Decreto legislativo - 30/06/2003 - n. 196 art. 139 - (Regole deontologiche relative ad attività giornalistiche). 1

Bilanciamento con il diritto alla protezione dei dati personali

Sul piano sistematico, l'esercizio del diritto di cronaca e in senso più ampio del diritto di manifestare il pensiero si collocano in una posizione naturalmente antagonista rispetto alla pretesa di riservatezza dei terzi oggetto della notizia. Ciò impone un bilanciamento di diritti, che è da sempre improntato (cfr. art. 9 abrogata dir. 95/46/CE) nel senso di un favor per l'informazione e la manifestazione del pensiero, che del resto rischierebbero altrimenti di essere svuotate di contenuto. Il Regolamento conferma tale impostazione con nettezza, tanto è vero che il diritto di cronaca e le altre espressioni di pensiero tutelate sono oggetto di previsioni di parte speciale che pongono sugli Stati membri non il potere ma l'obbligo di introdurre deroghe alla disciplina del Regolamento (art. 85.2 GDPR: «Gli Stati membri prevedono esenzioni o deroghe», in inglese «shall provide for exemptions or derogations»).

Ambito soggettivo della deroga

L'ambito soggettivo appare ampliato rispetto al passato. Se è infatti vero che, come in precedenza, fruiscono della deroga non solo i giornalisti, ma anche i pubblicisti, gli iscritti all'elenco dei praticanti (artt. 26 e 33 l. n. 69/1963) e, in senso generale, chiunque, non giornalista o pubblicista, manifesti il proprio pensiero, e pubblichi saggi e articoli (al limite, dunque anche il semplice autore di post o di commenti online), va precisato che sono state eliminate ambiguità interpretative sussistenti in precedenza. La lett. c) dell'art. 136 riguarda infatti il trattamento: «[temporaneo] finalizzato esclusivamente alla pubblicazione o diffusione anche occasionale di articoli, saggi e altre manifestazioni del pensiero anche nell'espressione accademica, artistica e letteraria». L'eliminazione dell'aggettivo «temporaneo» e soprattutto l'inserimento della congiunzione «anche», sopra evidenziata in grassetto, ottengono l'effetto di considerare estesa la garanzia, senza più bisogno di sottigliezze interpretative, a chi, pur non iscritto ad albi, pubblichi sì contributi anche non occasionalmente ma su base regolare, es. il blogger. Con ciò diviene verosimilmente pleonastico l'avverbio «esclusivamente». Il riferimento all'espressione non solo «artistica» ma anche «accademica» e «letteraria» ricalca l'identica formulazione dell'art. 85 GDPR. Nulla aggiunge comunque sul piano sostanziale, come reso manifesto dall'ulteriore congiunzione «anche» («manifestazioni di pensiero anche nell'espressione accademica, artistica e letteraria»).

Per completare l'analisi del profilo soggettivo rispetto alle regole deontologiche A.1, giova notare che il primo comma dell'art. 136 dichiara fruibile l'intero titolo XII cod. privacy (dunque anche l'art. 139 in materia di regole deontologiche) da tutte le categorie di soggetti contemplate dallo stesso art. 136. Inoltre, l'art. 13 delle regole deontologiche indica che le stesse «si applicano ai giornalisti professionisti, pubblicisti e praticanti e a chiunque altro, anche occasionalmente, eserciti attività pubblicistica».

Tuttavia, per una lettura delle disposizioni nazionali in commento in linea con l'art. 85 GDPR, va precisato che quest'ultimo, mentre al primo paragrafo contempla la tutela di qualsiasi espressione, ammette il vasto apparato di deroghe agli istituti del GDPRsolo rispetto al gruppo più definito di trattamenti per scopi giornalistici o di espressione accademica, artistica o letteraria. Deve dedursene che non tutte le categorie di soggetti menzionati all'art. 136 cod. priv. può fruire delle limitazioni al Regolamento.

