Article 85 RGPD : liberté d'expression et journalisme

L’article 85 du RGPD est l’un des textes les plus politiques du règlement. Il commande aux États membres de concilier par la loi la protection des données avec la liberté d’expression — c’est-à-dire de trancher l’un des conflits constitutionnels les plus structurants des démocraties européennes. En France, cette conciliation prend la forme de l’article 80 de la loi Informatique et Libertés, qui exonère les traitements journalistiques, artistiques, littéraires et universitaires d’une part substantielle du droit commun du RGPD. Mais cette exonération n’est ni absolue ni automatique : elle repose sur une qualification stricte de l’activité, une mise en balance casuistique au cas par cas, et un corpus jurisprudentiel européen exigeant (Satakunnan, Buivids, Couderc, Axel Springer). Voici la lecture paragraphe par paragraphe, la transposition française, la cartographie des dérogations applicables, la jurisprudence structurante et le plan opérationnel pour 2026.

Ce que dit l’article 85 du RGPD

L’Art. 85 RGPD s’intitule « Traitement et liberté d’expression et d’information ». Il ouvre le chapitre IX du règlement consacré aux situations particulières de traitement, dont j’ai déjà commenté l’Art. 87 RGPD sur le NIR, l’Art. 88 RGPD sur les relations de travail et l’Art. 89 RGPD sur la recherche et l’archivage.

L’article compte trois paragraphes. Le paragraphe 1 pose le principe : « Les États membres concilient, par la loi, le droit à la protection des données à caractère personnel au titre du présent règlement et le droit à la liberté d’expression et d’information, y compris le traitement à des fins journalistiques et à des fins d’expression universitaire, artistique ou littéraire. » Il s’agit d’une obligation positive de légiférer, qui marque le caractère non-autosuffisant du RGPD sur cette question — le règlement renvoie au droit national pour l’arbitrage final.

Le paragraphe 2 énumère les chapitres du RGPD auxquels les États membres peuvent déroger pour assurer cette conciliation : chapitre II (principes Art. 5-11), chapitre III (droits Art. 12-23), chapitre IV (responsable et sous-traitant Art. 24-43), chapitre V (transferts Art. 44-49), chapitre VI (autorités de contrôle Art. 51-59), chapitre VII (coopération et cohérence Art. 60-76) et chapitre IX (situations particulières Art. 85-91). Sont en revanche non-dérogeables : le chapitre I (dispositions générales), le chapitre VIII (voies de recours, responsabilité et sanctions Art. 77-84) et le chapitre X (actes délégués). En clair, un éditeur de presse français reste exposé à l’Art. 82 RGPD sur la réparation civile, à l’Art. 83 RGPD sur les sanctions administratives et à l’Art. 84 RGPD sur les sanctions pénales, même s’il bénéficie d’exemptions sur les principes et les droits.

Le paragraphe 3 impose aux États membres de notifier à la Commission les dispositions légales adoptées en application du paragraphe 2. Cette obligation de transparence vise à permettre le suivi de la cohérence européenne — sachant que les régimes nationaux varient considérablement (Suède très libérale, Allemagne plus restrictive, France intermédiaire).

Le considérant 153 éclaire l’esprit du texte : il rappelle que la notion de journalisme doit être interprétée « de manière large pour tenir compte de l’importance du droit à la liberté d’expression dans toute société démocratique » et qu’elle couvre les activités exercées par des journalistes professionnels comme par des amateurs. Cette extension large est aujourd’hui acquise en jurisprudence européenne — j’y reviens.

