—

en nombre de mr.nexnet GmbH, por el Sr. P. Wassermann, Rechtsanwalt;

—

en nombre de la Comisión Europea, por los Sres. F. Wilman y F. Bulst, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación del artículo 6, apartados 2 y 5, de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas) (DO L 201, p. 37).

2

Dicha petición se presentó en el marco de un litigio entre mr.nexnet GmbH (en lo sucesivo, «nextnet»), cesionario de créditos correspondientes a la prestación de servicios de conexión a Internet por Verizon Deutschland GmbH (en lo sucesivo, «Verizon»), y el Sr. Probst, destinatario de dichos servicios.

3

El artículo 16 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO L 281, p. 31), establece:

«Las personas que actúen bajo la autoridad del responsable o del encargado del tratamiento, incluido este último, solo podrán tratar datos personales a los que tengan acceso, cuando se lo encargue el responsable del tratamiento […] en virtud de un imperativo legal.»

4

De conformidad con el artículo 17 de la Directiva 95/46:

«1.   Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales.

Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse.

2.   Los Estados miembros establecerán que el responsable del tratamiento, en caso de tratamiento por cuenta del mismo, deberá elegir un encargado del tratamiento que reúna garantías suficientes en relación con las medidas de seguridad técnica y de organización de los tratamientos que deban efectuarse, y se asegure de que se cumplen dichas medidas.

3.   La realización de tratamientos por encargo deberá estar regulada por un contrato u otro acto jurídico que vincule al encargado del tratamiento con el responsable del tratamiento, y que disponga, en particular:

4.   A efectos de conservación de la prueba, las partes del contrato o del acto jurídico relativas a la protección de datos y a los requisitos relativos a las medidas a que hace referencia el apartado 1 constarán por escrito o en otra forma equivalente.»

5

De conformidad con el artículo 1, apartados 1 y 2, de la Directiva 2002/58:

«1.   La presente Directiva armoniza las disposiciones de los Estados miembros necesarias para garantizar un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas, así como la libre circulación de tales datos y de los equipos y servicios de comunicaciones electrónicas en la [Unión Europea].

2.   Las disposiciones de la presente Directiva especifican y completan la [Directiva 95/46] a los efectos mencionados en el apartado 1. […]»

6

El artículo 2, párrafo segundo, letra b), de dicha Directiva define «datos de tráfico» como «cualquier dato tratado a efectos de la conducción de una comunicación a través de una red de comunicaciones electrónicas o a efectos de la facturación de la misma».

7

El artículo 5, apartado 1, de la Directiva 2002/58 especifica:

«Los Estados miembros garantizarán, a través de la legislación nacional, la confidencialidad de las comunicaciones, y de los datos de tráfico asociados a ellas, realizadas a través de las redes públicas de comunicaciones y de los servicios de comunicaciones electrónicas disponibles al público. […]»

8

El artículo 6 de la misma Directiva establece:

«1.   Sin perjuicio de lo dispuesto en los apartados 2, 3 y 5 del presente artículo [...], los datos de tráfico relacionados con abonados y usuarios que sean tratados y almacenados por el proveedor de una red pública de comunicaciones o de un servicio de comunicaciones electrónicas disponible al público deberán eliminarse o hacerse anónimos cuando ya no sea necesario a los efectos de la transmisión de una comunicación.

2.   Podrán ser tratados los datos de tráfico necesarios a efectos de la facturación de los abonados y los pagos de las interconexiones. Se autorizará este tratamiento únicamente hasta la expiración del plazo durante el cual pueda impugnarse legalmente la factura o exigirse el pago.

[...]

5.   Sólo podrán encargarse del tratamiento de datos de tráfico, de conformidad con los apartados 1, 2, 3 y 4, las personas que actúen bajo la autoridad del proveedor de las redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público que se ocupen de la facturación o de la gestión del tráfico, de las solicitudes de información de los clientes, de la detección de fraudes, de la promoción comercial de los servicios de comunicaciones electrónicas o de la prestación de un servicio con valor añadido, y dicho tratamiento deberá limitarse a lo necesario para realizar tales actividades.