Il Garante, nei termini (oggi confermati e ampliati) della precedente disciplina ha rilevato che: «in ordine allo specifico trattamento di dati oggetto del ricorso, al fine di contemperare i diritti della persona (in particolare il diritto alla riservatezza) con la libertà di manifestazione del pensiero, la disciplina in materia di protezione dei dati personali prevede specifiche garanzie e cautele nel caso di trattamenti effettuati per finalità giornalistiche o ad esse equiparate, confermando la loro liceità, anche laddove essi si svolgano senza il consenso degli interessati, purché avvengano nel rispetto dei diritti, delle libertà fondamentali e della dignità delle persone alle quali si riferiscono i dati trattati [...]» e, in particolare, che «detta disciplina risulta applicabile anche al blog ideato e alimentato dal resistente, la cui attività e caratteristiche lo collocano nell'ambito della fattispecie disciplinata dagli artt. 136 ss. del Codice che estende l'applicazione delle disposizioni concernenti il trattamento dei dati personali in ambito giornalistico anche ad ogni altra attività di manifestazione del pensiero implicante trattamenti di dati personali, effettuata da soggetti anche non esercitanti professionalmente l'attività giornalistica» (Provvedimento GPDP, 27 gennaio 2016 [4747581], a proposito di un ricorso amministrativo, dichiarato infondato, volto a conoscere l'origine dei dati personali pubblicati su un blog, in relazione a un articolo avente ad oggetto vicende sentimentali e giudiziarie della ricorrente, che ne chiedeva altresì la rimozione per trattamento illecito. Va solo precisato che oggi lo strumento sarebbe quello del reclamo e trova comunque applicazione la diversa disciplina desumibile dai primi due paragrafi dell'art. 85 GDPR).

Ambito oggettivo: deroga al consenso

L'ambito derogato dal legislatore italiano riguarda una serie di specifici istituti. Innanzitutto quello del consenso ai sensi degli artt. 9 e 10 GDPR, a condizione che siano osservate le regole deontologiche. La deroga vigeva anche in passato (art. 137 testo pre-novella) e riflette in modo palese una visione “consenso-centrica”, incompatibile con il GDPR, che il legislatore nazionale non è riuscito ancora ad abbandonare nel d.lgs. n. 101/2018. La ratio della previsione è chiara e condivisibile: se si sottoponessero l'attività di cronaca e quelle assimilate al consenso di coloro a cui la notizia si riferisce, ne risulterebbe bloccata ogni esigenza d'informazione. Quello che semmai non si comprende è perché mai ipotizzare, tra le sei basi dell'art. 6 GDPR, proprio quella del consenso. Occorre notare che l'assetto eurounitario consente al legislatore nazionale di scriminare completamente l'individuazione della base giuridica, ai sensi dell'art. 85, par. 2 GDPR, previsione che estende per vero la possibilità di deroga all'intero Capo II GDPR, talché la vera base del trattamento di dati sensibili e giudiziari (venendo ora a queste categorie di informazioni) per finalità giornalistiche può essere rintracciata in ultima analisi proprio in tale norma, da ritenere implicitamente richiamata all'art. 137.1 cod. priv.. In definitiva cioè, il trattamento dei dati sensibili e giudiziari poggia sul combinato disposto di una delle basi dell'art. 6 GDPR, di preferenza quella del legittimo interesse, art. 6, par. 1, lett. f )GDPR o al limite quella dell'esecuzione di un compito di interesse pubblico, art. 6.1, lett. e )GDPR, con l'art. 137.1 cod. privacy, giusta la menzionata deroga permessa (ma solo per determinati tipi di finalità di espressione del pensiero) dal secondo paragrafo dell'art. 85 GDPR. Quanto ai dati comuni, potranno essere trattati su una qualunque delle basi di cui all'art. 6 GDPR, purché pertinente.

