L'évolution des lois sur la protection des données en Irlande

Avant l'entrée en vigueur du règlement général sur la protection des données (RGPD) en mai 2018, la loi irlandaise sur la protection des données était régie par les lois de 1988 et 2003 sur la protection des données, qui ont mis en œuvre la directive de 1995 sur la protection des données de l'UE. Ces lois ont établi des principes fondamentaux pour le traitement des données à caractère personnel, mais ont laissé aux États membres une grande marge de manœuvre, ce qui a conduit à une application incohérente dans l'Union européenne.

Le RGPD, officiellement règlement (UE) 2016/679, a marqué un changement de paradigme, renforçant non seulement les droits individuels — tels que le droit à l'effacement, à la portabilité des données et aux exigences accrues en matière de consentement — mais aussi les obligations strictes imposées aux responsables du traitement et aux processeurs de données. L'Irlande, en tant que juridiction de common law ayant une forte tradition de liberté de la presse, a été contrainte d'adapter son cadre juridique interne. La loi de 2018 sur la protection des données a été adoptée pour compléter le RGPD, en s'attachant aux domaines où les États membres étaient autorisés à déroger, y compris le traitement des données à caractère personnel à des fins journalistiques en vertu de l'article 85 du RGPD.

Par exemple, la Cour de justice de l'Union européenne (CJUE) a rendu un arrêt dans Google Spain vs. AEPD et Mario Costeja González (2014) établissant le droit à l'oubli, - qui affecte directement la façon dont les journalistes rendent compte des événements passés. Plus récemment, la décision Schrems II (2020) a invalidé le bouclier de confidentialité UE-États-Unis, affectant les transferts de données sur lesquels les journalistes se fient lorsqu'ils travaillent avec des sources ou des plateformes internationales.

Le cadre juridique des exemptions de journalisme

L'article 85 du RGPD exige explicitement que les États membres concilient le droit à la protection des données avec le droit à la liberté d'expression et d'information, y compris le traitement à des fins journalistiques.L'application de la loi est détaillée dans la partie 3, chapitre 2 de la loi de 2018 sur la protection des données (articles 35 à 44).Ces dispositions créent une exemption conditionnelle de la plupart des obligations du RGPD — y compris l'exigence d'une base légale, des droits des personnes concernées et de la notification des violations de données — lorsque le traitement est effectué à des fins journalistiques et le responsable du traitement estime raisonnablement que le respect de ces obligations serait incompatible avec ces fins.

L'article 36 de la loi de 2018 définit les objectifs journalistiques.Il s'agit notamment de la publication de tout matériel journalistique, académique, artistique ou littéraire. , ce qui englobe non seulement les organisations d'information traditionnelles, mais aussi les blogueurs, les journalistes citoyens et les cinéastes documentaires, à condition qu'ils soient engagés dans des activités analogues au journalisme. Les tribunaux irlandais n'ont pas encore donné une interprétation définitive de cette définition, mais les conseils du DPC et de la jurisprudence antérieure en vertu des lois de 1988/2003 suggèrent une approche fonctionnelle : ce qui importe, c'est la nature de l'activité, et non le statut de la personne. Par exemple, dans Mahony c. Belfry & Ors [2016] IEHC 563, la Haute Cour a reconnu un privilège qualifié pour un journaliste citoyen qui a publié un rapport sur une controverse locale en matière de planification, soulignant l'importance de protéger les rapports d'enquête.

Malgré ces dérogations, les journalistes doivent toujours respecter certaines exigences de base, documenter leur raisonnement pour appliquer l'exemption, maintenir la transparence des sources de données dans la mesure du possible et veiller à ce que le traitement soit proportionné.Le DPC a publié des orientations sur l'exemption de journalisme, qui exhorte les organisations de médias à adopter des politiques internes de protection des données et à effectuer des examens réguliers de conformité.