[...]»

9

El artículo 97, apartado 1, frases tercera y cuarta, de la Ley alemana de telecomunicaciones (Telekommunikationsgesetz) de 22 de junio de 2004 (BGBl. 2004 I, p. 1190; en lo sucesivo, «TKG») es del tenor siguiente:

«Cálculo y facturación del importe debido al proveedor de servicios

[…] El proveedor de servicios podrá comunicar los datos [de tráfico] siempre que haya suscrito con un tercero un contrato sobre el cobro del precio correspondiente a tales servicios y en la medida en que su comunicación resulte necesaria a efectos del cobro del precio y de su facturación detallada. Se obligará por contrato a dicho tercero a guardar el secreto de las comunicaciones de conformidad con el artículo 88, y a cumplir con la normativa de protección de datos de conformidad con los artículos 93, 95, 96, 97, 99 y 100. [...]»

10

En opinión del órgano jurisdiccional remitente, la autorización para la transmisión de datos que concede el artículo 97, apartado 1, frase tercera, de la TKG es aplicable no sólo a los contratos sobre el cobro de créditos en los que éstos no salen del patrimonio de sus titulares originales, sino a cualquier contrato de cesión, y en especial a aquellos que suponen la adquisición del crédito y que dan lugar a que el crédito objeto de la cesión pase definitivamente, tanto jurídica como económicamente, al cesionario.

11

El Sr. Probst es titular de una conexión telefónica de Deutsche Telekom AG, a través de la cual conecta su ordenador a Internet. En el período comprendido entre el 28 de junio y el 6 de septiembre de 2009, utilizó el número de acceso proporcionado por Verizon para realizar una serie de conexiones a Internet. Los importes que se le reclaman por este concepto le fueron facturados en primer lugar por Deutsche Telekom AG como «cantidades debidas a otros proveedores de servicios». Dado que el Sr. Probst no procedió a su pago, nextnet, cesionaria de dicho crédito como consecuencia de un contrato de «factoring» suscrito entre las sociedades predecesoras de Verizon y de nexnet, le reclamó el abono de los importes facturados, incrementados por costes accesorios. De conformidad con el contrato de «factoring», nexnet asume el riesgo de impago.

12

Además, en su día las sociedades predecesoras de nexnet y de Verizon suscribieron un «acuerdo sobre protección de datos y confidencialidad», de conformidad con el cual:

[…]

[…]

[…]»

13

Para el Sr. Probst, el contrato de «factoring» es nulo de pleno Derecho por ser contrario, en particular, al artículo 97, apartado 1, de la TKG. El Amtsgericht desestimó la demanda presentada por nexnet para obtener el pago, mientras que el tribunal de apelación acogió en lo esencial sus pretensiones. El asunto es objeto de un recurso de casación ante el Bundesgerichtshof.

14

El órgano jurisdiccional remitente entiende que el artículo 6, apartados 2 y 5, de la Directiva 2002/58 resulta pertinente para interpretar el artículo 97, apartado 1, de la TKG. Dicho órgano destaca, por una parte, que el hecho de proceder a la «facturación», que es una de las finalidades a cuyos efectos, de conformidad con el artículo 6, apartados 2 y 5, de la Directiva, podrán ser tratados los datos de tráfico, no incluye necesariamente el cobro del precio facturado. No obstante, entiende que no existe ninguna razón objetiva que justifique un nivel distinto de protección de datos para la facturación y para el cobro de los créditos. Por otra parte, según indica el órgano remitente, con arreglo al artículo 6, apartado 5, de dicha Directiva, sólo podrán encargarse del tratamiento de datos de tráfico las personas que actúen «bajo la autoridad» del proveedor de las redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público (en lo sucesivo, «proveedor de servicios»). En opinión del órgano jurisdiccional remitente, dicho concepto no aclara si el proveedor de servicios debe reservarse durante todo el proceso de tratamiento de datos la posibilidad de determinar la utilización que se haga de dichos datos, incluso en cada caso individual, o si basta con la adopción de una regulación de alcance general sobre el respeto del secreto de las comunicaciones y el cumplimiento de la normativa de protección de datos, como la que establecen las disposiciones contractuales de que se trata en el caso de autos, junto con el hecho de que sea posible obtener la eliminación o la devolución de los datos ante el mero requerimiento en ese sentido.

