RGPD et avis Google : ce que les commerçants doivent savoir

« Le client X a été odieux avec ma serveuse, elle s'appelle Julie et elle sait de qui je parle. » Un avis Google peut contenir, en quelques phrases, des données personnelles concernant plusieurs personnes à la fois — l'auteur de l'avis, mais aussi des tiers mentionnés nommément. Cette réalité, rarement anticipée par les commerçants, place les avis en ligne dans le champ du RGPD d'une façon que peu d'établissements ont pleinement mesurée.

Pourquoi le RGPD concerne les avis Google, même sans base de données propre

Beaucoup de professionnels pensent, à tort, que le RGPD ne concerne que les données qu'ils collectent et stockent eux-mêmes — fichiers clients, formulaires de contact, comptes utilisateurs. Or, un avis Google publié sur la fiche d'un établissement constitue lui aussi une donnée à caractère personnel, dès lors qu'il permet d'identifier une personne physique : son auteur, mais potentiellement aussi toute personne qu'il mentionne nommément dans le contenu de son texte.

Le fait que ces avis soient hébergés et publiés directement par Google, et non par l'établissement lui-même, ne dispense pas ce dernier de toute responsabilité. Un professionnel qui sollicite activement des avis, qui les affiche sur son propre site en complément de Google, ou qui répond publiquement en reprenant des éléments personnels de l'avis initial, participe activement au traitement de ces données et endosse à ce titre certaines responsabilités.

Cette nuance, souvent absente des discours simplifiés sur le sujet, mérite d'être bien comprise : ce n'est pas la simple existence d'avis clients qui engage la responsabilité de l'établissement, mais bien les actions concrètes qu'il entreprend autour de ces avis, une fois publiés sur la plateforme.

Qui est responsable de quoi dans ce dispositif

La répartition des responsabilités mérite d'être clarifiée, car elle diffère selon le rôle joué par chaque acteur dans la chaîne de traitement.

Google, hébergeur et responsable de traitement pour sa plateforme

Google agit comme responsable de traitement pour l'infrastructure de sa plateforme d'avis : c'est lui qui collecte, stocke et affiche les avis publiés par les utilisateurs, avec ses propres règles de modération et ses propres procédures de signalement en cas de contenu problématique.

L'auteur de l'avis, responsable de son propre contenu

La personne qui rédige un avis reste responsable du contenu qu'elle publie, y compris si elle y mentionne des tiers. Un client qui nomme un employé dans son avis engage sa propre responsabilité sur ce point, même si l'établissement n'a aucun contrôle direct sur cette publication.

L'établissement, acteur actif dès qu'il sollicite, republie ou répond

C'est là que la vigilance du professionnel doit s'exercer le plus activement : en sollicitant des avis, en les republiant sur son propre site ou ses réseaux sociaux, ou en y répondant publiquement, l'établissement devient un acteur actif du traitement de ces données personnelles, avec des obligations qui lui sont propres à ce titre.

Les données personnelles présentes dans un avis type

Un avis Google, même bref, peut contenir plusieurs catégories de données personnelles qu'il convient d'identifier pour comprendre l'étendue réelle des enjeux.

• L'identité de l'auteur, généralement visible via son profil Google, parfois sous un nom complet, parfois sous un pseudonyme moins identifiable.
• Le nom d'employés mentionnés, un cas très fréquent dans les avis positifs comme négatifs, en particulier dans les secteurs de service personnalisé évoqués dans nos précédents articles.
• Des données de santé, dans le cas de professions médicales ou paramédicales, un risque de confidentialité particulièrement sensible déjà évoqué pour les professions réglementées.
• Des informations financières, quand un avis mentionne un montant précis facturé, une information qui peut être considérée comme personnelle selon le contexte.

Ce que le professionnel doit faire face à un avis contenant des données sensibles

Lorsqu'un avis contient des informations manifestement sensibles — un diagnostic médical, des données financières précises, des accusations graves contre un tiers nommément identifié — le professionnel dispose de plusieurs leviers d'action, distincts selon la nature du problème identifié.

