Cod roșu de GDPR: cum va afecta el instituțiile de presă?

În aproape fiecare discuție cu reprezentanții presei, sunt întrebată dacă GDPR (Regulamentul General pentru Protecția Datelor) afectează mass-media și în ce mod.

Da, GDPR afectează mass media. Pentru că, la rândul ei, mass-media afectează (impactează) drepturile și interesele persoanelor vizate, iar problema se pune în special atunci când persoanele vizate nu și-au dat consimțământul pentru publicarea informațiilor care le privesc. Publicarea de informații care au aptitudinea de a identifica sau de a conduce la identificarea unei persoane fizice („persoana vizată”) reprezintă o procesare de date, în sensul GDPR, și se supune tuturor dispozițiilor acestui regulament, inclusiv celor cu privire la necesitatea existenței unui temei legal pentru procesare.

De ce s-a născut GDPR?

Din perspectivă istorică, dreptul la protecția datelor cu caracter personal este un succesor specializat al dreptului la viață privată. Înainte de apariția GDPR, dreptul la viață privată a fost recunoscut în art. 8 din Convenţia pentru apărarea drepturilor omului şi a libertăţilor fundamentale. În aceeași Convenție, este recunoscut și dreptul fundamental la libertatea de exprimare („freedom of speech”), conform art. 10. Ca atare, dreptul la viață privată și dreptul la liberă exprimare erau recunoscute cu egală putere și importanță de către Convenție, încă din anul 1950, fără a fi clar care dintre ele are prioritate, până în zilele noastre. Cele mai multe procese de presă s-au concentrat pe dezlegarea problemei juridice a stabilirii dreptului “mai îndreptățit” să primească protecția justiției, iar instanțele naționale au primit dificila sarcină de a decide, de la caz la caz și fără niște criterii clare, care dintre ele prevalează: dreptul persoanei sau dreptul mass-media de a informa publicul.

În 2016, apare GDPR și problema se repune pe tapet cu energie înnoită și noi argumente. În tot timpul scurs de la apariția Convenției, publicarea materialelor privind persoanele fizice de către mass-media s-a făcut, în lipsa unui grad rezonabil de certitudine cu privire la dreptul prevalent, în baza unui risc asumat. Din momentul 25 mai 2018 însă, la ecuația de calcul a riscului asumat se adaugă acele amenzi enorme aduse de GDPR.

Deci, care prevalează: dreptul la protecția datelor cu caracter personal sau dreptul al libertatea de exprimare?

Publicarea informațiilor prin presă poate fi subsumată dispozițiilor art. 6 lit. (f) din GDPR, care recunoaște prelucrarea necesară în scopul intereselor legitime urmărite de operator („data controller”) sau de o parte terță, cu excepția cazului în care prevaleazăinteresele sau drepturile și libertățile fundamentale ale persoanei vizate. Interesul legitim este una dintre bazele legale ale prelucrării sub GDPR iar, în cazul mass-media, teza la care se va apela cel mai probabil este aceea de prelucrare având în vedere interesele legitime urmărite de către o parte terţă, respectiv publicul îndreptățit la informație.

Verbul „prevalează” folosit în GDPR presupune însă un proces de balansare a dreptului la protecția datelor personale cu dreptul la libera exprimare. Pentru ca interesul legitim al operatorului să prevaleze, procesarea trebuie să fie, în primul rând, necesară și proporțională. Un exemplu elocvent de necesitate și proporționalitate dat de Art. 29 WP este următorul: ”depinzând de situația de fapt, poate fi necesar ca un ziar să publice anumite detalii incriminatorii despre obiceiurile de a cheltui ale unui oficial guvernamental de nivel înalt implicat într-un posibil scandal de corupție”.

Trebuie observate toate micile criterii cumulative puse în frază pentru a nuanța ce înseamnă în opinia organismului consultativ „necesar și proporțional”. Nu în orice caz similar celui dat exemplu se poate invoca interesul legitim, ci numai depinzând de situația concretă de fapt. Art. 29 WP chiar arată în continuare că exemplul nu trebuie tratat ca o permisiune în alb pentru media să publice tot felul de detalii irelevante despre persoanele publice. În concluzie, fiecare caz concret va trebui să beneficieze în continuare de o analiză particulară. În plus, nu pot fi publicate în baza interesului legitim obiceiurile de a cheltui ale unei persoane oarecare, ci ale unui înalt oficial guvernamental, unul care să fie implicat într-un scandal și, nu orice scandal, ci unul de corupție. În concluzie, Art. 29 WP setează o serie de criterii extrem de precise în evaluarea necesitații și proporționalității, făcând greu de evitat concluzia că publicarea obiceiurilor de shopping ale unei persoane oarecare, cu privire la care interesul legitim al publicului de a afla această informație este inexistent, nu îndeplinește nici condiția necesității, nici cea a proporționalității. Din interpretarea acestui exemplu, rezultă că publicul nu ar avea un interes legitim necesar și proporțional să afle obiceiurile de cumpărături ale unei vedete, de exemplu, și nici chiar în cazul unui oficial guvernamental implicat într-un scandal sexual.

Ce se înțelege prin “legitimitate”?

