Jurnalismul și GDPR-ul: între libertatea de exprimare și protecția datelor cu caracter personal

Într-un articol anterior din seria dedicată Regulamentului general privind protecția datelor („GDPR”), am menționat că prevederile cuprinse în GDPR dau dovada unui echilibru necesar între interesele persoanelor fizice ale căror date cu caracter personal sunt prelucrate și interesele economice sau de altă natură care justifică această prelucrare. Un astfel de interes este reprezentat de exercitarea dreptului la informație și a dreptului la liberă exprimare, astfel că adoptarea GDPR a dat naștere unei întrebări legitime: care este impactul Regulamentului general privind protecția datelor asupra presei? Încă de la început subliniem că aspectele pe care le vom prezenta în paragrafele următoare acoperă numai o parte foarte mică în raport de complexitatea acestui subiect.

• Dreptul la protecția datelor cu caracter personal și libertatea de exprimare sunt două drepturi fundamentale, la fel de importante într-o societate democratică

Jurnaliștii – fie că ne referim la companiile media, fie la jurnaliști priviți în mod individual – pot avea calitatea de operatori în înțelesul Regulamentului. Există însă o diferență substanțială între jurnaliști și celelalte categorii de operatori, diferență care își găsește rațiunea în specificul activității pe care o desfășoară cei dintâi. Presa are un rol esențial într-o societate democratică, rol subliniat și protejat constant de Curtea Europeană a Drepturilor Omului în jurisprudența sa. Într-o accepție largă, libertatea de exprimare este o garanție esențială, indispensabilă presei pentru a-și putea îndeplini rolul său.

În mod inevitabil, există numeroase situații în care dreptul la protecția datelor cu caracter personal și libertatea de exprimare interferează, drept pentru care se ridică problema de a ști care dintre cele două drepturi va prevala.

Atât dreptul la protecția datelor cu caracter personal, cât și dreptul la liberă exprimare sunt drepturi fundamentale, reglementate prin intermediul diferitelor instrumente juridice (e.g., Constituția României, Convenția europeană a drepturilor omului, Carta drepturilor fundamentale a Uniunii Europene). Însă niciunul dintre cele două drepturi nu are un caracter absolut, ambele fiind susceptibile de restrângeri. Între cele două drepturi nu există o relație de prevalență ci, astfel cum a statuat Curtea Europeană a Drepturilor Omului în jurisprudența sa, va trebui să se pună în balanță interesul persoanei vizate la respectarea vieții sale private și interesul public față de libertatea de exprimare, interes în care jurnaliștii joacă un rol esențial de gardian public; Curtea Europeană a tranșat cât se poate de clar că nu există o ierarhie între cele două drepturi (CEDO, Timciuc c. României, para.144 și altele) și ambele merită a priori un respect egal (CEDO, van Hannover c. Germaniei – 2, 2012, para.106). Statele au obligația de a asigura un just echilibru între protejarea celor două valori care în anumite situații pot intra în conflict: pe de o parte, libertatea de exprimare și, pe de altă parte, dreptul la respectarea vieții private (CEDO, Axel Spinger c. Germaniei, 2012, p.84 și altele). Acest just echilibru trebuie asigurat atât în relația dintre autoritățile publice și cetățeni (raport vertical), cât și între particulari (raport orizontal).

• GDPR obligă la rândul său statele membre să asigure un echilibru între dreptul la protecția datelor cu caracter personal și dreptul la libertatea de exprimare și de informare

Adoptarea GDPR-ului nu este nicidecum vreun „Big Bang” care să fi dat naștere dreptului la protecția datelor cu caracter personal. În realitate, Regulamentul general privind protecția datelor își extrage substanța dintr-o serie întreagă de alte instrumente juridice care l-au precedat. Astfel, imperativul necesității asigurării unui just echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare este expres reglementat în art. 85 din GDPR. Această cerință a fost subliniată de fiecare dată când Curtea Europeană a Drepturilor Omului a analizat raportul dintre cele două drepturi fundamentale, astfel cum am arătat și în paragraful precedent, drept pentru care art. 85 din GDPR nu face decât să transpună în acest nou instrument juridic o regulă existentă și în momentul de față. Nu în ultimul rând, menționăm că statele membre nu au simpla doar simpla posibilitate, ci o veritabilă obligație de a asigura acest echilibru prin dreptul intern.