Impact sur le journalisme d'investigation

Le règlement prévoit des principes de minimisation des données, de limitation des finalités et de limitation du stockage des données, qui peuvent être incompatibles avec le caractère ouvert des enquêtes à long terme. Les journalistes ne savent peut-être pas à l'avance quelles données seront pertinentes ou combien de temps ils auront besoin pour les conserver. Par exemple, un journaliste qui enquête sur la corruption peut recueillir des milliers de courriels et de documents, dont beaucoup contiennent des données personnelles de personnes qui ne sont pas des personnalités publiques.

La plupart des traitements journalistiques reposent sur les intérêts légitimes ou l'exemption de l'intérêt public, mais les deux exigent un équilibre prudent. Le journaliste doit démontrer que le traitement est nécessaire et que les intérêts ou les droits fondamentaux de la personne concernée ne l'emportent pas sur l'intérêt public de l'histoire. Ce critère d'équilibre est particulièrement difficile lorsqu'il s'agit de signaler des personnes vulnérables, comme des dénonciateurs, des victimes de crime ou des enfants.

Accès aux documents publics et liberté de l'information

Les journalistes se fient souvent à la loi de 2014 sur la liberté d'information pour obtenir des documents gouvernementaux. Cependant, le RGPD a créé une nouvelle tension : les organismes publics peuvent refuser les demandes d'information au motif que la divulgation violerait les principes de protection des données. Le Bureau irlandais du Commissaire à l'information a traité de nombreux recours où l'argument principal est que la publication de documents contenant des données personnelles de tiers contreviendrait à l'article 6.1)f) RGPD (nécessaire pour les intérêts légitimes du responsable du traitement ou d'un tiers).

Pour y parvenir, les journalistes devraient se familiariser avec l'article 37 de la Loi sur l'information et la protection des renseignements personnels, qui prévoit une exemption spécifique pour les renseignements personnels, à moins que l'intérêt public de la divulgation ne l'emporte sur les droits à la vie privée de la personne. Le Commissaire à l'information a élaboré un critère d'intérêt public qui tient compte de facteurs tels que la gravité de la question, la question de savoir si la personne concernée est un agent public et s'il y a des preuves d'actes répréhensibles.

Protéger les sources à l'ère numérique

L'un des défis les plus aigus du RGPD est la protection des sources journalistiques. Le RGPD impose l'obligation de garder les données personnelles en sécurité, mais il accorde aussi aux personnes concernées le droit d'accéder à leurs propres données (article 15). Cela crée un paradoxe : une source pourrait théoriquement demander l'accès aux dossiers du journaliste pour voir quelles informations sont détenues à leur sujet, potentiellement exposer d'autres sources ou la direction de l'enquête.

Les journalistes irlandais adoptent de plus en plus des outils de communication sécurisés tels que les systèmes d'exploitation Signal, ProtonMail et Tails, mais les exigences légales de la loi de 2011 sur les communications (retention des données), qui a été jugée incompatible avec le droit de l'UE dans les arrêts [Tele2 Sverige et Watson[, continuent d'obliger les fournisseurs de télécommunications à conserver des métadonnées pendant deux ans au maximum. Les journalistes doivent donc supposer que leurs métadonnées pourraient être accessibles aux responsables de l'application des lois ou aux parties en litige dans les affaires de diffamation.Le gouvernement irlandais élabore actuellement une nouvelle législation pour remplacer la loi de 2011, mais l'incertitude subsiste.

Équilibrer la protection de la vie privée et l'intérêt public : cas concrets

La tension entre le droit à la vie privée et la liberté de la presse a été mise à l'épreuve dans plusieurs affaires irlandaises de grande envergure.L'une des plus importantes est Byrne c. RTÉ & Ors [2009] IESC 72, où la Cour suprême a estimé que le droit constitutionnel à la vie privée doit être équilibré par rapport au droit à la liberté d'expression et que l'intérêt public à divulguer certaines informations sur les fautes judiciaires l'emporte sur les préoccupations de la personne concernée en matière de vie privée.