15

En estas circunstancias, el Bundesgerichtshof decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:

«¿Permite el artículo 6, apartados 2 y 5, de la Directiva 2002/58 la transmisión de datos de tráfico por el proveedor de servicios al cesionario de un crédito correspondiente al importe adeudado por servicios de telecomunicación, cuando la cesión, realizada con el fin de obtener el cobro de créditos impagados, se rige, además de por la obligación general de respetar el secreto de las comunicaciones y la protección de datos prevista en el régimen legal actualmente vigente, por las disposiciones contractuales que se indican a continuación:

16

Mediante la cuestión prejudicial, el órgano jurisdiccional remitente pide esencialmente que se dilucide si el artículo 6, apartados 2 y 5, de la Directiva 2002/58 permite la transmisión de datos de tráfico por el proveedor de servicios al cesionario de sus créditos y el tratamiento por éste de dichos datos, y —en su caso— en qué condiciones permite esa transmisión y ese tratamiento.

17

Por una parte, de conformidad con el artículo 6, apartado 2, de la Directiva 2002/58, podrán ser tratados los datos de tráfico necesarios a efectos de la facturación de los abonados. Como destacan nexnet y la Comisión Europea, tal disposición de la referida Directiva permite el tratamiento de datos de tráfico no sólo a efectos de la facturación, sino también a efectos del cobro de las facturas. Efectivamente, al permitir el tratamiento de datos de tráfico «hasta la expiración del plazo durante el cual pueda impugnarse legalmente la factura o exigirse el pago», dicha disposición no se refiere sólo al tratamiento de datos en el momento de la facturación, sino también al tratamiento que resulte necesario a efectos de obtener su pago.

18

Por otra parte, en virtud del artículo 6, apartado 5, de la Directiva 2002/58, del tratamiento de datos de tráfico que permite su artículo 6, apartado 2, «sólo podrán encargarse […] las personas que actúen bajo la autoridad del proveedor de [servicios] que se ocupen de la facturación […], y dicho tratamiento deberá limitarse a lo necesario» para realizar tal actividad.

19

De la lectura conjunta de dichas disposiciones de la Directiva 2002/58 se desprende que el proveedor de servicios está autorizado a transmitir datos de tráfico al cesionario de sus créditos con vistas al cobro de éstos, y que éste está autorizado a tratar tales datos siempre que dicho cesionario, en primer lugar, actúe «bajo la autoridad» del proveedor de servicios al encargarse del referido tratamiento y, en segundo lugar, se limite al tratamiento de los datos de tráfico necesarios a efectos del cobro de los créditos.

20

Debe señalarse que ni la Directiva 2002/58 ni los documentos pertinentes para su interpretación, como los trabajos preparatorios, aclaran el alcance exacto de los términos «bajo la autoridad». En estas circunstancias, con arreglo a la jurisprudencia del Tribunal de Justicia, la determinación del sentido de esos términos debe efectuarse conforme a su sentido habitual en el lenguaje corriente, teniendo en cuenta el contexto en el que se utilizan y los objetivos perseguidos por la normativa de la que forman parte (véanse, en este sentido, las sentencias de 10 de marzo de 2005, easyCar, C-336/03, Rec. p. I-1947, apartados 20 y 21, y de 5 de julio de 2012, Content Services, C-49/11, apartado 32).

