Jurnalismul și GDPR-ul: între libertatea de exprimare și protecția datelor cu caracter personal Într-un articol anterior din seria dedicata Regulamentului general privind protecția datelor ( GDPR ), am menționat ca prevederile cuprinse în GDPR dau dovada unui echilibru necesar între interesele persoanelor fizice ale caror date cu caracter personal sunt prelucrate și interesele economice sau de alta natura care justifica aceasta prelucrare. Un astfel de interes este reprezentat de exercitarea dreptului la informație și a dreptului la libera exprimare, astfel ca adoptarea GDPR a dat naștere unei întrebari legitime: care este impactul Regulamentului general privind protecția datelor asupra presei? Înca de la început subliniem ca aspectele pe care le vom prezenta în paragrafele urmatoare acopera numai o parte foarte mica în raport de complexitatea acestui subiect... Dreptul la protecția datelor cu caracter personal și libertatea de exprimare sunt doua drepturi fundamentale, la fel de importante într-o societate democratica Jurnaliștii fie ca ne referim la companiile media, fie la jurnaliști priviți în mod individual pot avea calitatea de operatori în înțelesul Regulamentului. Exista însa o diferența substanțiala între jurnaliști și celelalte categorii de operatori, diferența care își gasește rațiunea în specificul activitații pe care o desfașoara cei dintâi. Presa are un rol esențial într-o societate democratica, rol subliniat și protejat constant de Curtea Europeana a Drepturilor Omului în jurisprudența sa. Într-o accepție larga, libertatea de exprimare este o garanție esențiala, indispensabila presei pentru a-și putea îndeplini rolul sau. În mod inevitabil, exista numeroase situații în care dreptul la protecția datelor cu caracter personal și libertatea de exprimare interfereaza, drept pentru care se ridica problema de a ști care dintre cele doua drepturi va prevala. Atât dreptul la protecția datelor cu caracter personal, cât și dreptul la libera exprimare sunt drepturi fundamentale, reglementate prin intermediul diferitelor instrumente juridice (e.g., Constituția României, Convenția europeana a drepturilor omului, Carta drepturilor fundamentale a Uniunii Europene). Însa niciunul dintre cele doua drepturi nu are un caracter absolut, ambele fiind susceptibile de restrângeri. Între cele doua drepturi nu exista o relație de prevalența ci, astfel cum a statuat Curtea Europeana a Drepturilor Omului în jurisprudența sa, va trebui sa se puna în balanța interesul persoanei vizate la respectarea vieții sale private și interesul public fața de libertatea de exprimare, interes în care jurnaliștii joaca un rol esențial de gardian public; Curtea Europeana a tranșat cât se poate de clar ca nu exista o ierarhie între cele doua drepturi (CEDO, Timciuc c. României, para.144 și altele) și ambele merita a priori un respect egal (CEDO, van Hannover c. Germaniei - 2, 2012, para.106). Statele au obligația de a asigura un just echilibru între protejarea celor doua valori care în anumite situații pot intra în conflict: pe de o parte, libertatea de exprimare și, pe de alta parte, dreptul la respectarea vieții private (CEDO, Axel Spinger c. Germaniei, 2012, p.84 și altele). Acest just echilibru trebuie asigurat atât în relația dintre autoritațile publice și cetațeni (raport vertical), cât și între particulari (raport page 1 / 5
orizontal). GDPR obliga la rândul sau statele membre sa asigure un echilibru între dreptul la protecția datelor cu caracter personal și dreptul la libertatea de exprimare și de informare Adoptarea GDPR-ului nu este nicidecum vreun Big Bang care sa fi dat naștere dreptului la protecția datelor cu caracter personal. În realitate, Regulamentul general privind protecția datelor își extrage substanța dintr-o serie întreaga de alte instrumente juridice care l-au precedat. Astfel, imperativul necesitații asigurarii unui just echilibru între dreptul la protecția datelor cu caracter personal și libertatea de exprimare este expres reglementat în art. 85 din GDPR. Aceasta cerința a fost subliniata