Cum se realizează în concret acest echilibru?

În primul rând, art. 85 din GDPR conferă statelor dreptul de a stabili prin dreptul intern derogări și exonerări de la dispozițiile din Regulament. Este important să subliniem că aceste exonerări și derogări de la prevederile GDPR nu sunt limitate doar la anumite obligații specifice ale operatorilor ci pot să vizeze inclusiv principiile generale ale GDPR. Cu toate acestea, în niciun caz statele membre nu vor putea sacrifica pur și simplu dreptul la protecția datelor cu caracter personal în favoarea libertății de exprimare (sau viceversa), orice derogări trebuind să fie restrictive și reglementate atât timp cât sunt necesare asigurării echilibrului între dreptul la protecția datelor cu caracter personal și libertatea de exprimare.

În al doilea rând, se ridică problema de a ști ce se va întâmpla la 25 mai 2018 în situația în care aceste derogări și exonerări nu sunt adoptate de statele membre. În lipsa unor măsuri legislative luate în mod expres de statele membre în temeiul art.85 din GDPR s-ar putea ajunge la concluzia că există un vid legislativ care afectează jurnaliștii? Credem că o asemenea concluzie nu se susține. Articolul 85 obligă statele membre să asigure prin dreptul intern echilibrul între dreptul la protecția datelor cu caracter personal și libertatea de exprimare; dreptul intern cunoaște un alt instrument juridic prin care se realizează deja acest echilibru: mecanismul Convenției europene a dreptului omului. Chiar și în lipsa unor derogări exprese de la prevederile GDRP prin legi interne adoptate de statele membre, Convenția este aplicabilă direct în ordinea juridică de drept intern. Atât autoritățile administrative, cât și instanțele judecătorești sunt obligate să aplice în mod direct Convenția, astfel cum dispozițiile acesteia s-au reflectat în jurisprudența Curții de la Strasbourg. Cu alte cuvinte, considerăm că în situația în care legiuitorul român nu va adopta până la data de 25 mai 2018 un act normativ prin care să se reglementeze excepțiile privitoare la prelucrările de date în scop jurnalistic, echilibrul dintre dreptul la protecția datelor cu caracter personal și libertatea de exprimare va fi asigurat prin mecanismul Convenției europene a drepturilor omului. În vasta jurisprudență a Curții Europene a Drepturilor Omului regăsim principii și criterii esențiale, dar mai ales obligatorii, ce trebuie să fie respectate atunci când interesul jurnalistic interferează cu dreptul la viață privată al unei persoane.

În momentul actual există în dezbatere parlamentară o propunere legislativă prin care se dorește adoptarea măsurilor necesare în vederea echilibrării celor două drepturi. Nu știm dacă această propunere legislativă va deveni lege până la data de 25 mai 2018, dar atragem atenția că modalitatea în care legiuitorul român se pare că intenționează să aplice dispozițiile art.85 din GDPR este discutabilă.

În orice caz, ideea asigurării acestui just echilibru este subliniată și de dispozițiile cuprinse în GDPR. Astfel, în art.6 din GDPR, pe lângă temeiul privitor la obținerea consimțământului persoanei vizate, Regulamentul stipulează că o prelucrare va fi legală (deci chiar și în lipsa consimțământului persoanei vizate) atunci când este necesară în scopul intereselor legitime urmărite de operator sau de un terț, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate. Credem că ceea ce Regulamentul a urmărit prin reglementarea acestei ipoteze este asigurarea unui temei legal general care să permită echilibrarea intereselor contrare care ar putea decurge din exercitarea drepturilor și libertăților fundamentale.