Aici ne atrage atenția o altă observație a Art. 29 WP, care face o diferență interesantă între interesele operatorului și cele ale persoanei vizate. Interesele operatorului trebuie să fie legitime conform legii, dar interesele persoanei vizate – nu neapărat. Practic, nu orice comportament ilegitim al persoanei fizice o lipsește de dreptul la protecția datelor și vieții sale private. Criteriul necesității și al proporționalității presupune ca, pentru a putea invoca interesul legitim ca temei ai prelucrării, operatorul (presa) ar trebui să publice informații relevante și nu orice fel de informații legate de persoana în cauză, indiferent cât de benefice ar fi ele vânzărilor.

Modul în care datele sunt procesate, dacă ele sunt făcute publice sau adresate unui număr larg de persoane, posibilul lor impact negativ asupra persoanei și așteptările rezonabile ale persoanei vizate de folosirea și dezvăluirea informațiilor cu caracter personal reprezintă criterii indicate de Art. 29 WP, în analiza impactului asupra persoanei vizate, impact a cărui greutate se adaugă la balanța interes legitim – drept la protecția datelor.

Un exemplu…

Prin prisma criteriului așteptărilor rezonabile, un exemplu interesant de analizat este dacă o publicație are dreptul să publice un articol ca follow up la un eveniment și să citeze vorbitorul (eventual, să publice și o poză), fără să îi ceară consimțământul, în mod explicit.

Dacă evenimentul este destinat publicului larg (concert, eveniment sportiv, conferință de presă într-o campanie electorală), consider că este rezonabil ca vorbitorul să se aștepte ca informațiile prezentate și imaginile sale să fie preluate în vederea publicării. În acest caz, cel mai probabil ar fi să poată fi invocat interesul legitim al unei terțe părți pentru prelucrare, și anume interesul publicului la informare.

Dacă, în schimb, evenimentul este unul privat, cum ar fi o conferință de promovare a unui produs sau a unor servicii, adresată unei audiențe limitate pe bază de invitație, publicarea de fotografii cu vorbitorul și a unor citate din spusele acestui s-ar putea baza mult mai probabil pe consimțământ ca temei legal decât pe interesul legitim. Aceasta chiar și în condițiile în care invitația a fost adresată și anumitor reprezentanți ai presei, în scopul de a acoperi mediatic evenimentul. Ne întoarcem la ideea că scopul conferinței este acela de a aduce un plus de valoare serviciilor promovate, motiv pentru care vorbitorul ar putea avea așteptarea rezonabilă să aprobe conținutul fotografic și de text distribuit în media, astfel încât acesta să fie concordant cu mesajul de marketing intenționat.

Poziția operatorului de date față de cea a persoanei vizate este încă un element important de analizat în cazul mass-media care se ia în calcul la evaluarea impactului asupra persoanei vizate. Prin capacitatea de diseminare a informațiilor și prin rolul de formator de opinie, canalele media se află într-o poziție covârșitor dominantă față de individ. Impactul materialelor de presă asupra persoanei vizate poate fi unul extrem de serios și, prin prisma GDPR, necesită parcurgerea unei analize riguroase atunci când temeiul legal invocat al prelucrării este interesul legitim.

În concluzie…

Publicarea datelor personale (informații, fotografii, materiale video sau audio în care persoana poate fi identificată) atât fără consimțământ, cât și fără interes legitim, care să prevaleze drepturilor și intereselor fundamentale ale persoanei vizate, apare ca sancționabilă sub GDPR.

Sancțiunea posibilă pentru încălcarea principiilor de bază pentru prelucrare este amenda administrativă de până la 20.000.000 euro sau, în cazul unei întreprinderi, de până la 4% din cifra de afaceri mondială totală anuală, corespunzătoare exercițiului financiar anterior, luându-se în calcul cea mai mare valoare.

Până a ajunge însă la aplicarea sancțiunii bănești, autoritatea de supraveghere are competențe coercitive prin care poate impune operatorului anumite măsuri în vederea protecției drepturilor persoanei vizate, cum ar fi: limitarea temporară sau definitivă, instituirea unei interdicții asupra prelucrării, obligarea operatorului să șteargă datele și inclusiv să comunice fiecărui destinatar căruia i-au fost divulgate datele cu caracter personal orice rectificare sau ștergere a datelor cu caracter personal sau restricționare a prelucrării efectuate.

Limitarea sau interdicția prelucrării poate viza întreaga activitate de prelucrare a operatorului, în lipsa unei distincții făcute de GDPR cu privire la dimensiunea limitării, putând duce la imposibilitatea desfășurării activității. În plus, obligarea operatorului să comunice fiecărui destinatar căruia i-au fost divulgate datele cu caracter personal orice rectificare, ștergere sau restricționare reprezintă o posibilă provocare majoră pentru media, în condițiile în care majoritatea materialelor sunt preluate de agregatoare și ajung în final la un public vast. Pe de o parte, o astfel de comunicare poate să fie extrem de consumatoare de resurse tehnice și financiare, iar pe de altă parte, obligația comunicării rectificării, ștergerii sau restricționării către publicul larg are valența de a deveni o pârghie foarte eficientă la dispoziția persoanelor fizice în raport cu mass-media.

andreea-vlantoiu Apariții în presă gdpr