(Pubblicato originariamente da EJO )

Il regolamento generale dell’Unione europea sulla protezione dei dati (GDPR) era stato concepito per proteggere e responsabilizzare la gestione della privacy dei dati di tutti i cittadini dell’Unione Europea, non per essere usato come strumento per intimidire i giornalisti.

Tuttavia, questo è esattamente ciò che sembra essere successo in Romania. I giornalisti investigativi di Rise Project , un team che lavora su storie anti-corruzione seguendo i flussi di denaro, sono stati recentemente minacciati di una multa pari quasi a 20 milioni di Euro dall’Autorità romena per la protezione dei dati, a meno che non interrompano la pubblicazione di una serie di indagini, diano accesso a tutti i dati ad esse relativi e rivelino le fonti.

Un politico di dubbia reputazione

Una lettera emessa l’otto novembre dall’autorità rumena per la protezione dei dati fa riferimento ad un post di Facebook nella pagina di Rise Project, scritto cinque giorni prima dove i giornalisti annunciavano:

"Vi informiamo che #TeleormanLeaks è realtà. Una valigia con informazioni fondamentali, interne alla società Tel Drum e a cui i procuratori dell’Agenzia nazionale anti-corruzione non hanno avuto accesso quando hanno perquisito la sede e i dispositivi elettronici dell’azienda lo scorso anno, è stata trovata nella zona rurale della contea di Teleorman, da un abitante del luogo, nella proprietà di quest’ultimo".

Il post si apre con una foto di Liviu Dragnea in Brasile. Dragnea è il presidente del Partito socialdemocratico (PSD) al governo e una figura chiave nella politica romena. A causa di un procedimento penale per aver cercato di manipolare i risultati di un referendum, Dragnea non è riuscito a diventare primo ministro nel gennaio 2017, quando il suo partito è salito al potere, ma finora è riuscito a collocare tre diverse persone al suo posto. Nel giugno 2018, Dragnea è stato condannato a tre anni e mezzo di carcere in un secondo processo penale per aver utilizzato fondi pubblici destinati a programmi di protezione dei minori nella contea di Teleorman per finanziare il proprio partito.

E la lista non finisce qui. Negli ultimi anni, i giornalisti romeni hanno scoperto molti altri casi di possibile corruzione legati a Liviu Dragnea e alla sua famiglia. Tuttavia, il ritrovamento della valigetta in questione ha attirato più attenzione del solito. La ragione: sebbene ci fossero state speculazioni sul fatto che Tel Drum (una grande società di costruzioni) fosse in qualche modo in combutta con la famiglia di Liviu Dragnea, mancavano prove certe. L’indagine di Rise Project ha cambiato le cose. Il post di Facebook è il teaser di una futura serie di articoli basata sui documenti elettronici e cartacei trovati nella valigia.

Quando Rise Project ha pubblicato il primo articolo sul contenuto della valigia #TeleormanLeaks il 5 novembre, il riscontro è stato travolgente. Mihai Munteanu, uno degli autori, ha detto a EJO che Rise Project semplicemente non riusciva a gestire l’alto traffico generato dalla storia.

Come il GDPR può influenzare il lavoro investigativo

Eppure, il pubblico non è stato il solo a prendere nota. Anche lo stato ha visto la segnalazione di Rise Project e ha cercato di usare il GDPR contro i giornalisti.

La notifica dell’autorità romena per la protezione dei dati fa esplicito riferimento al "Regolamento UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche dal trattamento dei dati personali e alla libera circolazione di questi dati", più comunemente noto come GDPR.

In particolare, la notifica cita l’art. 14 sulle informazioni su persone fisiche ottenute da terzi, l’art. 57 sulla portata e l’art. 58 sulla giurisdizione delle autorità di protezione dei dati. La notifica cita anche la legge che ha istituito l’autorità romena per la protezione dei dati nel 2005 "al fine di difendere i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla vita intima, privata e familiare, in relazione al trattamento dei dati personali".

Che cosa significa tutto questo? In poche parole, l’autorità romena per la protezione dei dati ha deciso di avere il diritto di chiedere a dei giornalisti investigativi il motivo per cui hanno pubblicato dati personali di persone fisiche su Facebook. Le autorità si sono inoltre sentite autorizzate a chiedere, tra le altre cose, la fonte dei dati, come e dove sono archiviati e se le persone a cui i dati possono essere collegati erano informate.

Si può anche metterla diversamente: in sostanza, un’autorità finanziata dallo stato ha chiesto ai giornalisti di spiegare perché hanno fatto un certo pezzo investigativo.

E ha chiesto ai giornalisti di rivelare le loro fonti protette, di dare allo stato l’accesso a tutti i dati relativi alle indagini e di interrompere la pubblicazione. Altrimenti? Una multa che potrebbe ammontare a 20 milioni di Euro, come indicato dall’art. 83 del GDPR.

In base allo stesso GDPR, questa interferenza da parte di un’autorità nazionale per la protezione dei dati in un’indagine giornalistica è, infatti, un abuso. Il 12 novembre, durante il media briefing della Commissione europea, Margaritis Schinas, vicedirettore generale della comunicazione della CE, ha chiarito:

"Il diritto alla protezione dei dati personali non è un diritto assoluto. Nel regolamento generale sulla protezione dei dati, l’art. 85 afferma chiaramente che la protezione dei dati deve essere bilanciata rispetto alla libertà di espressione e di informazione. L’utilizzo del regolamento generale sulla protezione dei dati contro questi altri diritti fondamentali costituirebbe un chiaro abuso del regolamento. Pertanto, è della massima importanza che le autorità romene applichino tale obbligo nella legislazione nazionale, prevedendo eccezioni e deroghe per proteggere le fonti giornalistiche, in particolare dai poteri dell’autorità nazionale per la protezione dei dati ove necessario e per rispettare la libertà di espressione e di informazione in relazione ai media".

Se gli sviluppi nel caso Rise Project sono ancora in corso, la storia mette in luce il potenziale abuso di regolamenti e leggi che hanno lo scopo di proteggere e aiutare i cittadini. A marzo, l’OCCRP ha riferito che le richieste basate sulla legge sulla libertà di informazione potrebbero aver portato all’omicidio del giornalista investigativo slovacco Ján Kuciak e della sua partner Martina Kušnírová. Allo stesso modo, il cosiddetto "diritto all’oblio" è stato inizialmente utilizzato da alcuni politici e funzionari pubblici per nascondere i risultati di precedenti indagini giornalistiche sui loro reati. Il GDPR, a quanto pare, è solo l’ultimo strumento in questo arsenale.