Plus récemment, la Haute Cour a examiné si un journal pouvait être contraint de révéler l'identité d'un commentateur anonyme sur son site Internet. La Cour a appliqué le critère de la nécessité de l'article 8 (droit à la vie privée) de la Convention européenne des droits de l'homme et a conclu que le droit du journaliste de protéger la source n'a pas outrepassé le droit de l'individu défavorisé de découvrir l'identité de la personne responsable. L'affaire montre que l'exemption de journalisme ne protège pas toujours une source, surtout lorsque le commentaire n'est pas au cœur de l'activité de reportage.

Le DPC a déclaré que ces techniques pourraient violer le RGPD si le journaliste ne peut justifier le traitement nécessaire au journalisme.En 2019, une enquête menée par un radiodiffuseur irlandais sur des maisons de soins infirmiers a utilisé des caméras cachées; le rapport qui en a résulté a remporté des prix mais a également déclenché une enquête du DPC sur la question de savoir si le traitement des images des résidents vulnérables était proportionné.Le radiodiffuseur a soutenu avec succès que l'intérêt public à exposer les mauvaises soins l'emportait sur les droits à la vie privée des personnes qui ont été montrées seulement au passage, mais le cas souligne la nécessité de la proportionnalité.

Possibilités de journalisme éthique et digne de confiance

Si les défis sont considérables, les lois sur la protection des données offrent également aux journalistes irlandais la possibilité de renforcer leurs fondements éthiques. L'accent mis sur la transparence et la responsabilité s'harmonise avec les principes journalistiques d'honnêteté et d'ouverture. Les organisations de presse qui adoptent des politiques claires de traitement des données — par exemple, expliquant comment elles collectent, utilisent et conservent des données personnelles auprès de sources et de lecteurs — peuvent renforcer la confiance du public.

Les journalistes irlandais peuvent tirer parti de la loi sur la protection des données comme outil pour encourager un reportage responsable. Par exemple, lorsqu'une histoire implique des données personnelles d'une personne qui n'est pas une personne publique, le journaliste peut effectuer un test d'intérêt public - - - avant publication, en pesant le préjudice potentiel pour l'individu contre le bénéfice de la société.

Les salles de presse investissent dans des infrastructures numériques sécurisées, des plateformes de partage de documents chiffrées et des techniques de protection de la vie privée telles que la pseudonymisation des données dans la recherche préliminaire.La branche irlandaise de la Fédération internationale des journalistes a développé des modules de formation sur la protection des données pour les journalistes, couvrant des sujets tels que les formulaires de consentement pour les entretiens, le traitement des documents divulgués et la réponse aux demandes d'accès aux données.Ces compétences sont de plus en plus considérées comme essentielles pour le journalisme professionnel à l'ère numérique.

L'exigence d'une DPIA avant de procéder à un traitement à haut risque a également poussé les journalistes à réfléchir de manière critique à l'impact potentiel de leur travail. Par exemple, une équipe de données qui enquête sur la fraude sociale pourrait se rendre compte que leur base de données de demandeurs pourrait être vulnérable au piratage ou à l'utilisation abusive.

Mesures pratiques pour les journalistes irlandais

Pour naviguer efficacement dans le paysage de la protection des données, les journalistes irlandais devraient adopter une approche structurée qui intègre la conformité dans les flux de travail quotidiens.