de fiecare data când Curtea Europeana a Drepturilor Omului a analizat raportul dintre cele doua drepturi fundamentale, astfel cum am aratat și în paragraful precedent, drept pentru care art. 85 din GDPR nu face decât sa transpuna în acest nou instrument juridic o regula existenta și în momentul de fața. Nu în ultimul rând, menționam ca statele membre nu au simpla doar simpla posibilitate, ci o veritabila obligație de a asigura acest echilibru prin dreptul intern. Cum se realizeaza în concret acest echilibru? În primul rând, art. 85 din GDPR confera statelor dreptul de a stabili prin dreptul intern derogari și exonerari de la dispozițiile din Regulament. Este important sa subliniem ca aceste exonerari și derogari de la prevederile GDPR nu sunt limitate doar la anumite obligații specifice ale operatorilor ci pot sa vizeze inclusiv principiile generale ale GDPR. Cu toate acestea, în niciun caz statele membre nu vor putea sacrifica pur și simplu dreptul la protecția datelor cu caracter personal în favoarea libertații de exprimare (sau viceversa), orice derogari trebuind sa fie restrictive și reglementate atât timp cât sunt necesare asigurarii echilibrului între dreptul la protecția datelor cu caracter personal și libertatea de exprimare. În al doilea rând, se ridica problema de a ști ce se va întâmpla la 25 mai 2018 în situația în care aceste derogari și exonerari nu sunt adoptate de statele membre. În lipsa unor masuri legislative luate în mod expres de statele membre în temeiul art.85 din GDPR s-ar putea ajunge la concluzia ca exista un vid legislativ care afecteaza jurnaliștii? Credem ca o asemenea concluzie nu se susține. Articolul 85 obliga statele membre sa asigure prin dreptul intern echilibrul între dreptul la protecția datelor cu caracter personal și libertatea de exprimare; dreptul intern cunoaște un alt instrument juridic prin care se realizeaza deja acest echilibru: mecanismul Convenției europene a dreptului omului. Chiar și în lipsa unor derogari exprese de la prevederile GDRP prin legi interne adoptate de statele membre, Convenția este aplicabila direct în ordinea juridica de drept intern. Atât autoritațile administrative, cât și instanțele judecatorești sunt obligate sa aplice în mod direct Convenția, astfel cum dispozițiile acesteia s-au reflectat în jurisprudența Curții de la Strasbourg. Cu alte cuvinte, consideram ca în situația în care legiuitorul român nu va adopta pâna la data de 25 mai 2018 un act normativ prin care sa se reglementeze excepțiile privitoare la prelucrarile de date în scop jurnalistic, echilibrul dintre dreptul la protecția datelor cu caracter personal și libertatea de exprimare va fi asigurat prin mecanismul Convenției europene a drepturilor omului. În vasta jurisprudența a Curții Europene a Drepturilor Omului regasim principii și criterii esențiale, dar mai ales obligatorii, ce trebuie sa fie respectate atunci când interesul jurnalistic interfereaza cu dreptul la viața privata al unei persoane. În momentul actual exista în dezbatere parlamentara o propunere legislativa prin care se dorește adoptarea masurilor necesare în vederea echilibrarii celor doua drepturi. Nu știm daca aceasta propunere legislativa va deveni lege pâna la data de 25 mai 2018, dar atragem atenția ca modalitatea în care legiuitorul român se pare ca intenționeaza sa aplice dispozițiile art.85 din GDPR este discutabila. În orice caz, ideea asigurarii acestui just echilibru este subliniata și de dispozițiile cuprinse în GDPR. Astfel, în art.6 din GDPR, pe lânga temeiul privitor la obținerea consimțamântului persoanei vizate, Regulamentul stipuleaza ca o prelucrare va fi legala (deci chiar și în lipsa consimțamântului persoanei vizate) atunci când este necesara în page 2 / 5
