Le RGPD s’applique à toute personne, y compris aux journalistes ! Heureusement, les règles sont allégées pour permettre à la liberté de la presse de coexister avec la protection des données. Retour sur les différentes dispositions en place et comment les utiliser.

Le RGPD instaure un cadre pour traiter des données personnelles. Cependant, les journalistes ont un certain nombre de besoins pour pouvoir mener des enquêtes et publier des informations d’intérêt public. L’article 85 du RGPD est dédié à la liberté d’expression et d’information, mais il n’indique pas précisément les règles. Il laisse aux États membres concilier, par la loi, la protection des données avec ces libertés.

En France, c’est l’article 80 de la Loi informatique et libertés qui précise les dérogations accordés aux journalistes. Passons en revue les différentes mesures :

• Pas la peine de se préoccuper de la durée de conservation des données. Les journalistes peuvent garder des données aussi longtemps qu’il faut y compris après avoir publié.
• La permission leur est accordée de traiter les données sensibles (de santé, sur la religion…) ainsi que les données de justice (« relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes »).
• Le droit à l’information, à l’accès à ses données, à la rectification ou à la limitation du traitement ne s’exercent pas. Le droit à l’oubli peut également être oublié grâce au 17(3)a du RGPD.
• Pour finir, les dispositions relatives aux transferts de données à l’international ne s’appliquent pas.

En revanche, toutes les autres dispositions du RGPD sont applicables. Les journalistes devront par exemple définir une base légale ainsi que des finalités. L’intérêt légitime à mener une enquête et publier des informations dans la presse est probablement ce qu’il faut, même si le consentement voire la mission d’intérêt public peuvent aussi être utilisées.

Le RGPD comme méthode d’enquête

Le RGPD confère un certain nombre de droits aux personnes concernées. Les droits d’accès et d’information sont particulièrement intéressants pour les journalistes y compris pour mener des enquêtes.

En tant qu’utilisateur d’un service, il est possible d’obtenir une copie de ses données personnelles ou de connaître les traitements opérés par le service. Même si ces droits sont conçus comme des droits personnels, ils peuvent permettre d’en apprendre beaucoup sur le fonctionnement d’un service numérique. C’est comme cela que la journaliste Judith Duportail a enquêté sur Tinder. En obtenant toutes les données personnelles enregistrées par cette application, elle a pu découvrir ses secrets les plus sombres.

Sur ce blog, j’utilise régulièrement cette méthode. Le problème que je rencontre le plus souvent est qu’il faut être utilisateur du service pour pouvoir avoir accès à ses données personnelles. Il faut donc parfois s’inscrire sur des sites peu recommandables pour enquêter. C’est également le cas pour le droit à l’information même s’il est possible d’argumenter qu’on souhaite des informations pour devenir utilisateur du service (alors que c’est surtout pour enquêter).

Déposer une plainte auprès de la CNIL peut aussi s’avérer être une méthode intéressante. En tant que plaignant il est possible d’obtenir les courriers échangés entre la CNIL et le responsable de traitement. Un premier moyen d’obtenir de précieuses informations. La décision de la CNIL peut être aussi une information en tant que telle. Sur les technologies, il peut être très précieux de pourvoir créer une jurisprudence avec une décision de la CNIL qui déclare un service ou une pratique illégale.

Défendre ses droits en tant que journaliste

Lorsqu’on est journaliste, il est important de connaître les droits accordés par le RGPD pour réaliser ses enquêtes dans les clous, mais aussi lorsque ses droits sont attaqués. Le scandale Pegasus a montré que des journalistes pouvaient être sous surveillance et que certaines pressions pouvaient être exercées sur la profession.

Le journaliste Emmanuel Freudenthal me racontait qu’il avait saisi la CNIL à la suite d’un courrier quelque peu étrange du Ministère des affaires étrangères. Dans cette lettre, le ministère indiquait savoir que le journaliste était au Mali et le déconseillait de se rendre dans la ville de Mopti. Problème, il n’avait jamais informé le ministère de ses plans de voyage et en plus il était déjà dans la zone déconseillée. Par la suite, il a demandé en vain des explications au ministère puis a alerté la CNIL qui n’a pour l’heure pas répondu à sa plainte.

Il est important de noter que toutes ces dispositions légales sont obligatoires. Lorsqu’on exerce un droit d’accès, par exemple, le responsable de traitement a l’obligation de répondre le plus rapidement possible et sous un mois. Le système est un peu similaire aux demandes CADA pour les administrations publiques. Malheureusement, ces droits subissent les même défauts : les délais sont parfois très longs lorsque l’interlocuteur est récalcitrant et qu’il faut passer par la case CNIL.