Având în vedere aspectele menționate anterior, în concret, va fi necesar să se stabilească de la caz la caz dacă între dreptul jurnaliștilor de a informa cetățenii și dreptul persoanelor vizate de a le fi protejate datele cu caracter personal este asigurat acest echilibru, în sensul că orice ingerință asupra unuia dintre drepturi să fie proporțională. Realizarea acestui test este adesea un demers dificil deoarece trebuie luată în considerare o serie întreagă de factori.

Putem extrage din jurisprudența Curții Europene a Drepturilor Omului mai multe criterii care trebuie analizate atunci când în balanță sunt puse interesele jurnaliștilor, pe de o parte, și dreptul persoanei vizate la protecția vieții private, pe de altă parte, de exemplu:

contribuția pe care un articol o aduce la o dezbatere de interes general (e.g., chiar și articolele, publicațiile etc. care aparent prezintă un conținut care ar putea fi considerat ca neserios pot să contribuie la o dezbatere de interes general).
notorietatea persoanei vizate și obiectul reportajului (e.g., persoanele care nu sunt cunoscute publicului se bucură de un grad de protecție mai ridicat, în cazul politicienilor și a persoanelor care exercită înalte funcții publice libertatea de exprimare este mai puternic protejată);
comportamentul anterior al persoanei în cauză (e.g., atitudinea persoanei vizate față de presă);
conținutul, forma și repercusiunile publicării (e.g., datele cu caracter personal divulgate prin presă sunt toate necesare scopului legitim urmărit de jurnalist? Care sunt consecințele asupra persoanei căreia i-au fost divulgate datele cu caracter personal în presă?);
circumstanțele în care au fost obținute informațiile.

Interesul legitim al jurnaliștilor de a divulga anumite date cu caracter personal trebuie să fie suficient de clar articulat pentru a permite realizarea testului de proporționalitate și să fie un interes real și actual. De asemenea, pentru ca interesul legitim al operatorului să prevaleze, prelucrarea datelor trebuie să fie necesară și proporțională. Cu alte cuvinte, aceasta înseamnă că tipul și cantitatea de date furnizate trebuie să fie necesară îndeplinirii scopului propus prin publicarea unui articol.

Mai mult decât atât, în contextul activității jurnalistice prezintă relevanță toate elementele vieții private care sunt comunicate publicului. În acest sens, alăturarea unor imagini cu persoana vizată unui articol de presă trebuie la rândul său să fie analizată de la caz la caz. Protecția oferită imaginii unei persoane se realizează în principal în temeiul dreptului la propria imagine și, subsecvent, în temeiul dreptului la protecția datelor cu caracter personal. Relevantă pentru această chestiune este jurisprudența van Hannover a Curții Europene a Drepturilor Omului, jurisprudență în care s-au conturat diferite criterii ce trebuie luate în considerare pentru a se analiza dacă a fost asigurat un just echilibru între dreptul la imagine și libertatea de exprimare: notorietatea persoanei, locul în care au fost realizate fotografiile, modalitatea în care au fost realizate, scopul pentru care acestea sunt prelucrate, relevanța acestora în contextul articolului de presă și altele.

Echilibrul între protecția generală a datelor cu caracter personal și prelucrările în scop jurnalistic poate căpăta valențe diferite în funcție de diferite categorii de prelucrări. Astfel, în ceea ce privește colectarea datelor cu caracter personal, un potențial risc mai ales pentru investigațiile jurnalistice îl poate constitui o eventuală reticență a autorităților publice de a pune la dispoziție informațiile necesare unei anchete de presă după intrarea în vigoare a GDPR. În acest context, se cuvine să precizăm că autoritățile publice au obligația de a asigura interesul legitim al presei de a avea acces la informații, simplul fapt că datele solicitate reprezintă date cu caracter personal nefiind suficient pentru a refuza divulgarea acestora (CEDO, Magyar Helsinki Bizottság c. Ungariei, 2016). În egală măsură, obligații privind colectarea datelor cu caracter personal incumbă și jurnaliștilor căci modalitatea de obținere a informațiilor și veridicitatea lor joacă, de asemenea, un rol important. Curtea Europeană a Drepturilor Omului a hotărât deja că „ (…) garanția oferită ziariștilor la art. 10, în ceea ce privește rapoartele privind probleme de interes general, este subordonată condiției ca aceștia să acționeze cu bună-credință, pe baza unor fapte exacte, și să furnizeze informații „fiabile și precise”, respectând deontologia jurnalistică” (CEDO, Axel Springer AG c. Germaniei, 2012).