scopul intereselor legitime urmarite de operator sau de un terț, cu excepția cazului în care prevaleaza interesele sau drepturile și libertațile fundamentale ale persoanei vizate. Credem ca ceea ce Regulamentul a urmarit prin reglementarea acestei ipoteze este asigurarea unui temei legal general care sa permita echilibrarea intereselor contrare care ar putea decurge din exercitarea drepturilor și libertaților fundamentale. Având în vedere aspectele menționate anterior, în concret, va fi necesar sa se stabileasca de la caz la caz daca între dreptul jurnaliștilor de a informa cetațenii și dreptul persoanelor vizate de a le fi protejate datele cu caracter personal este asigurat acest echilibru, în sensul ca orice ingerința asupra unuia dintre drepturi sa fie proporționala. Realizarea acestui test este adesea un demers dificil deoarece trebuie luata în considerare o serie întreaga de factori. Putem extrage din jurisprudența Curții Europene a Drepturilor Omului mai multe criterii care trebuie analizate atunci când în balanța sunt puse interesele jurnaliștilor, pe de o parte, și dreptul persoanei vizate la protecția vieții private, pe de alta parte, de exemplu: contribuția pe care un articol o aduce la o dezbatere de interes general (e.g., chiar și articolele, publicațiile etc. care aparent prezinta un conținut care ar putea fi considerat ca neserios pot sa contribuie la o dezbatere de interes general). notorietatea persoanei vizate și obiectul reportajului (e.g., persoanele care nu sunt cunoscute publicului se bucura de un grad de protecție mai ridicat, în cazul politicienilor și a persoanelor care exercita înalte funcții publice libertatea de exprimare este mai puternic protejata); comportamentul anterior al persoanei în cauza (e.g., atitudinea persoanei vizate fața de presa); conținutul, forma și repercusiunile publicarii (e.g., datele cu caracter personal divulgate prin presa sunt toate necesare scopului legitim urmarit de jurnalist? Care sunt consecințele asupra persoanei careia i-au fost divulgate datele cu caracter personal în presa?); circumstanțele în care au fost obținute informațiile. Interesul legitim al jurnaliștilor de a divulga anumite date cu caracter personal trebuie sa fie suficient de clar articulat pentru a permite realizarea testului de proporționalitate și sa fie un interes real și actual. De asemenea, pentru ca interesul legitim al operatorului sa prevaleze, prelucrarea datelor trebuie sa fie necesara și proporționala. Cu alte cuvinte, aceasta înseamna ca tipul și cantitatea de date furnizate trebuie sa fie necesara îndeplinirii scopului propus prin publicarea unui articol. Mai mult decât atât, în contextul activitații jurnalistice prezinta relevanța toate elementele vieții private care sunt comunicate publicului. În acest sens, alaturarea unor imagini cu persoana vizata unui articol de presa trebuie la rândul sau sa fie analizata de la caz la caz. Protecția oferita imaginii unei persoane se realizeaza în principal în temeiul dreptului la propria imagine și, subsecvent, în temeiul dreptului la protecția datelor cu caracter personal. Relevanta pentru aceasta chestiune este jurisprudența van Hannover a Curții Europene a Drepturilor Omului, jurisprudența în care s-au conturat diferite criterii ce trebuie luate în considerare pentru a se analiza daca a fost asigurat un just echilibru între dreptul la imagine și libertatea de exprimare: notorietatea persoanei, locul în care au fost realizate fotografiile, modalitatea în care au fost realizate, scopul pentru care acestea sunt prelucrate, relevanța acestora în contextul articolului de presa și altele. Echilibrul între protecția generala a datelor cu caracter personal și prelucrarile în scop jurnalistic poate capata valențe diferite în funcție de diferite categorii de prelucrari. Astfel, în ceea ce privește colectarea datelor cu caracter personal, un potențial risc mai ales pentru investigațiile jurnalistice îl poate constitui o eventuala reticența a autoritaților publice de a pune la dispoziție informațiile necesare unei anchete de presa dupa intrarea în vigoare a GDPR. În acest context, se cuvine sa precizam ca autoritațile publice au obligația de a asigura interesul legitim al presei de a avea acces la informații, simplul fapt ca datele solicitate reprezinta date cu caracter personal nefiind suficient pentru a refuza divulgarea acestora (CEDO, Magyar Helsinki Bizottság c. Ungariei, 2016). În egala masura, obligații privind colectarea datelor cu caracter personal incumba și jurnaliștilor caci modalitatea de page 3 / 5