Coordinamento con l'art. 2-septies

Ulteriore deroga, contemplata all'art. 137, co. 2, lett. a), riguarda l'art. 2-septies cod. privacy. Rende dunque lecito per il giornalista e i soggetti assimilati ex art. 136 cod. privacy trattare dati relativi alla salute, genetici, biometrici senza bisogno di osservare le misure di garanzia prescritte dal Garante, e soprattutto permette di diffondere tali dati, superando il divieto espresso altrimenti contenuto all'ottavo comma di tale articolo; trovano comunque applicazione le regole generali anche deontologiche che devono assistere l'attività del giornalista e ne costituiscono condizione di liceità. La soluzione, rispetto ai dati sulla salute è certamente in linea con l'assetto costituzionale e con le garanzie riconosciute al giornalista da CDFUE e CEDU, mentre appaiono meno nette le ragioni che hanno portato a scriminare la diffusione di dati genetici, la cui precisa ostensione al pubblico sembra necessitata solo in casi limite, ben potendo l'attività giornalistica anche rispetto a vicende che coinvolgano dati genetici essere soddisfatta altrimenti. Ugualmente, non sono perspicue le motivazioni che hanno portato all'esclusione tout court della diffusione di dati biometrici. Soccorrono comunque le regole generali, in particolare quelle dell'art. 5 GDPR, a segnare di volta in volta la misura di quanto è consentito o non consentito.

Deroga per i trasferimenti verso Paesi terzi non adeguati

Altra deroga concerne l'intero Capo V del Regolamento relativo al trasferimento dei dati personali extra UE, cfr. art. 137, comma 2, lett. b) cod. privacy. La previsione non costituisce una novità, era prevista mutatis mutandis anche nel testo pre-GDPR. La ratio è chiara e condivisibile: limitazioni connesse con la diffusione geografica dei dati personali sarebbero incompatibili con il pieno esercizio dell'attività giornalistica e di quelle assimilate ex art. 136 cod. privacy.

Va ricordato che la mera pubblicazione online di una notizia non costituisce di per sé trasferimento all'estero dei dati personali in essa contenuti, come chiarito da CGUE 6 novembre 2003, C-101/01, Lindqvist, punto 70.

Limitazione dell'obbligo di informativa e regole deontologiche

La limitazione dell'obbligo di fornire l'informativa costituisce ovviamente un passaggio rilevantissimo, in quanto l'osservanza di questo adempimento può in concreto frustrare lo svolgimento dell'attività giornalistica. La limitazione non è contenuta nel Codice privacy, è tuttavia presente nelle regole deontologiche in materia di trattamento nell'esercizio della professione giornalistica A.1, pubblicate dal Garante ai sensi dell'art. 20, comma 4, d.lgs. n. 101/2018, cfr. GDPD, 29 novembre 2018 [9067692]. Le regole, oggetto di specifico commento in quest'opera, costituiscono un adattamento, ampiamente conservativo, del precedente codice deontologico e la loro osservanza integra condizione di liceità per il trattamento di dati sensibili e giudiziari, ai sensi dell'art. 137, comma 1 cod. privacy. Per vero, costituiscono condizioni di liceità anche rispetto al trattamento di dati comuni. La limitazione in parola è, in particolare, contenuta all'art. 2, comma 1 delle regole di deontologia, che dispone: «Il giornalista che raccoglie notizie per una delle operazioni di cui all'art. 4, n. 2, del Regolamento rende note la propria identità, la propria professione e le finalità della raccolta salvo che ciò comporti rischi per la sua incolumità o renda altrimenti impossibile l'esercizio della funzione informativa; evita artifici e pressioni indebite. Fatta palese tale attività, il giornalista non è tenuto a fornire gli altri elementi dell'informativa di cui agli artt. 13 e 14 del Regolamento». Preme evidenziare tre elementi fondamentali: i) la limitazione in parola si applica solo in casi eccezionali, ove cioè sussistano le menzionate circostanze impeditive; ii) negli altri casi, il giornalista deve comunque identificarsi, palesarsi come giornalista, chiarire le finalità del trattamento; iii) una parte sostanziale degli apporti informativi omessi è recuperabile con richiesta di accesso ai sensi dell'art. 15 GDPR.

