La décision analyse la délicate conciliation entre la liberté d'expression à des fins journalistiques et le droit à la protection des données, en précisant que la publication d'un document nominatif n'est licite que si elle est strictement nécessaire à l'information du public, ce qui n'est pas le cas lorsque des alternatives moins intrusives comme l'anonymisation sont possibles.

Faits et contexte

L'autorité belge de protection des données (APD) a aujourd'hui publié une décision prononçant une réprimande à l'encontre d'un organe de presse pour des manquements en lien avec la publication en ligne d'un acte de naissance non anonymisé.

L'affaire trouve son origine dans la plainte d'une personne dont l'acte de naissance a été publié le 16 décembre 2023 en illustration d'un article de presse portant sur des adoptions potentiellement illégales, révélant ainsi publiquement son adoption.

Motifs de la décision

• Obligation de licéité du traitement (article 5, paragraphe 1, point a) du RGPD et article 6 du RGPD) : L'autorité a examiné la base juridique de l'intérêt légitime invoquée par le défendeur au titre de l'article 6, paragraphe 1, point f) du RGPD. Bien qu'elle reconnaisse que l'information du public dans le cadre d'un débat de société constitue un intérêt légitime, elle a conclu que la condition de nécessité n'était pas remplie. La publication de l'acte de naissance identifiable n'était pas indispensable pour atteindre l'objectif journalistique, qui aurait pu être réalisé par des moyens moins intrusifs, comme une anonymisation efficace du document. En outre, l'autorité a jugé la mise en balance des intérêts défaillante, le défendeur n'ayant pas correctement pris en compte l'impact grave sur la vie privée du plaignant et ayant assimilé à tort ses intérêts à ceux de l'Église catholique.

• Obligation de minimisation des données (article 5, paragraphe 1, point c) du RGPD) : En lien direct avec le défaut de nécessité, l'autorité a estimé que le principe de minimisation des données avait été violé. En publiant une image lisible de l'acte de naissance, le responsable du traitement a traité des données personnelles (noms du plaignant, de sa mère biologique et de ses parents adoptifs) qui n'étaient pas adéquates, pertinentes et limitées à ce qui était nécessaire au regard de la finalité journalistique poursuivie.

• Application de l'exception journalistique (article 85 du RGPD) : L'autorité a reconnu que le traitement était effectué à des fins journalistiques. Cependant, elle a rappelé que l'exception prévue par l'article 85 du RGPD et transposée en droit belge n'est pas absolue. Elle requiert une conciliation entre le droit à la protection des données et la liberté d'expression. Cette conciliation, qui doit respecter la déontologie journalistique, ne permet pas de déroger aux principes fondamentaux du RGPD, notamment celui de la licéité du traitement, lorsque la publication des données identifiantes n'est pas strictement nécessaire.

Décision de l'autorité

En conséquence, l'autorité a prononcé une réprimande à l'encontre de l'organe de presse, en application de l'article 58, paragraphe 2, point b) du RGPD.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet, après l'avoir anonymisée.

Enseignements

Cette décision rappelle que :

• L'exception journalistique prévue à l'article 85 du RGPD n'est pas absolue et impose une mise en balance rigoureuse entre la liberté d'expression et le droit à la protection des données, en tenant compte de la déontologie professionnelle.
• La publication de données personnelles identifiantes à des fins journalistiques sur la base de l'intérêt légitime doit satisfaire à un critère de nécessité stricte ; si l'objectif d'information du public peut être atteint par des moyens moins intrusifs (anonymisation, floutage), la publication des données non modifiées est illicite.
• Le fait qu'un document contenant des données personnelles soit publié en petite taille ne constitue pas une mesure de protection suffisante si un simple agrandissement (zoom) par le lecteur permet de le rendre lisible.
• Lors de la mise en balance des intérêts au titre de l'article 6, paragraphe 1, point f) du RGPD, l'analyse doit se concentrer sur les droits et intérêts fondamentaux de la personne concernée, sans lui prêter des intentions ou des affiliations qui ne sont pas les siennes.