Le signalement à Google

Google propose une procédure de signalement pour les avis qui contiennent des informations personnelles sensibles, en particulier des données de santé ou des informations financières précises concernant un tiers. Cette démarche reste la première étape à privilégier face à ce type de contenu problématique. Elle présente également l'avantage de ne pas dégrader la relation avec le client concerné, contrairement à une réponse publique qui pourrait être perçue comme conflictuelle.

La demande directe à l'auteur

Contacter directement l'auteur de l'avis pour lui demander de retirer ou modifier une information trop précise reste souvent la voie la plus rapide, en particulier quand la relation avec ce client reste cordiale malgré l'avis publié.

Le droit à l'effacement invoqué par le tiers concerné

Un employé mentionné nommément dans un avis, avec des propos qu'il jugerait attentatoires à sa vie privée, dispose lui-même d'un droit à demander la suppression de cette mention, indépendamment de l'établissement qui l'emploie — un point souvent méconnu, y compris des salariés eux-mêmes. Informer simplement les équipes de l'existence de ce droit, sans en faire un sujet anxiogène, permet d'éviter des situations où un salarié découvrirait tardivement qu'il disposait d'un recours simple face à une mention publique qu'il jugeait gênante.

La réponse de l'établissement : un terrain à risque RGPD sous-estimé

Un point souvent négligé : la réponse publique apportée par un établissement à un avis peut elle-même constituer un traitement de données personnelles problématique, en particulier si elle reprend ou confirme des informations personnelles sensibles évoquées dans l'avis initial. Répondre à un avis médical en confirmant publiquement la nature d'un traitement, ou répondre à un litige commercial en détaillant publiquement des données financières précises, expose l'établissement lui-même à un risque de non-conformité, indépendamment du contenu initial de l'avis auquel il répond.

La bonne pratique consiste à répondre de façon volontairement générale, sans jamais confirmer ni détailler d'informations personnelles précises, même pour se défendre d'une critique jugée injuste — un principe déjà évoqué pour les professions réglementées, mais qui s'applique en réalité à tout secteur d'activité dès lors qu'un avis touche à des données sensibles. Cette rigueur, loin d'être une contrainte excessive, protège en réalité l'établissement autant que les personnes concernées par les informations en question.

Republier des avis : les précautions à prendre

De nombreux établissements republient leurs meilleurs avis Google sur leur propre site internet ou leurs réseaux sociaux, une pratique commerciale courante et légitime. Cette republication constitue cependant un traitement distinct de données personnelles, qui mérite quelques précautions simples : vérifier que l'avis republié ne contient pas de données sensibles concernant des tiers, et être en mesure de retirer rapidement un avis republié si son auteur en fait la demande, même après une republication initiale.

Un établissement qui republie systématiquement des avis sans jamais vérifier leur contenu s'expose à reproduire, sur son propre site cette fois, une information problématique qu'il n'aurait pas eu le contrôle de publier initialement sur Google, mais dont il devient pleinement responsable une fois republiée de sa propre initiative.

Cette responsabilité redoublée justifie qu'une personne de l'établissement soit clairement identifiée pour relire chaque avis avant republication, plutôt que d'automatiser entièrement ce processus sans aucun contrôle humain intermédiaire.

La conservation des données liées à la collecte d'avis

Pour les établissements qui utilisent un dispositif structuré de collecte d'avis — plateforme dédiée, système de relance automatisée — les coordonnées des clients sollicités constituent elles-mêmes des données personnelles soumises au RGPD, indépendamment du contenu des avis publiés par la suite. Cela implique une base légale claire pour cette collecte, généralement l'intérêt légitime de solliciter un client après une prestation rendue, ainsi qu'une durée de conservation limitée et proportionnée à cette finalité précise. Conserver indéfiniment les coordonnées d'un client sollicité une seule fois, plusieurs années après la prestation concernée, dépasse généralement ce qui peut être justifié par cette finalité initiale, et mérite une politique de purge régulière des données devenues obsolètes.

Le cas des outils d'assistance à la rédaction par IA

Certains dispositifs de collecte d'avis proposent une assistance à la rédaction, générant une proposition de texte à partir de quelques éléments fournis par le client. Ce type d'outil traite, lui aussi, des données personnelles — a minima les informations fournies par le client pour générer sa proposition de texte — ce qui implique une vigilance particulière sur la façon dont ces données transitent, sont éventuellement conservées, et sont traitées par le prestataire technique fournissant cette fonctionnalité.