Le cadre français : article 80 de la loi Informatique et Libertés

La France a transposé l’Art. 85 dans l’article 80 de la LIL (loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2018-493 du 20 juin 2018 et l’ordonnance n° 2018-1125 du 12 décembre 2018). Le texte pose une règle d’exception structurée :

« Les traitements de données à caractère personnel mis en œuvre aux seules fins d’expression journalistique, universitaire, artistique ou littéraire sont soumis aux dispositions du présent titre, sous réserve des dispositions suivantes. »

Suit une liste précise des articles du RGPD et de la LIL rendus inapplicables aux traitements journalistiques :

• Art. 8 RGPD (consentement des mineurs) ;
• Art. 9(1) RGPD (interdiction des données sensibles) — l’Art. 9(2)(f) autorisant les traitements nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice s’efface devant le régime de l’Art. 85 pour le journalisme ;
• Art. 10 RGPD (données pénales et infractions) — sous réserve des conditions de droit interne, cf. mon analyse de l’Art. 10 RGPD ;
• Art. 11, 13 à 16, 18 à 20 RGPD — soit l’information, l’accès, la rectification, la limitation, la notification aux destinataires, la portabilité ;
• Art. 23 LIL sur les obligations d’inscription au registre des activités de traitement (allégement) ;
• Art. 30 RGPD sur le registre — application allégée ;
• Art. 31 RGPD sur la coopération avec l’autorité de contrôle ;
• Art. 32 à 36 RGPD relatifs à la sécurité, aux violations et à l’AIPD — application atténuée mais non écartée ;
• Art. 44 à 49 RGPD sur les transferts hors UE — exception très étroite réservée au journalisme proprement dit.

À l’inverse, restent applicables : la finalité licite, la minimisation, l’exactitude, l’obligation de sécurité Art. 32 (avec adaptation), le droit d’opposition Art. 21, l’Art. 17 RGPD sur l’effacement (avec la réserve Art. 17(3)(a) sur la liberté d’expression), la responsabilité Art. 24, les sanctions Art. 82-83-84, et l’ensemble du chapitre VIII.

L’article 80 LIL prévoit en outre que la CNIL n’a pas compétence pour contrôler les traitements journalistiques sur leur contenu éditorial : son rôle est limité au respect des règles formelles (sécurité, droits maintenus, durée de conservation). Le contentieux de fond relève des juridictions de droit commun, sur le fondement de la loi du 29 juillet 1881 sur la liberté de la presse, du Code civil (Art. 9 — vie privée) et du Code pénal.

La loi de 1881 et le bloc constitutionnel applicable

Le régime de l’Art. 85 / Art. 80 LIL ne peut pas se comprendre sans rappeler le bloc juridique de la liberté d’expression en France :

• Article 11 de la Déclaration des droits de l’homme et du citoyen de 1789 (valeur constitutionnelle, Cons. const. décision n° 71-44 DC du 16 juillet 1971) : « La libre communication des pensées et des opinions est un des droits les plus précieux de l’homme. »
• Article 10 de la Convention européenne des droits de l’homme (Conv. EDH).
• Article 11 de la Charte des droits fondamentaux de l’Union européenne (Charte UE), à mettre en balance avec l’Art. 8 (protection des données).
• Loi du 29 juillet 1881 sur la liberté de la presse — délits de presse, diffamation, injure, présomption d’innocence Art. 9-1 C. civ.
• Loi n° 86-1067 du 30 septembre 1986 sur la liberté de communication (audiovisuel).
• Loi n° 2009-669 du 12 juin 2009 « HADOPI » et loi n° 2018-1202 du 22 décembre 2018 sur la lutte contre la manipulation de l’information (fake news).

La CNIL et la jurisprudence civile articulent ces sources en pesant au cas par cas le droit à la protection des données contre la liberté d’expression. C’est ce travail de mise en balance que je vais maintenant détailler.

Le test de qualification : qu’est-ce qu’un traitement « journalistique » ?

L’application de l’Art. 80 LIL suppose une qualification préalable : le traitement est-il mis en œuvre aux seules fins d’expression journalistique, universitaire, artistique ou littéraire ? La question est constamment contentieuse — c’est elle qui détermine si le régime allégé s’applique ou si le droit commun reprend ses droits.

