Pour lire l’article : Revue Expertises n°503 – Juillet 2024
Comme chaque mois, Alexandre Fievée tente d’apporter des réponses aux questions que tout le monde se pose en matière de protection des données personnelles, en s’appuyant sur les décisions rendues par les autorités nationales de contrôle au niveau européen et les juridictions européennes.
Ce mois-ci, il se penche sur la question de l’application du RGPD aux organes de presse.
L’affaire
Une sage-femme a découvert que deux articles publiés par un média hongrois faisaient état – à partir d’informations précédemment communiquées par d’autres médias – de son implication dans une procédure pénale concernant la mort de plusieurs nourrissons. Il lui était reproché un manque de connaissance professionnelle pour l’exercice de ce métier et une absence de qualification. La sage-femme, qui faisait valoir que son mari est un homme politique bien connu, ne reprochait pas au média concerné d’avoir publié des données relatives à son état civil ou encore à son rôle au côté de son mari, mais d’avoir divulgué des informations relatives à son activité professionnelle, et donc sans relation directe avec son rôle public. C’est dans ce contexte qu’elle a exercé notamment une demande d’effacement de ses données et une demande d’opposition au traitement. Ces demandes sont restées sans effet. Elle a donc saisie l’autorité hongroise de protection des données.
Cette dernière a rappelé que, selon sa « jurisprudence », les traitements journalistiques ont pour base légale l’intérêt légitime, et que, par conséquent, le média aurait dû – ce qu’il n’a pas fait – évaluer soigneusement l’impact de la publication sur les droits et les libertés de la personne concernée : « Dans le cas de l’intérêt légitime comme base juridique, le responsable du traitement doit toujours examiner l’intérêt légitime de la situation et déterminer si le traitement est nécessaire pour atteindre la finalité. Après avoir évalué les intérêts et les attentes et analysé l’impact sur les personnes concernées, il convient de déterminer pourquoi l’intérêt légitime du responsable du traitement constitue une limitation proportionnée des droits des personnes concernées. Or (…) le défendeur n’a pas précisé pourquoi le traitement des données à caractère personnel du demandeur dans le cadre de l’information du public dans le contexte de la liberté d’expression constituerait une restriction proportionnée des droits de ce dernier. Le défendeur n’a pas non plus expliqué dans quelle mesure le traitement des données était nécessaire à la finalité déclarée. » Selon l’autorité hongroise de protection des données, le média n’a pas respecté le RGPD et aurait dû faire droit aux demandes d’effacement et d’opposition de la sage-femme. Par ailleurs, l’autorité a considéré que la défenderesse n’avait pas respecté le principe de minimisation car « lorsqu’il existe un véritable intérêt public pour une procédure pénale, la communication par un organe de presse en rapport avec cette procédure doit se limiter aux données strictement nécessaires, en particulier lorsque l’information peut atteindre son objectif sans divulguer de données personnelles. »
Quelles recommandations ?
Compte tenu, d’une part, des dispositions de l’article 85 du RGPD qui indiquent que les Etat membres prévoient des « exemptions ou dérogations » à certain principes et droits prévus par la règlementation et, d’autre part, des dérogations prévues à l’article 80 de la loi « Informatique et Libertés », on a peut-être pensé, un peu trop vite, que les traitements journalistiques étaient hors du champ d’application de la règlementation sur la protection des données personnelles. Il n’en est rien.
Tout d’abord, il convient de relever qu’une dérogation ne peut être invoquée par un organe de presse que sous réserve qu’elle soit « nécessaire pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information ».
Ensuite, les dérogations, telles que retenues par le législateur français, sont limitées à certains principes et certains droits. A titre d’exemple, le droit d’opposition – contrairement au droit à l’effacement – ne fait l’objet d’aucune limitation. Par conséquent, rien ne semble faire obstacle à ce qu’une personne, visée dans un article de presse, puisse se prévaloir de son droit d’opposition au traitement de ses données personnelles, dès lors qu’elle est en mesure d’invoquer « des raisons tenant à sa situation personnelle ». Pour faire obstacle à cette demande, l’organe de presse devra, quant à lui, démontrer qu’il existe « des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée ». Autre exemple : le principe de minimisation. Il n’est pas non plus « affecté » par le régime dérogatoire. Alors pourquoi ne pas l’invoquer à l’encontre d’un organe de presse qui aurait, dans un article, communiqué plus de de données personnelles que nécessaires au regard de la finalité du traitement ? Tout un programme !