  • Documenter l'intérêt public :[ Pour chaque enquête qui concerne des données personnelles, écrire une brève note expliquant pourquoi le traitement est nécessaire pour le journalisme et pourquoi l'intérêt public l'emporte sur les préoccupations de confidentialité.
  • Utilisez des outils de communication sécurisés : Cryptez les courriels utilisant PGP, utilisez des applications de messagerie avec un chiffrement de bout en bout (p. ex. Signal) et évitez de stocker des données sensibles sur des services cloud qui ne sont pas soumis à de solides politiques de confidentialité.
  • Mauvaise utilisation des données d'exécution:[ Ne collectez que les données personnelles absolument nécessaires à l'histoire. Par exemple, si une enquête concerne des enregistrements téléphoniques, demandez des enregistrements d'appels à des numéros spécifiques plutôt qu'à tous les appels.
  • Conduire des évaluations d'impact sur la protection des données:[ Avant de commencer un projet qui implique le traitement de données sensibles (santé, opinions politiques, données biométriques), utilisez le modèle DPC=S pour évaluer les risques et identifier les mesures d'atténuation.
  • Train staff regularly: Organiser des ateliers sur les bases du RGPD, l'exemption du journalisme et les mises à jour de la jurisprudence. Assurez-vous que les freelances et les stagiaires sont également conscients de leurs obligations.
  • Établir une politique de conservation des données:[ Définir la durée de conservation des différentes catégories de données — par exemple, les dossiers d'entrevue bruts peuvent être conservés pendant un an après la publication, tandis que les contrats avec les sources peuvent être conservés pendant six ans.
  • Répond à des demandes de la personne concernée rapidement: Si une personne dont les données figurent dans une histoire demande l'accès ou la suppression, le journaliste doit évaluer si l'exemption de journalisme s'applique. Si elle le fait, le journaliste doit en informer le demandeur par écrit, en expliquant pourquoi l'exemption est invoquée.

L'adoption de ces pratiques ne garantit pas l'immunité de contestation juridique, mais elle réduit considérablement le risque d'action en justice et démontre la bonne foi. Le DPC a indiqué qu'il adopte une approche pragmatique du journalisme, tant qu'il existe des preuves de la responsabilité du traitement des données.

L'avenir de la protection des données et du journalisme

Dans l'avenir, plusieurs évolutions vont encore façonner la relation entre la protection des données et le journalisme irlandais. Premièrement, la proposition de loi sur la gouvernance des données de l'UE et la loi sur les données, qui font partie de la stratégie européenne pour les données, visent à accroître le partage des données à des fins d'intérêt public, ce qui pourrait être utile aux journalistes.

L'utilisation de l'intelligence artificielle (IA) dans le journalisme est en croissance. Les outils d'IA pour la suppression de données, la production automatisée de contes et le processus d'analyse du public de grandes quantités de données personnelles. La loi proposée sur l'IA de l'UE classera de nombreuses utilisations journalistiques comme --haut risque -- s'ils impliquent le profilage des individus ou le traitement des données biométriques.

Troisièmement, le contexte de l'application de la loi devient plus rigoureux: le DPC a augmenté son personnel et a infligé des amendes records ces dernières années, dont 225 millions d'euros à WhatsApp en 2021 pour des manquements à la transparence; bien que cette affaire n'ait pas directement impliqué le journalisme, elle démontre que le DPC est disposé à imposer des sanctions substantielles pour non-respect du système; les journalistes devraient s'attendre à un examen plus approfondi des flux de données transfrontières, en particulier après le Brexit, car les transferts de données entre l'Irlande et le Royaume-Uni (devenu un pays tiers) nécessitent des garanties appropriées, telles que des clauses contractuelles types ou des règles d'entreprise contraignantes.

Enfin, le gouvernement irlandais examine la loi de 2009 sur la diffamation, qui interagit avec la protection des données dans les cas où la publication de faits privés est alléguée. Les réformes proposées peuvent introduire un seuil de préjudice grave semblable à la loi britannique, qui pourrait réduire l'effet fraicheur des plaintes de diffamation sur le journalisme d'investigation.

Conclusion

La loi sur la protection des données a fondamentalement modifié l'environnement dans lequel opèrent les journalistes irlandais. Le RGPD et la loi sur la protection des données de 2018 imposent des normes rigoureuses pour le traitement des données personnelles, mais elles prévoient également d'importantes exemptions qui protègent le rôle du journalisme dans une société démocratique. La clé pour les journalistes réside dans la compréhension approfondie de ces exemptions et leur application dans un respect à la fois de la loi et des impératifs éthiques de la profession. En adoptant la transparence, en investissant dans des technologies sûres et en documentant leur prise de décision, les journalistes irlandais peuvent continuer à détenir des comptes sans compromettre les droits individuels.