Le standard CJUE Satakunnan (C-73/07)

L’arrêt fondateur est CJUE C-73/07 Tietosuojavaltuutettu c/ Satakunnan Markkinapörssi et Satamedia du 16 décembre 2008. Une société finlandaise publiait les données fiscales (revenu et patrimoine) de 1,2 million de Finlandais sous forme imprimée puis SMS. La CJUE pose un test à trois branches :

1. Existence d’une diffusion au public — peu importe le support (papier, audiovisuel, électronique, SMS, blog) ;
2. Finalité de divulgation au public d’informations, d’opinions ou d’idées — le test est fonctionnel, pas statutaire ;
3. Caractère « exclusif » de la finalité journalistique — la commercialisation accessoire (vente d’abonnements, recettes publicitaires) n’exclut pas la qualification.

La Cour conclut : la notion d’activités de journalisme doit être interprétée « de manière large ». Elle ne se limite pas aux entreprises de média ni aux journalistes professionnels au sens de la loi de 1881 sur la liberté de la presse.

L’extension Buivids (C-345/17)

L’arrêt CJUE C-345/17 Buivids du 14 février 2019 confirme et étend la solution Satakunnan. Un particulier lette avait filmé sa déposition dans un commissariat et publié la vidéo sur YouTube. La CJUE juge que :

• La publication d’une vidéo en ligne par un particulier peut relever du journalisme au sens de l’Art. 9 directive 95/46 (équivalent Art. 85 RGPD) ;
• Mais la qualification reste conditionnelle : il faut une finalité de divulgation au public d’informations, d’opinions ou d’idées sur un sujet d’intérêt général.

Le juge national doit donc procéder à un examen concret. Filmer un fonctionnaire dans l’exercice de ses fonctions, dans un contexte de critique de l’action publique, peut être journalisme. Filmer un voisin par animosité personnelle ne l’est pas.

Le standard du « débat d’intérêt général »

Les juridictions françaises ont raffiné le test à partir des critères CEDH des arrêts CEDH Couderc et Hachette Filipacchi Associés c/ France du 10 novembre 2015 (Grande chambre) et CEDH Axel Springer AG c/ Allemagne du 7 février 2012. La Cour de cassation et le Conseil d’État retiennent six critères de mise en balance :

1. Contribution à un débat d’intérêt général — politique, économique, sanitaire, judiciaire, sportif, culturel ;
2. Notoriété de la personne visée et objet du reportage (vie publique vs vie privée) ;
3. Comportement antérieur de la personne vis-à-vis des médias ;
4. Mode d’obtention de l’information (sources licites, vérification, contradictoire) ;
5. Véracité, exactitude et contexte ;
6. Forme et conséquences de la publication (proportionnalité, sensationnalisme, atteinte effective).

Ce test n’est pas une simple invocation rhétorique : il structure aujourd’hui l’analyse de toutes les affaires de presse, y compris quand elles sont portées sur le fondement du RGPD plutôt que sur la loi de 1881.

Frontières grises : blogs, podcasts, lanceurs d’alerte, OSINT

La qualification se complique pour les acteurs qui ne sont pas des entreprises de presse au sens classique :

• Blogs et podcasts : Satakunnan + Buivids ouvrent la qualification dès lors qu’il y a finalité d’information du public. Un blog d’analyse sectorielle régulière, sourcé, signé, peut relever de l’Art. 80 LIL. Un compte Twitter/X de doxing ne le peut pas.
• Lanceurs d’alerte : la loi n° 2022-401 du 21 mars 2022 dite « Waserman » et la directive (UE) 2019/1937 du 23 octobre 2019 créent un régime parallèle. Quand le signalement est porté à la connaissance du public via un canal médiatique (presse, plateforme spécialisée), l’Art. 85 RGPD peut s’appliquer.
• OSINT et data journalism : la jurisprudence Satakunnan, confirmée par CJUE C-460/20 TU et RE c/ Google du 8 décembre 2022, admet que la collecte massive de données accessibles publiquement à des fins de publication peut relever du journalisme — à condition que le traitement final ait bien une finalité de diffusion au public.
• Fictions, biopics, podcasts narratifs : l’expression artistique et littéraire est couverte par l’Art. 80 LIL. Mais la frontière avec l’atteinte à la vie privée Art. 9 C. civ. est ténue ; voir notamment l’affaire Cass. 1ère civ. 9 juillet 2003 n° 00-20.289 sur le roman Le procès de Jean-Marie Le Pen et les arrêts subséquents.