obținere a informațiilor și veridicitatea lor joaca, de asemenea, un rol important. Curtea Europeana a Drepturilor Omului a hotarât deja ca ( ) garanția oferita ziariștilor la art. 10, în ceea ce privește rapoartele privind probleme de interes general, este subordonata condiției ca aceștia sa acționeze cu buna-credința, pe baza unor fapte exacte, și sa furnizeze informații fiabile și precise, respectând deontologia jurnalistica (CEDO, Axel Springer AG c. Germaniei, 2012). De asemenea, jurnaliștii ar trebui sa manifeste o reala atenție cu privire la asigurarea securitații datelor pe care le dețin. Faptul ca o prelucrare de date cu caracter personal se realizeaza în scopuri jurnalistice nu îi scutește pe jurnaliști de obligația de a lua masurile tehnice și organizatorice necesare pentru a asigura securitatea prelucrarilor. De exemplu, un jurnalist de investigații va trebui sa se asigure ca documentele pe care le deține și care conțin date cu caracter personal sunt pastrate într-o maniera care reduce riscul pierderii sau a furtului respectivelor date. Chiar și datele cu caracter personal accesibile publicului se bucura de un anumit grad de protecție. În opinia generala s-a împamântenit oarecum ideea ca datele cu caracter personal care au fost facute publice, fie de catre o autoritate de stat, în baza unei prevederi legale, fie chiar de catre persoana vizata, pot fi prelucrate ulterior fara vreun fel de rezerve. În realitate, inclusiv cu privire la aceste date trebuie sa se verifice de la caz la caz respectarea principiului proporționalitații, mai ales din perspectiva modului în care datele facute publice sunt prelucrate ulterior. Un exemplu aparte îl regasim în jurisprudența Curții Europene a Drepturilor Omului, instanța europeana stabilind ca nu s-a încalcat dreptul la libera exprimare atunci când autoritațile finlandeze au interzis unei publicații sa prelucreze datele privitoare la veniturile cetațenilor finlandezi prin publicarea pe scara larga a datelor astfel colectate (CEDO, Satakunnan Markkinapörssi Oy and Satamedia Oy c. Finlandei, 2017). Nu în ultimul rând, o chestiune aparte care preocupa mediul jurnalistic este dreptul persoanelor la ștergerea datelor cu caracter personal ( dreptul de a fi uitat ). Art. 17 din GDRP reglementeaza șase cazuri în care operatorul este obligat sa procedeze la ștergerea datelor, dreptul la ștergerea datelor cu caracter personal nefiind un drept absolut. Cu alte cuvinte, operatorul are dreptul sa refuze ștergerea datelor cu caracter personal atât timp cât exista un interes legitim pentru a se continua prelucrarea. Mai mult decât atât, se cuvine sa precizam ca Regulamentul privind protecția datelor exonereaza operatorii de la obligația de ștergere a datelor cu caracter personal în masura în care prelucrarea este necesara pentru exercitarea dreptului la libera exprimare și la informare. Însa refuzul operatorului nu poate fi pur arbitrar, ci va trebui sa se verifice de la caz la caz daca exista într-adevar un interes legitim de a continua prelucrarea unor date cu caracter personal. Și de aceasta data vor trebui sa fie luate în considerare o serie de criterii stabilite pe cale jurisprudențiala. În hotarârea din Costeja vs. Google Spain, Curtea de Justiție a Uniunii Europene a analizat prelucrarea datelor cu caracter personal realizata prin intermediul motoarelor de cautare, ocazie în care curtea europeana a scos în evidența anumite criterii care ar trebui sa fie avute atunci când se evalueaza daca o solicitare privind ștergerea datelor este întemeiata: cât de sensibile sunt informațiile publicate pentru persoana vizata? Are persoana în cauza un rol în viața publica? Exista motive întemeiate (interes) pentru public de a avea acces la respectivele informații? Care este durata de timp ce a trecut de la divulgarea acelor date? Este necesara continuarea prelucrarii