La Cour de justice de l’Union européenne (CJUE) a rendu le 14 février 2019 une décision sur l’application de l’exception journalistique en matière de protection des données à caractère personnel à propos d’une personne ayant filmé, puis diffusé sur Internet, son interrogatoire par la police.

 

L’affaire (Arrêt Buivids du 14 février 2019, C 345/17) en cause porte sur des faits antérieurs au RGPD. Elle concerne l’application de la directive 95/46 abrogée depuis lors, et en particulier son considérant 37 et son article 9,  en ce qu’ils  visent à organiser les dérogations à l’application de certaines règles sur la protection des données à caractère personnel dans l’exercice de la liberté d’expression.

La CJUE a été saisie de deux questions préjudicielles dans le cadre d’un litige concernant un particulier qui avait filmé son interrogatoire dans les locaux de la police, puis diffusé ces images sur Internet via la plateforme Youtube. Condamné par l’autorité nationale de protection des données à caractère personnel de Lettonie  pour violation des règles y afférentes, l’intéressé conteste cette décision  devant les juridictions administratives lettones en faisant valoir qu’il souhaitait, par ce procédé, dénoncer certaines pratiques de la police.

La Cour suprême de Lettonie a  ainsi  saisi la CJUE de deux questions préjudicielles portant, d’une part sur la qualité de traitement de données personnelles du film ainsi diffusé, d’autre part sur le fait qu’il relève ou pas de l’exception journalistique.

En répondant à ces questions, la CJUE éclaire l’exception liée aux activités de journalisme telle que prévue par la directive, laquelle trouve un intérêt particulier au regard de l’application du RGPD.

La diffusion de ladite vidéo constitue-t-elle un traitement de données à caractère personnel au sens de la directive ?

La Cour rappelle sa jurisprudence selon laquelle :

 

  • l’image d’une personne enregistrée par une caméra constitue une donnée à caractère personnel au sens de la directive 95/46 (arrêt du 11 décembre 2014, Ryneš, C 212/13, EU:C:2014:2428).

  • elle a eu l’occasion de retenir que, dans le cadre d’un système de vidéo-surveillance, un enregistrement vidéo des personnes, stocké dans un dispositif d’enregistrement continu, tel que le disque dur de ce système, constitue un traitement de données à caractère personnel automatisé (arrêt du 11 décembre 2014, Ryneš, C 212/13, EU:C:2014:2428).

  • le fait de faire figurer des données à caractère personnel sur une page Internet constituait également un traitement de données à caractère personnel.

 

La CJUE conclut en conséquence que le fait de publier la vidéo montrant les policiers réalisant un interrogatoire relève bien du champ d’application de la directive, sa diffusion sur Internet, via une plateforme publique, ne la faisant pas relever du champ de l’usage exclusivement domestique tel que prévu à l’article 3.2 de la directive 95/46.

La publication de cette vidéo constitue-t-elle une activité de journalisme au sens de la directive ?

La CJUE rappelle que la réglementation sur la protection des données à caractère personnel vise à protéger les libertés et droits fondamentaux des personnes, notamment la vie privée. Elle doit, pour autant, être conciliée avec d’autres droits fondamentaux, dont la liberté d’expression. Le considérant 37 de la directive envisage à cet égard “les fins de journalisme ou d’expression artistique ou littéraire“.

Dans sa décision, la CJUE fait application de sa méthode constante d’interprétation du texte à la lumière des objectifs poursuivis et retient, en l’espèce, une acceptation large de la notion de “fins de journalisme” en retenant que le fait d’avoir publié cet enregistrement  sur le site www.youtube.com ne saurait en soi, ôter à ce traitement la qualité d’avoir été effectué “aux seules fins de journalisme“.

Qu’en serait-il en droit français sous l’empire de la directive de 95/46, puis du RGPD ?

L’article 67 de la loi Informatique et libertés du 6 janvier 1978, dans sa version antérieure au RGPD,  prévoit que certaines règles sur la protection des données à caractère personnel “ne s’appliquent pas aux traitements de données à caractère personnel mis en œuvre aux seules fins […] d’exercice, à titre professionnel, de l’activité de journaliste, dans le respect des règles déontologiques de cette profession“. Ainsi, deux conditions cumulatives écarteraient l’application du dispositif relatif à la protection des données à caractère personnel : l’exercice à titre professionnel de l’activité de journaliste et le respect de la déontologie de la profession.

Le dispositif actuel, issu de l’introduction du RGPD semble aller dans le même sens,  le considérant 153 prévoyant notamment une  dérogation  dans un contexte “uniquement à des fins journalistiques” et l’article 85 prévoit des dérogations pour les Etats membres “si celles-ci sont nécessaires pour concilier le droit à la protection des données à caractère personnel et la liberté d’expression et d’information“. La nouvelle loi  française maintient en outre la rédaction issue de la réforme de 2004, dont la double restriction liée à la profession de journaliste et au respect de la déontologie. Elle appliquerait en cela plus largement le dispositif relatif à la protection des  des données personnelles que la CJUE, laquelle n’apporte pas de  précision sur les éventuels critères qui pourraient être ajoutés par  les Etats membres à ce principe dérogatoire.

Odile Jami-Caston, juriste experte, directrice du pôle Data Privacy & RGPD Compliance et Mathieu Vincens, juriste

Nous contacter