Le Règlement général sur la protection des données (RGPD), entré en application le 25 mai 2018, a créé chez les professionnels visés par des avis en ligne une attente souvent déçue : celle d'une voie simple et rapide pour obtenir la suppression d'un contenu défavorable. La lecture rapide de l'article 17 — Droit à l'effacement («droit à l'oubli») — semble offrir un recours direct contre tout avis mentionnant la personne. La réalité est plus restrictive. L'article 17.3 lui-même pose des exceptions majeures, au premier rang desquelles l'exercice de la liberté d'expression et d'information. La jurisprudence de la Cour de justice de l'Union européenne (CJUE) et les prises de position de la CNIL ont progressivement dessiné une ligne d'équilibre qui, en matière d'avis professionnel négatif mais objectif, favorise la liberté d'expression. Ce guide cartographie précisément les cas où le RGPD fonctionne, ceux où il échoue, et les voies alternatives à privilégier.
Le cadre : article 17 RGPD et ses cinq limites
L'article 17 du RGPD énonce un principe et cinq exceptions. Comprendre la structure de cet article, c'est comprendre pourquoi il fonctionne rarement sur un avis Google négatif.
Le principe (article 17.1)
La personne concernée a le droit d'obtenir du responsable du traitement l'effacement, dans les meilleurs délais, de données personnelles la concernant, notamment lorsque :
- Les données ne sont plus nécessaires à la finalité du traitement ;
- La personne retire son consentement (si le traitement reposait sur le consentement) ;
- La personne s'oppose au traitement et aucun motif légitime impérieux ne prévaut ;
- Les données ont fait l'objet d'un traitement illicite ;
- L'effacement est requis par une obligation légale ;
- Les données ont été collectées dans le cadre de l'offre de services numériques à des mineurs.
Les cinq exceptions qui ferment la porte (article 17.3)
Le droit à l'effacement ne s'applique pas dans la mesure où le traitement est nécessaire :
- À l'exercice du droit à la liberté d'expression et d'information — la cause principale des refus en matière d'avis Google ;
- Pour respecter une obligation légale à laquelle est soumis le responsable ;
- Pour des motifs d'intérêt public dans le domaine de la santé publique ;
- À des fins archivistiques, scientifiques, historiques ou statistiques ;
- À la constatation, à l'exercice ou à la défense de droits en justice.
À retenir — L'article 17.3.a) (liberté d'expression) est la pierre d'achoppement majeure en matière d'avis Google. Un avis négatif, même vif, qui exprime une opinion subjective sur une prestation professionnelle, relève normalement de la liberté d'expression protégée par l'article 10 de la Convention européenne des droits de l'homme. Il échappe donc au droit à l'effacement, sauf en cas d'atteinte disproportionnée aux données personnelles.
La jurisprudence de référence : Google Spain et ses suites
La Cour de justice de l'Union européenne a posé en 2014 les fondements du droit à l'oubli numérique, puis précisé progressivement les contours de ce droit dans des arrêts successifs.
Arrêt Google Spain (CJUE, C-131/12, 13 mai 2014)
Cet arrêt fondateur a reconnu le droit pour une personne de demander le déréférencement d'un lien pointant vers une page contenant des informations personnelles, dès lors que ces informations sont inadéquates, non pertinentes ou excessives. L'arrêt distingue le retrait de la page source (qui reste publique) du déréférencement dans les résultats de recherche Google (qui devient invisible sur une recherche nominative). C'est cette distinction qui permet parfois à un avis Google de rester en ligne tout en devenant moins visible.
Arrêt GC e.a. contre CNIL (CJUE, C-136/17, 24 septembre 2019)
La CJUE a précisé que le droit au déréférencement n'est pas absolu même pour les données sensibles. Il doit être mis en balance avec le droit du public à accéder à l'information, en tenant compte de plusieurs critères : nature de l'information, implication de la personne dans la vie publique, contribution à un débat d'intérêt général, temps écoulé depuis la publication.
Arrêt Google contre CNIL (CJUE, C-507/17, 24 septembre 2019)
La CJUE a jugé que le déréférencement obtenu dans l'Union européenne ne s'étend pas automatiquement à toutes les versions nationales de Google hors UE. Google applique le déréférencement sur les versions européennes (google.fr, google.de, etc.) mais pas nécessairement sur google.com depuis un autre continent.
