n="5">5 Règ. (UE) n° 2016/679 du PE et du Conseil, 27 avr. 2016, dit Règlement Général sur la Protection des Données relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.</footnote>

<footnote n="6">6 CJUE, 9 mars 2017, C-398/15 MANNI.</footnote>

<footnote n="7">7 V. N. Mettalinos, « Les apports du règlement général relatif à la protection des données personnelles sur les conditions de licéité des traitements », Dalloz IP/IT 2016, 12, p. 588.</footnote>

<footnote n="8">8 Elle diverge donc de ce qu’avait retenu le jugement du TJ de Paris précité, sur lequel v. A. Danis-Fatôme, « Google my business protégé par la liberté d’expression et d’information ! », Comm. com. électr. 2021, 6, p. 37. V. aussi A. Latil, « Le service Google My Business : entre dénigrement et liberté d’expression », Dalloz IP/IT 2019, 11, p. 642, et N. Metallinos, « Google My Business acte II ou comment, au nom de la liberté d’expression, disparaîtrait le libre choix des professionnels d’être référencés ou non dans des annuaires privés », Comm. com. électr. 2019, 7, p. 39.</footnote>

<footnote n="9">9 V. H. Groutel, « Assurance des recherches biomédicales », RDSS 2010, HS1, p. 103 ; sous l’empire d’un régime antérieur, G. Viala, B. Fauran, « La responsabilité civile du promoteur en matière de recherches biomédicales ; ses conséquences en termes d’assurance », LPA 1993, 156, p. 17, et aussi, D. Cristol, « Le régime des recherches biomédicales à l’aune du décret du 26 avril 2006 », RDSS 2006, 4, p. 672 ; S. Hocquet-Berg, P. Peton, « Le régime juridique de la recherche biomédicale réformé par la loi numéro 2004-806 du 9 août 2004 relative la politique de la santé publique », RCA 2004, 10, p. 16.</footnote>

<footnote n="10">10 Délai pouvant être prolongé pour les victimes mineures.</footnote>

<footnote n="11">11 CA Bordeaux, 1re ch. civ., 21 mars 2022, n° 19/02289.</footnote>

<footnote n="12">12 Art. 223-8 C. pén. ; pour une application (d’une rédaction antérieure, similaire en substance), Cass. crim., 24 févr. 2009, n° 08-84.436 ; v. G. Royer, « Le consentement du patient en matière de recherche biomédicale », AJDP 2009, 5 p. 227 ; D. Viriot-Barrial, « Recherche biomédicale et consentement : le premier contrôle de la Cour de cassation », Gaz. Pal. 2009, n° 170, p. 31 ; P.-J. Delage, « Les recherches biomédicales non consenties devant la chambre criminelle de la Cour de cassation », D. 2009, p. 2087.</footnote>

<footnote n="13">13 Sur ces deux régimes, v. l’article 1142-1 CSP.</footnote>

<footnote n="14">14 CA Rennes, 5e ch., 19 janv. 2022, n° 18/05315.</footnote>