Limitazione al diritto di accesso

Infine, ai sensi dell'art. 138 cod. privacy, è limitato l'esercizio pieno del diritto di accesso, nella misura in cui sia volto a conoscere l'origine della notizia, vale a dire limitatamente alla sola lett. g) del paragrafo 1 dell'art. 15 GDPR, fermo quindi restando l'obbligo del giornalista di fornire ogni altra informazione prevista dalla disposizione eurounitaria. Si protegge con ciò la fonte del giornalista. Occorre precisare tuttavia che non sussistono automatismi applicativi. Si osserva infatti la previsione dell'art. 2 l. n. 69/1963. L'art. 138 va letto in combinato disposto con l'art. 2.3 delle Regole deontologiche A.1: «Gli archivi personali dei giornalisti, comunque funzionali all'esercizio della professione e per l'esclusivo perseguimento delle relative finalità, sono tutelati, per quanto concerne le fonti delle notizie, ai sensi dell'art. 2 della l. n. 69/1963 e dell'art. 14, par.5, lett. d), del Regolamento, nonché dell'art. 138 del Codice». Più precisamente, l'art. 2 l. n. 69/1963 dispone, per la porzione che qui interessa: «Giornalisti e editori sono tenuti a rispettare il segreto professionale sulla fonte delle notizie, quando ciò sia richiesto dal carattere fiduciario di esse». Non dunque il riscontro a qualsiasi richiesta di accesso alla fonte della notizia deve ritenersi precluso, ma solo quello a fonti connotate da carattere fiduciario. In concreto sarà il giornalista, nel riscontro al diritto di accesso, a opporre all'interessato tale carattere fiduciario.

L'art. 138, nonostante le estensioni soggettive operate al primo comma dell'art. 136, suscita perplessità applicative fuori dallo stretto contesto degli esercenti la professione di giornalista e dei pubblicisti non occasionali (in virtù della lettura dell'art. 138 alla luce dell'art. 2 l. n. 69/1963), venendo propriamente in considerazione un segreto professionale.

Decalogo del giornalista ed essenzialità dell'informazione

I criteri da osservare nell'esposizione della notizia, nei cui termini si considera legittima la compressione dell'altrui diritto alla protezione dei dati personali, non sono precisati dall'art. 137, comma 3 cod. privacy, che si limita a richiamare i «limiti del diritto di cronaca». Sarà comunque possibile fare riferimento in proposito alla ben nota sintesi giurisprudenziale conosciuta come il “decalogo del giornalista” (tracciata per la prima volta da Cass. I, n. 5259/1984), che ha enucleato i tre criteri della: verità della notizia, anche putativa, purché frutto di un serio e diligente lavoro di ricerca da parte del giornalista; dell'utilità sociale della stessa; della continenza espressiva, vale a dire il rispetto di una forma civile nell'espressione dei fatti. Ai tre criteri va aggiunto un quarto, quello dell'essenzialità dell'informazione, richiamato dagli artt. 137, comma 3 cod. privacy e, più ampiamente, all'art. 6 delle Regole deontologiche. L'essenzialità dell'informazione non è altro che una declinazione del principio generale di minimizzazione di cui all'art. 5.1.c) GDPR. Per vero, risulta, talvolta, arduo distinguere l'essenzialità dall'utilità sociale, ma può soccorrere il criterio (di massima) secondo il quale non tutto ciò che risponde a un'utilità conoscitiva della collettività è per ciò stesso necessariamente essenziale ai fini dell'informazione da veicolare. In definitiva, l'essenzialità dell'informazione è costruita in stretta relazione con la notizia, l'utilità sociale in relazione con la più ampia e generale esigenza conoscitiva avvertita dai destinatari della notizia.

Il “decalogo” è stato oggetto nel tempo di solida conferma giurisprudenziale (cfr., ex multis, Cass. III, n. 25739/2014; Cass. III, n. 18264/2014; Cass. III, n. 4603/2008; Cass. III, n. 1205/2007) ed è fermo nell'esperienza applicativa del Garante (cfr., ex multis, GPDP 3 maggio 2007 [1408971]).