21

Por lo que se refiere al sentido habitual de dichos términos en el lenguaje corriente, procede considerar que una persona actúa bajo la autoridad de otra cuando aquélla actúa bajo las órdenes y el control de ésta.

22

En cuanto al contexto del artículo 6 de la Directiva 2002/58, ha de recordarse que, de conformidad con el artículo 5, apartado 1, de la misma, los Estados miembros deben garantizar la confidencialidad de las comunicaciones, y de los datos de tráfico asociados a ellas, realizadas a través de las redes públicas de comunicaciones y de los servicios de comunicaciones electrónicas disponibles al público.

23

El artículo 6, apartados 2 y 5, de la Directiva 2002/58 recoge una excepción a la confidencialidad de las comunicaciones que prevé su artículo 5, apartado 1, ya que autoriza el tratamiento de datos de tráfico en el marco de los imperativos relacionados con las actividades de facturación de los servicios (véase, en este sentido, la sentencia de 29 de enero de 2008, Promusicae, C-275/06, Rec. p. I-271, apartado 48). Al tratarse de una excepción, esta disposición de la Directiva y, por ello, también los términos «bajo la autoridad», han de interpretarse estrictamente [véase la sentencia de 17 de febrero de 2011, The Number (UK) y Conduit Enterprises, C-16/10, Rec. p. I-691, apartado 31]. Tal interpretación supone que el proveedor de servicios dispondrá de un poder de control efectivo que le permita verificar que el cesionario de los créditos cumple los requisitos a que se le ha sometido a efectos del tratamiento de datos de tráfico.

24

Esta interpretación queda corroborada por el objetivo de la Directiva 2002/58 en general y de su artículo 6, apartado 5, en particular. Tal como se desprende de su artículo 1, apartados 1 y 2, la Directiva 2002/58 especifica y completa en el sector de las comunicaciones electrónicas la Directiva 95/46 a efectos, concretamente, de garantizar en los Estados miembros un nivel equivalente de protección de las libertades y los derechos fundamentales y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales en el sector de las comunicaciones electrónicas.

25

En estas circunstancias, el artículo 6, apartado 5, de la Directiva 2002/58 debe interpretarse a la luz de otras disposiciones similares de la Directiva 95/46. Pues bien, de los artículos 16 y 17 de la Directiva 95/46, en los cuales se especifica el nivel de control que ejercerá en cada caso el responsable del tratamiento sobre el encargado al que seleccione, se desprende que este último sólo actuará cuando se lo encargue el responsable del tratamiento y que el responsable se asegurará de que se cumplan las medidas acordadas para proteger los datos personales contra cualquier tratamiento ilícito.

26

En cuanto a la finalidad que subyace concretamente al artículo 6, apartado 5, de la Directiva 2002/58, debe señalarse que, si bien esta disposición permite el tratamiento de datos de tráfico por determinados terceros a efectos, en particular, del cobro de los créditos del proveedor de servicios, de manera que éste pueda concentrarse en la prestación de servicios de comunicaciones electrónicas, el objeto de la disposición es garantizar que dicha subcontratación no menoscabe el nivel de protección de los datos personales de que goza el usuario, mediante la previsión de que del tratamiento de datos de tráfico sólo podrán encargarse las personas que actúen «bajo la autoridad» del proveedor de servicios.

27

De todo lo anterior se desprende que, comoquiera que se califique el contrato por el que se ceden los créditos a efectos de su cobro, el cesionario de un crédito correspondiente al importe adeudado por servicios de telecomunicación estará actuando «bajo la autoridad» del proveedor de dichos servicios, en el sentido del artículo 6, apartado 5, de la Directiva 2002/58, cuando, a efectos del tratamiento de datos de tráfico que exija dicha actividad, sólo actúe siguiendo instrucciones del responsable del tratamiento y bajo el control de éste. Específicamente, el contrato suscrito entre el proveedor de servicios que ceda sus créditos y el cesionario de los mismos recogerá estipulaciones que garanticen que el tratamiento de los datos de tráfico por el cesionario sea lícito, y permitirá que el proveedor de servicios pueda asegurarse en todo momento de que el cesionario cumple dichas estipulaciones.