Lignes directrices EDPB
Le Comité européen de la protection des données (EDPB), successeur du G29, a publié plusieurs lignes directrices sur le droit à l'effacement et le déréférencement. Ces documents précisent les critères d'examen pour les autorités nationales (dont la CNIL) et servent de référence aux plateformes lorsqu'elles instruisent les demandes reçues.
Attention — La jurisprudence sur le droit à l'oubli est stabilisée mais complexe. Une demande mal argumentée — sans citer les critères établis, sans démonstration de la disproportion entre atteinte et intérêt public — est quasi systématiquement refusée par Google en première instance. L'argumentaire conditionne le succès.
Les trois configurations où la demande aboutit
Malgré les restrictions posées par l'article 17.3 et la jurisprudence, trois configurations produisent régulièrement des suppressions ou des déréférencements sur fondement RGPD. Elles sont bien identifiées par les plateformes et par la CNIL.
Configuration 1 — Données inexactes ou mensongères
Lorsqu'un avis contient une affirmation factuelle précise démontrablement fausse (ce cabinet a fait faillite en 2024 alors qu'il est en activité), la personne visée peut invoquer l'article 16 RGPD (droit de rectification) ou l'article 17.1.d (traitement illicite de données inexactes). Google retire dans ce cas plus facilement, à condition que l'inexactitude soit documentée par une preuve extérieure.
Configuration 2 — Atteinte disproportionnée à la vie privée
Lorsque l'avis divulgue des données personnelles excessives au regard de la prestation évaluée (adresse personnelle, numéro de téléphone privé, photo de la famille, mention de pathologies), l'atteinte à la vie privée peut l'emporter sur la liberté d'expression. Les décisions récentes de la CNIL confirment que la diffusion de données personnelles non-professionnelles sur une fiche Business Profile est un motif recevable.
Configuration 3 — Ancienneté et désuétude
Un avis ancien (plus de 5 ans) qui ne reflète plus la réalité actuelle de l'activité et qui continue d'affecter négativement la réputation professionnelle peut justifier une demande de déréférencement au titre de la non-pertinence. Cette configuration est reconnue par la jurisprudence CJUE (critère du temps écoulé), mais elle suppose l'absence d'intérêt public actualisé à l'information.
La procédure : demande à Google, puis CNIL, puis juge
La voie RGPD suit un parcours en trois étapes, que la procédure soit auto-pilotée par la personne concernée ou assistée par un conseil.
Étape 1 — Demande directe à Google
Google met à disposition un formulaire spécifique : Demande de retrait de contenus en vertu du droit européen à la protection de la vie privée. La demande doit :
- Identifier précisément les URL concernées ;
- Expliquer en quoi les données sont inexactes, excessives ou non-pertinentes ;
- Justifier que l'intérêt de la personne concernée prévaut sur l'intérêt public à l'information ;
- Citer les critères jurisprudentiels applicables (nature de l'information, temps écoulé, caractère public de la personne).
Délai de réponse : généralement 2 à 6 semaines. Taux de succès observé dans les synthèses publiques pour un avis professionnel : faible sur les avis objectifs, plus élevé sur les trois configurations décrites ci-dessus.
Étape 2 — Plainte CNIL (article 77 RGPD)
En cas de refus de Google ou de non-réponse, la personne concernée peut déposer une plainte auprès de la CNIL via le service de plainte en ligne du site cnil.fr. La CNIL instruit la plainte, peut adresser une mise en demeure à Google, et publie régulièrement des mises en demeure ou sanctions. Délai moyen d'instruction : 3 à 12 mois. Gratuit.
Étape 3 — Recours au juge judiciaire
Parallèlement ou après la procédure CNIL, un recours devant le Tribunal judiciaire est possible. Les référés sont les plus fréquents lorsque l'urgence est caractérisée. Coût : 2 500 à 5 000 € HT. Les juges se réfèrent aux critères CJUE pour trancher.
Les voies alternatives plus efficaces en pratique
Pour un professionnel visé par un avis Google problématique, trois voies alternatives produisent généralement de meilleurs résultats que l'invocation directe du RGPD.