Fatti e circostanze resi pubblici dall'interessato

Come in passato, la circostanza di avere direttamente reso noti circostanze o fatti costituisce, anche a prescindere da altre considerazioni, scriminante per i terzi, che potranno riportare quei fatti e circostanze quali oggetti di informazione giornalistica o di manifestazioni del pensiero assimilate. La notorietà deve essere intesa come conoscibilità della condotta all'interno di uno spazio pubblico, fisico o virtuale, escludendosi confidenze particolari o ristrette, ossia contesti nei quali sia implicita un'attesa di riservatezza. È fondamentale che la pubblica conoscenza derivi da un comportamento diretto, sia cioè posta in essere dall'interessato, e non mediato, mentre non è dirimente l'intenzionalità specifica. Va ricordato che l'art. 9, par. 2, lett. e) GDPR consente in linea generale, ossia anche al di fuori del contesto giornalistico o assimilato qui considerato, il trattamento di dati personali «resi manifestamente pubblici dall'interessato». Ciò sarà a fortiori vero per il trattamento dei dati comuni, che potrà essere ricondotto alla base del legittimo interesse, ex art. 6.1.f) GDPR.

In una vicenda relativa a dichiarazioni rese direttamente a giornalisti televisivi, il Garante, «rilevato [...] che la diffusione dei dati personali del reclamante, compresa la sua immagine [...] va ricondotta anche alle dichiarazioni rese pubblicamente dallo stesso e documentate dallo stesso servizio de “XX” cui l'interessato fa riferimento (art. 137, comma 3 in base al quale «Possono essere trattati i dati personali relativi a circostanze o fatti resi noti direttamente dagli interessati o attraverso loro comportamenti in pubblico»)» ha riconosciuto infondato un reclamo recante doglianze in merito alla divulgazione giornalistica di notizie, cfr. GPDP, provv. 20 giugno 2019 [9123578].

In altra vicenda più risalente relativa all'affissione su una pubblica via di un manifesto nel quale si dava atto dell'espulsione di alcuni componenti di un'associazione, che avevano poi segnalato la circostanza al Garante, l'autorità di controllo ha rilevato che «[...] la menzionata affissione, considerato anche il contesto locale circoscritto e il momento storico in cui è avvenuta, risulta essere stata effettuata dal circolo nel perseguimento di un legittimo interesse alla trasparenza e alla corretta informazione degli appartenenti alla compagine locale e che le modalità utilizzate, tenuto conto delle attuali risultanze istruttorie, non risultano concretamente sproporzionate. Infatti, benché la menzionata affissione abbia avuto ad oggetto un comunicato che, per le informazioni ivi contenute (correlate ad un provvedimento espulsivo da un'associazione a carattere notoriamente politico), risulta fisiologicamente idoneo a rivelare “le opinioni politiche” delle segnalanti, nonché la loro “adesione a [...] associazioni od organizzazioni a carattere [...] politico” [...], deve tuttavia evidenziarsi che la medesima affissione risulta effettuata nell'ambito di una pubblicazione di una manifestazione del pensiero prevista e disciplinata, sotto il profilo della protezione dei dati personali, dagli artt. 136 e ss. del Codice. In proposito, vale sottolineare che l'appartenenza politica delle segnalanti [...] risultava già nota presso l'opinione pubblica locale di un piccolo Comune per effetto della loro militanza “pregressa” [...] e delle cariche dalle medesime rivestite all'interno dell'organizzazione al momento della loro espulsione; ne consegue che i dati personali relativi alla loro appartenenza politica potevano essere lecitamente trattati dal circolo, nel caso di specie e per le finalità sopra richiamate, in base all'art. 137, comma 3, del Codice (che, in caso di diffusione di dati personali derivante dalla pubblicazione di manifestazioni del pensiero, riconosce la facoltà di trattare informazioni relative a circostanze o fatti resi noti direttamente dagli interessati o attraverso loro comportamenti in pubblico)», cfr. GPDP, provv. 23 dicembre 2010 [1784951].