De asemenea, jurnaliștii ar trebui să manifeste o reală atenție cu privire la asigurarea securității datelor pe care le dețin. Faptul că o prelucrare de date cu caracter personal se realizează în scopuri jurnalistice nu îi scutește pe jurnaliști de obligația de a lua măsurile tehnice și organizatorice necesare pentru a asigura securitatea prelucrărilor. De exemplu, un jurnalist de investigații va trebui să se asigure că documentele pe care le deține și care conțin date cu caracter personal sunt păstrate într-o manieră care reduce riscul pierderii sau a furtului respectivelor date.

Chiar și datele cu caracter personal accesibile publicului se bucură de un anumit grad de protecție. În opinia generală s-a împământenit oarecum ideea că datele cu caracter personal care au fost făcute publice, fie de către o autoritate de stat, în baza unei prevederi legale, fie chiar de către persoana vizată, pot fi prelucrate ulterior fără vreun fel de rezerve. În realitate, inclusiv cu privire la aceste date trebuie să se verifice de la caz la caz respectarea principiului proporționalității, mai ales din perspectiva modului în care datele făcute publice sunt prelucrate ulterior. Un exemplu aparte îl regăsim în jurisprudența Curții Europene a Drepturilor Omului, instanța europeană stabilind că nu s-a încălcat dreptul la liberă exprimare atunci când autoritățile finlandeze au interzis unei publicații să prelucreze datele privitoare la veniturile cetățenilor finlandezi prin publicarea pe scară largă a datelor astfel colectate (CEDO, Satakunnan Markkinapörssi Oy and Satamedia Oy c. Finlandei, 2017).

Nu în ultimul rând, o chestiune aparte care preocupă mediul jurnalistic este dreptul persoanelor la ștergerea datelor cu caracter personal („dreptul de a fi uitat”). Art. 17 din GDRP reglementează șase cazuri în care operatorul este obligat să procedeze la ștergerea datelor, dreptul la ștergerea datelor cu caracter personal nefiind un drept absolut. Cu alte cuvinte, operatorul are dreptul să refuze ștergerea datelor cu caracter personal atât timp cât există un interes legitim pentru a se continua prelucrarea. Mai mult decât atât, se cuvine să precizăm că Regulamentul privind protecția datelor exonerează operatorii de la obligația de ștergere a datelor cu caracter personal în măsura în care prelucrarea este necesară pentru exercitarea dreptului la liberă exprimare și la informare. Însă refuzul operatorului nu poate fi pur arbitrar, ci va trebui să se verifice de la caz la caz dacă există într-adevăr un interes legitim de a continua prelucrarea unor date cu caracter personal. Și de această dată vor trebui să fie luate în considerare o serie de criterii stabilite pe cale jurisprudențială. În hotărârea din Costeja vs. Google Spain, Curtea de Justiție a Uniunii Europene a analizat prelucrarea datelor cu caracter personal realizată prin intermediul motoarelor de căutare, ocazie în care curtea europeană a scos în evidență anumite criterii care ar trebui să fie avute atunci când se evaluează dacă o solicitare privind ștergerea datelor este întemeiată: cât de sensibile sunt informațiile publicate pentru persoana vizată? Are persoana în cauză un rol în viața publică? Există motive întemeiate (interes) pentru public de a avea acces la respectivele informații? Care este durata de timp ce a trecut de la divulgarea acelor date? Este necesară continuarea prelucrării datelor pentru îndeplinirea scopurilor pentru care au fost colectate/divulgate?