1. Le signalement via les règles communautaires Google
Gratuit, rapide (2 à 28 jours), taux de succès observé environ 35 % sur argumentaire précis invoquant une règle communautaire spécifique : conflit d'intérêts, hors sujet, contenu illégal. Cette voie ne repose pas sur le RGPD mais sur les règles internes de la plateforme, qui sont souvent plus faciles à mobiliser.
2. La voie diffamation (loi du 29 juillet 1881)
Lorsque l'avis contient une imputation factuelle précise portant atteinte à l'honneur, la voie diffamation est plus directe : mise en demeure LCEN (300-800 € HT, ~55 %), référé loi 1881 (2 500-6 000 € HT, > 80 % sur diffamation caractérisée). Prescription courte (3 mois) mais efficacité supérieure. Voir Diffamation Google 2026 — procédure complète.
3. La voie dénigrement (article 1240 Code civil)
Si l'avis vise spécifiquement la réputation commerciale (dénigrement plutôt que diffamation personnelle), l'article 1240 du Code civil offre une prescription beaucoup plus longue (5 ans) et un standard de preuve plus accessible (démonstration d'un préjudice économique). Adaptée aux cabinets pluridisciplinaires dont la réputation a été collectivement affectée.
À retenir — La voie RGPD est pertinente en première intention uniquement dans les trois configurations spécifiques (données inexactes, atteinte à la vie privée, ancienneté). Pour les autres situations — qui représentent la majorité des dossiers —, les voies diffamation, dénigrement ou signalement plateforme produisent des résultats plus rapides et plus certains.
Questions fréquentes
Peut-on supprimer un avis Google négatif en invoquant le RGPD ?
Rarement, et seulement dans des cas précis. L'article 17 RGPD permet l'effacement sous certaines conditions, mais l'article 17.3 exclut son application lorsque le traitement est nécessaire à l'exercice de la liberté d'expression. Un avis négatif objectif sur une prestation relève de la liberté d'expression. Seul un avis contenant des données personnelles excessives, inexactes ou manifestement disproportionnées peut justifier l'effacement sur ce fondement.
Quelle différence entre droit à l'oubli et droit à l'effacement ?
Le droit à l'effacement (article 17 RGPD) vise les données personnelles détenues par un responsable de traitement. Le droit à l'oubli (terme jurisprudentiel) désigne plus spécifiquement le déréférencement par un moteur de recherche : Google doit retirer un lien de ses résultats sur une recherche effectuée à partir du nom d'une personne, sans pour autant supprimer la page source. La CJUE distingue ces deux régimes depuis l'arrêt Google Spain de 2014.
Un professionnel peut-il demander le déréférencement d'un avis qui le cite ?
Possible mais restrictif. La CNIL et la jurisprudence CJUE considèrent que la liberté d'expression et le droit du public à l'information l'emportent généralement sur le droit à l'effacement lorsque la personne concernée exerce une activité professionnelle et que l'information porte sur cette activité. La demande peut aboutir dans des cas d'atteinte manifeste et disproportionnée, mais constitue rarement la voie principale.
Comment formuler une demande de déréférencement à Google ?
Via le formulaire officiel Google Demande de retrait de contenus en vertu du droit européen à la protection de la vie privée. La demande doit identifier précisément les URL concernées, expliquer en quoi les données personnelles sont inexactes, excessives ou non-pertinentes, et justifier que l'intérêt de la personne prévaut sur l'intérêt public à l'information.
Peut-on saisir la CNIL en cas de refus de Google ?
Oui. L'article 77 du RGPD reconnaît le droit de chaque personne concernée de déposer une plainte auprès de l'autorité de contrôle nationale. La CNIL peut instruire la plainte et, le cas échéant, adresser une mise en demeure à Google. Cette voie est gratuite mais les délais d'instruction peuvent dépasser 6 mois.
Un avis vous cite nominativement ou divulgue des données personnelles ?
Nous qualifions juridiquement le contenu, identifions si la voie RGPD est pertinente dans votre configuration, et proposons la voie alternative la plus efficace le cas échéant.
Les références à l'article 17 RGPD, aux arrêts CJUE cités et aux délibérations CNIL sont celles en vigueur à la date de rédaction. La jurisprudence évolue ; les références précises doivent être vérifiées avant tout usage. Les taux de succès sont des estimations issues de synthèses publiques. Jaurès & Associés n'est pas un cabinet d'avocats : les analyses ci-dessus constituent un conseil méthodologique en e-réputation, non un conseil juridique.