Un établissement qui utilise ce type d'outil gagne à vérifier que le prestataire technique respecte lui-même ses obligations RGPD, notamment sur la durée de conservation des données transmises et sur l'absence de réutilisation de ces informations à d'autres fins que la seule génération de la proposition de texte pour le client concerné.

Un prestataire sérieux dans ce domaine communique généralement de façon claire sur ses propres pratiques de traitement, souvent via une documentation dédiée ou des clauses contractuelles spécifiques, ce qui facilite grandement cette vérification pour l'établissement client plutôt que de la laisser à sa seule interprétation.

La différence entre modération et censure dans le cadre du RGPD

Un établissement pourrait être tenté d'invoquer le RGPD comme prétexte pour demander la suppression d'avis simplement négatifs, sans réel enjeu de protection de données personnelles. Cette confusion doit être évitée : le RGPD protège des données personnelles identifiables, pas la réputation commerciale d'un établissement face à une critique légitime. Un signalement abusif, invoquant à tort une protection de données pour masquer un simple désaccord sur le fond d'un avis, s'expose à un rejet de la demande par Google, voire à une perte de crédibilité si cette pratique venait à être identifiée comme récurrente. Distinguer clairement, dans sa propre pratique interne, ce qui relève réellement d'un enjeu de données personnelles de ce qui relève d'une simple insatisfaction commerciale à traiter par d'autres moyens évite cette confusion coûteuse en crédibilité.

Les questions qu'on nous pose le plus souvent

Un établissement peut-il être sanctionné pour un avis publié par un client sur Google ?

Rarement pour le seul contenu de l'avis lui-même, dont la responsabilité première incombe à son auteur. En revanche, l'établissement engage sa propre responsabilité s'il republie, commente ou traite activement ces données d'une façon non conforme, par exemple en confirmant publiquement des informations sensibles.

Faut-il obtenir un consentement RGPD avant de solliciter un avis ?

La sollicitation d'un avis, en tant que telle, ne nécessite généralement pas un consentement RGPD formel distinct, dans la mesure où elle s'appuie sur l'intérêt légitime de l'établissement à recueillir un retour sur une prestation déjà réalisée. La transparence sur cette finalité reste néanmoins une bonne pratique à maintenir.

Un salarié peut-il exiger la suppression de son nom dans un avis positif ?

Techniquement oui, le droit à l'effacement s'applique indépendamment du caractère positif ou négatif de la mention. En pratique, ce cas reste rare, la plupart des salariés appréciant plutôt d'être valorisés nommément dans un avis positif.

Comment gérer un avis qui mentionne un incident impliquant un mineur ?

Avec une prudence redoublée : les données concernant des mineurs bénéficient d'une protection renforcée en droit français comme européen. Un signalement à Google reste la démarche prioritaire face à ce type de contenu, plutôt qu'une réponse publique qui risquerait de confirmer ou détailler davantage la situation évoquée.

Une CNIL locale peut-elle sanctionner un petit commerce pour un avis client problématique ?

Le risque de sanction directe reste faible pour un très petit établissement isolé, la CNIL concentrant généralement son action sur les manquements les plus graves ou les plus répétés. Cela ne dispense cependant pas de la vigilance de base décrite ici, d'autant qu'une plainte individuelle d'un client ou d'un salarié concerné peut déclencher une procédure indépendamment de la taille de l'établissement.

En résumé

Les avis Google, bien qu'hébergés et publiés par une plateforme tierce, engagent une part de responsabilité de l'établissement dès lors qu'il sollicite activement ces avis, les republie, ou y répond publiquement. Rester vigilant sur le contenu des réponses apportées, signaler rapidement les avis contenant des données sensibles concernant des tiers, et encadrer proprement la collecte des coordonnées clients utilisées pour la sollicitation restent les précautions essentielles pour concilier une stratégie d'avis active avec le respect du cadre réglementaire applicable aux données personnelles.