Trebuie să se răspundă tuturor acestor întrebări pentru a putea analiza în ce măsură o cerere de ștergere a datelor va fi întemeiată, în contextul unei activități jurnalistice. După cum rezultă dintr-un raport furnizat de Google, multe dintre cererile întemeiate pe dreptului de a fi uitat vizează fapte de natură contravențională sau penală săvârșite în trecut de către persoanele vizate și care au fost relatate. În mod evident, fiecare caz prezintă particularitățile sale, însă dacă trecerii timpului i se conferă efectul reabilitării unei persoane condamnate, cu atât mai mult o perioadă lungă de timp scursă va fi un argument puternic în favoarea temeiniciei cererii de ștergere a datelor cu caracter personal.

Ștergerea datelor cu caracter personal trebuie să țină seama de specificul activității jurnalistice. Legiuitorul european a prevăzut apariția acestei probleme și, în considerentul 153 din GDPR, a menționat că derogările și exceptările de la dispozițiile Regulamentului european trebuind să se aplice în special cu privire la „(…) arhivele de știri și în bibliotecile ziarelor”. Astfel, Regulamentul trimite din nou la necesitatea asigurării echilibrului. Desigur, putem aplica principiile utilizate atât în jurisprudența CEDO, cât și a CJUE, însă dreptul la ștergerea datelor este, și probabil va fi mult timp, un subiect controversat în literatura de specialitate și practica instanțelor din statele membre.

•Nu toate prelucrările de date cu caracter personal realizate de companiile media sunt realizate în scop jurnalistic

Trebuie de la început să subliniem că noțiunea de scop jurnalistic nu cunoaște o definiție legală. Considerentul 153 din Regulament ne precizează doar că, pentru a ține seama de importanța dreptului la liberă exprimare în fiecare societate democratică, este necesar ca noțiunile legate de această libertate, cum ar fi jurnalismul să fie interpretate într-un sens larg. Jurisprudența Curții de Justiție a Uniunii Europene ne oferă câteva elemente de care se va ține seama atunci când o anumită activitate va fi calificată ca având „scop jurnalistic”, astfel: derogările și exceptările de la GDPR se vor aplica indiferent de maniera în care jurnaliștii își desfășoară activitatea fie în cadrul unei companii media, fie în mod independent; nu va avea relevanță suportul pe care sunt prezentate informațiile (e.g., ziar tipărit, online, radio, TV) și nici faptul că se obține un profit de pe urma activității; va putea fi calificată ca fiind o activitate de jurnalism inclusiv preluarea unor date din registrele publice în măsura în care au ca scop aducerea la cunoștința publicului a unor informații, opinii sau idei.

Companiile media vor trebui să analizeze cu atenție tipurile de prelucrări de date cu caracter personal pe care le realizează, deoarece nu toate activitățile de prelucrare din cadrul unei astfel de întreprinderi sunt realizate în scop jurnalistic. De exemplu, prelucrarea datelor cu caracter personal ale angajaților de către o companie care editează un ziar nu va beneficia de exonerările și derogările prevăzute pentru prelucrările de date realizate în scop jurnalistic. Pe cale de consecință, de regimul derogatoriu vor benefica numai acele categorii de prelucrări care se subsumează scopului jurnalistic.

• Concluzii

În paragrafele anterioare am prezentat numai o mică parte dintre aspectele care ar trebui analizate în ceea ce privește asigurarea echilibrului dintre dreptul la protecția datelor cu caracter personal și libertatea de exprimare. Protecția vieții private și libertatea de exprimare sunt două condiții sine qua non pentru un stat democratic, Regulamentul fiind în acord cu acest principiu. Nu putem ști cu siguranță care va fi efectul pe care intrarea în vigoare al GDPR îl va avea asupra presei, însă în momentul actual regăsim în jurisprudența curților europene principiile de care trebuie să se țină seama atunci când viața privată și libertatea de exprimare intră într-un conflict.

Un articol semnat de Dragoș BOGDAN, Senior Partner si Constantin Cosmin PINTILIE, Associate