Les dérogations en pratique : ce qui est écarté, ce qui reste

Une fois la qualification acquise, il faut maîtriser précisément la liste des dérogations. Beaucoup d’éditeurs croient à tort qu’ils sont exonérés de tout le RGPD. C’est faux. Voici la cartographie.

Ce qui est écarté pour le journalisme

L’Art. 80 LIL écarte effectivement :

• L’information préalable Art. 13-14 RGPD — un journaliste n’a pas à informer la personne qu’il enquête sur elle. La logique est fonctionnelle : informer ruinerait l’enquête.
• Le droit d’accès Art. 15 RGPD — la personne ne peut pas exiger de connaître les notes, brouillons, sources et données qu’un journaliste détient sur elle. Le secret des sources est garanti par l’article 2 de la loi du 29 juillet 1881 modifiée par la loi du 4 janvier 2010 et par l’arrêt CEDH Goodwin c/ Royaume-Uni du 27 mars 1996.
• Le droit de rectification Art. 16 RGPD — sous réserve du droit de réponse de l’Art. 13 de la loi de 1881 qui reste applicable.
• Le droit à la limitation Art. 18 et l’obligation de notification aux destinataires Art. 19.
• Le droit à la portabilité Art. 20 RGPD — sans objet en matière de presse.
• Le formalisme du registre Art. 30 RGPD — application allégée. Une rédaction tient toutefois un registre simplifié de ses traitements support (CRM lecteurs, paie, abonnements) qui restent en droit commun.
• L’AIPD Art. 35 — application atténuée. La CNIL n’exige pas d’AIPD pour l’activité éditoriale elle-même mais peut en exiger pour les traitements support à risque (profilage lecteurs, ciblage publicitaire).
• Les transferts hors UE Art. 44-49 — exception étroite réservée au strict besoin d’enquête internationale.

Ce qui reste applicable au journalisme

Subsistent en revanche, et c’est crucial :

• Les principes fondamentaux Art. 5 RGPD — licéité, loyauté, minimisation, exactitude, conservation limitée, sécurité.
• La base légale Art. 6 RGPD — le journalisme repose en général sur l’intérêt légitime Art. 6(1)(f) ou la mission d’intérêt public Art. 6(1)(e) pour les médias de service public.
• Le droit d’opposition Art. 21 RGPD — la personne peut s’opposer à un traitement, à charge pour le journaliste de démontrer des motifs impérieux. En pratique, l’intérêt général à la publication l’emporte souvent.
• Le droit à l’effacement Art. 17 RGPD — sous la réserve Art. 17(3)(a) : pas d’effacement lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information. La balance se fait au cas par cas.
• L’obligation de sécurité Art. 32 RGPD — pleinement applicable. Une rédaction est tenue de protéger ses sources, ses bases de contacts et ses notes contre les fuites et les intrusions. C’est un standard métier renforcé par l’arrêt CEDH Goodwin précité.
• Les sanctions Art. 82-83-84 RGPD — applicables sans dérogation.
• L’ensemble des obligations vis-à-vis des traitements support non journalistiques — CRM lecteurs, abonnés, cookies sur le site, publicité comportementale (Art. 6, consentement RGPD, e-Privacy), RH, comptabilité.

La jurisprudence structurante du déréférencement

L’Art. 85 RGPD est aujourd’hui mobilisé dans la jurisprudence du déréférencement comme contrepoids structurel à l’Art. 17 RGPD. Cinq arrêts CJUE structurent l’analyse.

CJUE C-131/12 Google Spain du 13 mai 2014 ouvre le droit au déréférencement, fondé alors sur la directive 95/46 (aujourd’hui Art. 17 RGPD), mais admet expressément que l’exercice du droit doit être mis en balance avec l’intérêt public à l’accès à l’information — donc avec l’Art. 85.

CJUE C-507/17 Google c/ CNIL du 24 septembre 2019 limite la portée territoriale du déréférencement (pas d’obligation mondiale, exigence sur l’UE).