datelor pentru îndeplinirea scopurilor pentru care au fost colectate/divulgate? Trebuie sa se raspunda tuturor acestor întrebari pentru a putea analiza în ce masura o cerere de ștergere a datelor va fi întemeiata, în contextul unei activitați jurnalistice. Dupa cum rezulta dintr-un raport furnizat de Google, multe dintre cererile întemeiate pe dreptului de a fi uitat vizeaza fapte de natura contravenționala sau penala savârșite în trecut de catre persoanele vizate și care au fost relatate. În mod evident, fiecare caz prezinta particularitațile sale, însa daca trecerii timpului i se confera efectul reabilitarii unei persoane condamnate, cu atât mai mult o perioada lunga de timp scursa va fi un argument puternic în favoarea temeiniciei cererii de ștergere a datelor cu caracter personal. Ștergerea datelor cu caracter personal trebuie sa țina seama de specificul activitații jurnalistice. Legiuitorul european a prevazut apariția acestei probleme și, în considerentul 153 din GDPR, a menționat ca derogarile și page 4 / 5
exceptarile de la dispozițiile Regulamentului european trebuind sa se aplice în special cu privire la ( ) arhivele de știri și în bibliotecile ziarelor. Astfel, Regulamentul trimite din nou la necesitatea asigurarii echilibrului. Desigur, putem aplica principiile utilizate atât în jurisprudența CEDO, cât și a CJUE, însa dreptul la ștergerea datelor este, și probabil va fi mult timp, un subiect controversat în literatura de specialitate și practica instanțelor din statele membre. Nu toate prelucrarile de date cu caracter personal realizate de companiile media sunt realizate în scop jurnalistic Trebuie de la început sa subliniem ca noțiunea de scop jurnalistic nu cunoaște o definiție legala. Considerentul 153 din Regulament ne precizeaza doar ca, pentru a ține seama de importanța dreptului la libera exprimare în fiecare societate democratica, este necesar ca noțiunile legate de aceasta libertate, cum ar fi jurnalismul sa fie interpretate într-un sens larg. Jurisprudența Curții de Justiție a Uniunii Europene ne ofera câteva elemente de care se va ține seama atunci când o anumita activitate va fi calificata ca având scop jurnalistic, astfel: derogarile și exceptarile de la GDPR se vor aplica indiferent de maniera în care jurnaliștii își desfașoara activitatea fie în cadrul unei companii media, fie în mod independent; nu va avea relevanța suportul pe care sunt prezentate informațiile (e.g., ziar tiparit, online, radio, TV) și nici faptul ca se obține un profit de pe urma activitații; va putea fi calificata ca fiind o activitate de jurnalism inclusiv preluarea unor date din registrele publice în masura în care au ca scop aducerea la cunoștința publicului a unor informații, opinii sau idei. Companiile media vor trebui sa analizeze cu atenție tipurile de prelucrari de date cu caracter personal pe care le realizeaza, deoarece nu toate activitațile de prelucrare din cadrul unei astfel de întreprinderi sunt realizate în scop jurnalistic. De exemplu, prelucrarea datelor cu caracter personal ale angajaților de catre o companie care editeaza un ziar nu va beneficia de exonerarile și derogarile prevazute pentru prelucrarile de date realizate în scop jurnalistic. Pe cale de consecința, de regimul derogatoriu vor benefica numai acele categorii de prelucrari care se subsumeaza scopului jurnalistic. Concluzii În paragrafele anterioare am prezentat numai o mica parte dintre aspectele care ar trebui analizate în ceea ce privește asigurarea echilibrului dintre dreptul la protecția datelor cu caracter personal și libertatea de exprimare. Protecția vieții private și libertatea de exprimare sunt doua condiții sine qua non pentru un stat democratic, Regulamentul fiind în acord cu acest principiu. Nu putem ști cu siguranța care va fi efectul pe care intrarea în vigoare al GDPR îl va avea asupra presei, însa în momentul actual regasim în jurisprudența curților europene principiile de care trebuie sa se țina seama atunci când viața privata și libertatea de exprimare intra într-un conflict. page 5 / 5