Art. 85 GDPR — Trattamento e libertà d’espressione e di informazione

Commento

Il bilanciamento con la libertà d'espressione

L'art. 85 GDPR disciplina il bilanciamento tra protezione dei dati e libertà d'espressione e di informazione. È nodo cruciale: la protezione dei dati non può comprimere la libertà di stampa, la libertà accademica, l'espressione artistica. Il par. 1 prevede che gli SM conciliino il diritto alla protezione dei dati con il diritto alla libertà d'espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria.

Conciliazione SM (par. 1)

Il par. 2 prevede che, per il trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli SM dispongano esenzioni o deroghe rispetto a: Capo II (principi), Capo III (diritti dell'interessato), Capo IV (titolare e responsabile), Capo V (trasferimenti), Capo VI (Autorità di controllo), Capo VII (cooperazione), e Capo IX (settoriali), ove necessarie per conciliare il diritto alla protezione dei dati con la libertà d'espressione e di informazione.

Deroghe per fini giornalistici (par. 2)

Le deroghe per finalità giornalistiche sono particolarmente importanti. I giornalisti devono poter raccogliere, conservare e diffondere informazioni anche di natura personale, nell'esercizio del loro ruolo di controllo democratico. La giurisprudenza CEDU e CGUE ha consolidato il bilanciamento: la libertà di stampa prevale frequentemente quando il dato è di interesse pubblico, l'identificazione è necessaria, la pubblicazione è proporzionata.

Espressione accademica, artistica, letteraria

L'espressione accademica, artistica, letteraria gode di deroghe analoghe. La ricerca scientifica e umanistica può richiedere uso di dati personali; arte e letteratura possono trattare biografie reali; espressioni satiriche e critiche possono nominare persone. Il bilanciamento è caso per caso. La libertà accademica è anche tutelata dalla Carta UE (art. 13).

In Italia: regole deontologiche del Garante

In Italia, l'art. 137 D.Lgs. 196/2003 disciplina il trattamento per finalità giornalistiche. Il Garante ha approvato il Codice deontologico dei giornalisti, che disciplina identificazione e tutela di vittime, minori, casi di particolare riservatezza. La giurisprudenza Cassazione e Garante hanno consolidato un equilibrio: identificazione del nome solo se necessario, pseudonimizzazione di vittime, attenzione per minori e categorie particolari.

Casi paradigmatici e archivi storici

Casi paradigmatici includono: inchieste giornalistiche su personaggi pubblici (prevalenza libertà di stampa); pubblicazione di nomi di vittime (cautela e proporzionalità); archivi giornalistici online (bilanciamento con diritto all'oblio ex art. 17); ricerche storiche su persone identificabili (deroghe ex art. 89 + art. 85). Il diritto all'oblio è frequente fronte di conflitto: la giurisprudenza CGUE (Google Spain, GC C-136/17) ha precisato i criteri.

Regola pratica e checklist operativa

Compliance art. 85: per giornalisti: rispetto del Codice deontologico, pseudonimizzazione, valutazione caso per caso. Per editori: gestione richieste di deindicizzazione con bilanciamento documentato. Per ricercatori: garanzie ex art. 89, comitato etico.

Accountability e documentazione

Tutti gli adempimenti relativi a questa disposizione devono essere documentati ai fini del principio di accountability di cui all'art. 5, par. 2 GDPR: integrazione nel registro dei trattamenti (art. 30), valutazione del rischio in DPIA quando applicabile (art. 35), formazione del personale autorizzato al trattamento (art. 29), audit periodici e tracciamento delle decisioni. Le sanzioni amministrative di cui all'art. 83 GDPR e la responsabilità civile dell'art. 82 presuppongono la dimostrazione, da parte del titolare, di aver adottato misure tecniche e organizzative adeguate. La consulenza del DPO, ove designato, è strumento prezioso per la corretta declinazione operativa.

Coordinamento con il Codice Privacy italiano

L'applicazione di questa disposizione in Italia avviene in coordinamento con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018 di adeguamento al GDPR. Il Codice integra il Regolamento europeo nelle materie specifiche lasciate alla discrezionalità degli Stati membri: lavoro (art. 88 D.Lgs. 196/2003), sanità (artt. 75 ss.), ricerca scientifica e statistica (artt. 99-110), giornalismo (art. 137), archivi (artt. 99-103), trattamento di categorie particolari (art. 2-septies), dati di condanne penali (art. 2-octies), limitazioni (art. 2-undecies). I provvedimenti generali e le regole deontologiche approvati dal Garante per la protezione dei dati personali hanno valore precettivo e devono essere considerati. La giurisprudenza della Cassazione e del Tribunale di Roma (competente per ricorsi ex art. 152 D.Lgs. 196/2003) ha consolidato la prassi interpretativa nazionale, coerente con la giurisprudenza CGUE. Per il consulente privacy, l'approccio sistematico richiede integrazione di GDPR, Codice Privacy e provvedimenti del Garante in un framework unitario di compliance.