CJUE C-136/17 GC, AF, BH, ED du 24 septembre 2019 précise que pour les données sensibles Art. 9 (santé, opinions politiques, religion, orientation sexuelle), le déréférencement est de droit, sauf si l’inclusion du lien est strictement nécessaire à la liberté d’information.

CJUE C-460/20 TU et RE c/ Google du 8 décembre 2022 introduit un standard probatoire : la personne qui demande le déréférencement d’un contenu qu’elle prétend manifestement inexact doit fournir des éléments probants raisonnablement exigibles. Google doit alors arbitrer et, en cas de doute, déréférencer.

CJUE C-129/22 SH c/ TÜV Rheinland Energy du 13 juillet 2023 (et son volet allemand) confirme la primauté du standard de la mise en balance casuistique : il n’existe pas de droit absolu au déréférencement face à un contenu journalistique légitime.

Le Conseil d’État français applique ce corpus dans la lignée de la décision pilote CE 6 décembre 2019 Mme A. et autres (lecture combinée des arrêts CJUE 2019), et des décisions de référence en chambre de la 10ème SSR sur les demandes individuelles.

Sanctions CNIL et contentieux civil : la jurisprudence française

La CNIL n’a pas compétence pour sanctionner le contenu éditorial. Mais elle peut sanctionner :

• Le non-respect du droit d’opposition Art. 21 (refus injustifié de retirer un nom) ;
• Le manquement à la sécurité Art. 32 (fuite de base d’abonnés, exposition de sources) — la CNIL SAN-2022-022 du 17 novembre 2022 Free Mobile (300 000 €) reste l’archétype même hors champ presse ;
• Le manquement à la durée de conservation des données support (abonnés, CRM) ;
• Le manquement à l’obligation de coopération Art. 31 lors d’un contrôle CNIL portant sur les traitements support.

La sanction la plus emblématique sur le secteur de la presse reste CNIL délibération n° 2017-016 du 12 janvier 2017 Editrice du Monde (50 000 €) pour insuffisance des mesures de sécurité sur la base abonnés.

Le contentieux civil est en revanche très nourri : Cass. 1ère civ. 12 mai 2016 n° 15-17.729 (droit à l’oubli numérique), Cass. 1ère civ. 17 février 2021 n° 19-24.780 (déréférencement et professionnel), Cass. 1ère civ. 22 juin 2017 n° 15-21.880 (presse et vie privée), CA Paris 5 octobre 2022 (presse en ligne et archives), TJ Paris 25 février 2022 (droit à l’oubli pour ancien condamné). Le standard est constant : mise en balance des six critères Couderc/Axel Springer.

Le contentieux pénal suit les voies classiques de la loi de 1881 (diffamation Art. 29, injure Art. 33, atteinte à la présomption d’innocence Art. 9-1 C. civ.) et de l’Art. 84 RGPD renvoyant aux articles 226-16 à 226-24 C. pénal pour les manquements RGPD résiduels (sécurité, conservation).

Six chantiers opérationnels pour une rédaction en 2026

Ayant accompagné plusieurs groupes de presse français sur leur mise en conformité, je résume en six chantiers le travail à conduire.

Chantier 1 — Qualification de l’activité. Toutes les activités d’une entreprise de presse ne relèvent pas du journalisme au sens de l’Art. 80 LIL. Il faut distinguer (i) l’activité éditoriale stricto sensu (enquête, rédaction, publication) qui bénéficie du régime allégé, (ii) les activités support (abonnement, CRM lecteurs, comptabilité, RH, téletravail RGPD) qui restent en droit commun, et (iii) les activités hybrides (newsletters éditorialisées, podcasts sponsorisés, journalisme natif sur plateformes tierces) qui appellent une qualification fine.

Chantier 2 — Cartographie des dérogations. Construire un tableau article-par-article (Art. 5, 6, 7, 9, 12-22, 30, 32-36, 44-49) précisant pour chaque flux de données : la base légale, la dérogation invoquée, la motivation, la garantie compensatoire. Ce tableau est l’élément central du dossier d’accountability Art. 24 RGPD en cas de contrôle CNIL.