28

Corresponde al órgano jurisdiccional nacional examinar si, a la vista de todos los datos que constan en autos, se cumplen dichos requisitos en el litigio principal. Ahora bien, la circunstancia de que un contrato de «factoring» responda a lo descrito en la cuestión planteada inclina a pensar que tal contrato cumple los referidos requisitos. Efectivamente, un contrato de tales características sólo autoriza el tratamiento de datos de tráfico por el cesionario de los créditos en la medida en que ese tratamiento resulte necesario a efectos del cobro de los mismos, y somete al cesionario a la obligación de eliminar o devolver de manera inmediata e irreversible dichos datos tan pronto como su contenido deje de ser necesario para el cobro de los créditos de que se trate. Por otra parte, tal contrato autoriza al proveedor de servicios a comprobar que el cesionario se ajusta a la normativa de protección de datos y vela por la seguridad de los mismos, y obliga al cesionario a proceder a la eliminación o devolución de los datos de tráfico ante el mero requerimiento en ese sentido.

29

Habida cuenta de las consideraciones expuestas, procede responder a la cuestión planteada que el artículo 6, apartados 2 y 5, de la Directiva 2002/58 debe interpretarse en el sentido de que permite al proveedor de servicios transmitir datos de tráfico al cesionario de créditos suyos que correspondan a la prestación de servicios de telecomunicación con vistas al cobro de tales créditos, y de que permite a dicho cesionario tratar esos datos, siempre que el cesionario, en primer lugar, actúe bajo la autoridad del proveedor de servicios al encargarse del tratamiento de los referidos datos y, en segundo lugar, se limite al tratamiento de los datos de tráfico necesarios a efectos del cobro de los créditos cedidos.

30

Comoquiera que se califique el contrato de cesión, se entenderá que el cesionario actúa bajo la autoridad del proveedor de servicios, en el sentido del artículo 6, apartado 5, de la Directiva 2002/58, cuando, a efectos del tratamiento de datos de tráfico, sólo actúe siguiendo instrucciones del proveedor de servicios y bajo el control de éste. Específicamente, el contrato suscrito entre ambos recogerá estipulaciones que garanticen que el tratamiento de los datos de tráfico por el cesionario será lícito y que permitan que el proveedor de servicios pueda asegurarse en todo momento de que el referido cesionario cumple dichas estipulaciones.

31

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional nacional, corresponde a éste resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Tercera) declara:

El artículo 6, apartados 2 y 5, de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas), debe interpretarse en el sentido de que permite al proveedor de las redes públicas de comunicaciones o de servicios de comunicaciones electrónicas disponibles al público transmitir datos de tráfico al cesionario de créditos suyos que correspondan a la prestación de servicios de telecomunicación con vistas al cobro de tales créditos, y de que permite a dicho cesionario tratar esos datos, siempre que el cesionario, en primer lugar, actúe bajo la autoridad del proveedor de servicios al encargarse del tratamiento de los referidos datos y, en segundo lugar, se limite al tratamiento de los datos de tráfico necesarios a efectos del cobro de los créditos cedidos.

Comoquiera que se califique el contrato de cesión, se entenderá que el cesionario actúa bajo la autoridad del proveedor de servicios, en el sentido del artículo 6, apartado 5, de la Directiva 2002/58, cuando, a efectos del tratamiento de datos de tráfico, sólo actúe siguiendo instrucciones del proveedor de servicios y bajo el control de éste. Específicamente, el contrato suscrito entre ambos recogerá estipulaciones que garanticen que el tratamiento de los datos de tráfico por el cesionario será lícito y que permitan que el proveedor de servicios pueda asegurarse en todo momento de que el referido cesionario cumple dichas estipulaciones.