Chantier 3 — Politique de réponse aux demandes de droits. Rédiger des modèles de réponse type pour les demandes Art. 15 (accès — refus motivé par Art. 80 LIL et secret des sources), Art. 16 (rectification — renvoi au droit de réponse Art. 13 loi 1881), Art. 17 (effacement — mise en balance Couderc), Art. 21 (opposition — motifs impérieux). Les délais Art. 12(3) RGPD (un mois) restent applicables. Voir ma note sur l’Art. 23 RGPD sur les limitations aux droits.

Chantier 4 — Procédure de déréférencement et droit à l’oubli des archives. Les archives de presse en ligne sont aujourd’hui l’angle d’attaque principal. Mettre en place une procédure interne : qualification de la demande, instruction par le DPO et le secrétaire général de rédaction, mise en balance, décision motivée, traçabilité. Distinguer anonymisation (modification de l’article — exceptionnel, atteinte à l’intégrité éditoriale), désindexation interne (retrait de l’index moteur du site) et réponse en cas de saisine de Google (article reste, lien externe retiré).

Chantier 5 — Sécurité Art. 32 et protection des sources. Mise à niveau du SI rédactionnel : chiffrement bout-en-bout des échanges sensibles (Signal, Threema, SecureDrop), poste de travail durci pour les enquêtes sensibles, isolation des bases « anciennes affaires », journalisation, gestion stricte des accès, formation. La sécurité est ici doublement obligatoire : par Art. 32 RGPD et par le secret des sources protégé par l’Art. 2 loi 1881. Voir ma note sur la pseudonymisation et l’anonymisation RGPD.

Chantier 6 — Articulation avec les traitements support. Le CRM lecteurs, la base abonnés, les cookies du site, la publicité comportementale, la paie, le SIRH restent en droit commun. Une rédaction ne peut pas opposer l’Art. 80 LIL à un contrôle CNIL portant sur la conformité de son registre des traitements, de son DPO (Art. 37 RGPD), de sa gestion des cookies (e-Privacy + RGPD) ou de ses transferts intra-groupe.

Ce qu’il faut retenir

• L’Art. 85 RGPD commande aux États membres de concilier protection des données et liberté d’expression. La France a transposé via l’article 80 de la LIL.
• Le journalisme, l’expression universitaire, artistique et littéraire bénéficient d’exemptions ciblées (Art. 13-16, 18-20, 30 allégé, 32-36 atténué, 44-49 étroit) mais restent soumis aux principes Art. 5, à la base légale Art. 6, à l’opposition Art. 21, à l’effacement Art. 17, à la sécurité Art. 32 et à toutes les sanctions Art. 82-83-84.
• La qualification de l’activité comme journalistique repose sur le standard CJUE C-73/07 Satakunnan et C-345/17 Buivids : interprétation large, finalité de diffusion au public d’informations sur un sujet d’intérêt général.
• La mise en balance casuistique suit les six critères Couderc/Axel Springer : débat d’intérêt général, notoriété, comportement antérieur, mode d’obtention, exactitude, forme.
• La CNIL n’a pas compétence éditoriale mais sanctionne la sécurité Art. 32, la durée de conservation, l’opposition Art. 21 et les traitements support.
• Le contentieux principal est aujourd’hui le déréférencement et le droit à l’oubli des archives de presse en ligne, structuré par les arrêts CJUE Google Spain, GC e.a., Google/CNIL et TU et RE.
• Une rédaction doit conduire six chantiers : qualification, cartographie des dérogations, politique de réponse aux droits, procédure de déréférencement, sécurité et secret des sources, conformité des traitements support.

FAQ

Un blogueur indépendant peut-il invoquer l’article 80 LIL pour ne pas répondre à une demande d’accès Art. 15 RGPD ?

Oui, sous condition. L’arrêt CJUE C-345/17 Buivids admet expressément que la qualification journalistique n’est pas réservée aux entreprises de presse. Le blogueur doit pouvoir démontrer que son activité a une finalité de diffusion au public d’informations, d’opinions ou d’idées sur un sujet d’intérêt général. Une analyse sectorielle régulière, sourcée et signée peut suffire. Un compte de doxing personnel ne le peut pas. En cas de contentieux, la qualification sera tranchée par le juge au regard des critères CJUE et de la jurisprudence Couderc.

Une personne peut-elle obtenir l’effacement d’un article ancien la concernant ?

C’est l’arbitrage le plus délicat. L’Art. 17(3)(a) RGPD réserve expressément la liberté d’expression et d’information comme exception au droit à l’effacement. La jurisprudence française et européenne procède à une mise en balance casuistique des six critères Couderc/Axel Springer. Trois scénarios pratiques : (i) condamnation pénale ancienne et amnistiée → effacement souvent admis ; (ii) personnalité publique dans l’exercice de ses fonctions → maintien de l’archive ; (iii) personne anonyme citée incidemment dans une enquête → désindexation interne possible sans modifier l’article. La procédure passe d’abord par le directeur de la publication ; en cas de refus, par Google (déréférencement) ; enfin par la CNIL ou le juge civil.

Quel régime pour les podcasts narratifs et les documentaires biographiques ?

L’expression artistique et littéraire est expressément couverte par l’Art. 80 LIL au même titre que le journalisme. Un podcast narratif sur une affaire judiciaire peut donc bénéficier du régime allégé. Mais l’œuvre reste soumise au respect du droit à la vie privée Art. 9 C. civ., du droit à l’image et de la présomption d’innocence Art. 9-1 C. civ.. Le standard de mise en balance est celui des arrêts Couderc et Axel Springer. Les biopics sur personnes vivantes sont les plus à risque ; une autorisation contractuelle reste prudente même si elle n’est pas juridiquement obligatoire.

Comment articuler le secret des sources avec un contrôle CNIL ?

L’article 2 de la loi du 29 juillet 1881 modifiée par la loi du 4 janvier 2010 protège le secret des sources. La CNIL ne peut pas l’exiger lors d’un contrôle Art. 19 LIL. Mais la CNIL peut contrôler autour de l’activité protégée : sécurité du SI rédactionnel, journalisation des accès, durée de conservation, conformité des traitements support (CRM, paie). En pratique, j’ai accompagné plusieurs rédactions dans la préparation de contrôles : la stratégie consiste à séparer architecturalement les bases « journalisme » (couvertes par le secret) des bases « support » (auditables) et à formaliser cette séparation dans la documentation Art. 30.

Une entreprise non-presse peut-elle invoquer l’Art. 85 pour ses communications corporate ?

Non. Les communications corporate, la communication produit, le marketing, la communication financière obligatoire ne sont pas du journalisme au sens de la jurisprudence Satakunnan/Buivids. Elles relèvent du droit commun du RGPD : base légale Art. 6, information Art. 13-14, droits Art. 15-22, registre Art. 30. Une grande entreprise peut en revanche héberger une publication interne ou externe à finalité journalistique (magazine d’entreprise, blog d’analyse sectorielle) qui peut alors, par sa finalité propre, relever de l’Art. 80 LIL. La qualification se fait publication par publication, pas globalement.

---

Cet article complète la trilogie Chapitre IX du RGPD ouverte avec l’Art. 87 RGPD sur le NIR, l’Art. 88 RGPD sur les relations de travail et l’Art. 89 RGPD sur la recherche et l’archivage. Il s’articule avec l’Art. 9 RGPD sur les données sensibles, l’Art. 10 RGPD sur les données pénales, l’Art. 17 RGPD sur le droit à l’oubli, l’Art. 21 RGPD sur le droit d’opposition et l’Art. 23 RGPD sur les limitations aux droits.

Recevez nos analyses conformité RGPD chaque semaine. Inscrivez-vous à la newsletter donneespersonnelles.fr pour recevoir une analyse approfondie par semaine sur le RGPD, l’AI Act, NIS2 et les autres règlements européens — par l’auteur du blog, docteur en droit IT et fondateur de Legiscope.