—

per mr.nexnet GmbH, da P. Wassermann, Rechtsanwalt;

—

per la Commissione europea, da F. Wilman e F. Bulst, in qualità di agenti,

1

La domanda di pronuncia pregiudiziale verte sull’interpretazione dell’articolo 6, paragrafi 2 e 5, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201, pag. 37).

2

Tale domanda è stata proposta nell’ambito di una controversia tra la società mr.nexnet GmbH (in prosieguo: la «nexnet»), cessionaria di crediti relativi alla fornitura di servizi di accesso a Internet prestati dalla Verizon Deutschland GmbH (in prosieguo: la «Verizon»), ed il sig. Probst, beneficiario dei servizi medesimi.

3

L’articolo 16 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU L 281, pag. 31), così dispone:

«L’incaricato del trattamento o chiunque agisca sotto la sua autorità o sotto quella del responsabile del trattamento non deve elaborare i dati personali ai quali ha accesso, se non dietro istruzione del responsabile del trattamento oppure in virtù di obblighi legali».

4

Il successivo articolo 17 così recita:

«1.   Gli Stati membri dispongono che il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell’applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.

2.   Gli Stati membri dispongono che il responsabile del trattamento, quando quest’ultimo sia eseguito per suo conto, deve scegliere un incaricato del trattamento che presenti garanzie sufficienti in merito alle misure di sicurezza tecnica e di organizzazione dei trattamenti da effettuare e deve assicurarsi del rispetto di tali misure.

3.   L’esecuzione dei trattamenti su commissione deve essere disciplinata da un contratto o da un atto giuridico che vincoli l’incaricato del trattamento al responsabile del trattamento e che preveda segnatamente:

4.   A fini di conservazione delle prove, gli elementi del contratto o dell’atto giuridico relativi alla protezione dei dati e i requisiti concernenti le misure di cui al paragrafo 1 sono stipulati per iscritto o in altra forma equivalente».

5

L’articolo 1, paragrafi 1 e 2, della direttiva 2002/58 così dispone:

«1.   La presente direttiva armonizza le disposizioni degli Stati membri necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno del[l’Unione europea].

2.   Le disposizioni della presente direttiva precisano e integrano la [direttiva 95/46] ai fini di cui al paragrafo 1 (...)».

6

L’articolo 2, secondo comma, lettera b), della direttiva medesima definisce la nozione di «dati sul traffico» come: «qualsiasi dato sottoposto a trattamento ai fini della trasmissione di una comunicazione su una rete di comunicazione elettronica o della relativa fatturazione».

7

L’articolo 5, paragrafo 1, della direttiva 2002/58 precisa quanto segue:

«Gli Stati membri assicurano, mediante disposizioni di legge nazionali, la riservatezza delle comunicazioni effettuate tramite la rete pubblica di comunicazione e i servizi di comunicazione elettronica accessibili al pubblico, nonché dei relativi dati sul traffico (...)».

8

Il successivo articolo 6 così recita:

«1.   I dati sul traffico relativi agli abbonati ed agli utenti, trattati e memorizzati dal fornitore di una rete pubblica o di un servizio pubblico di comunicazione elettronica devono essere cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione di una comunicazione, fatti salvi i paragrafi 2, 3 e 5 del presente articolo (...)

2.   I dati relativi al traffico che risultano necessari ai fini della fatturazione per l’abbonato e dei pagamenti di interconnessione possono essere sottoposti a trattamento. Tale trattamento è consentito solo sino alla fine del periodo durante il quale può essere legalmente contestata la fattura o preteso il pagamento.

(...)

5.   Il trattamento dei dati relativi al traffico ai sensi dei paragrafi da 1 a 4 deve essere limitato alle persone che agiscono sotto l’autorità dei fornitori della rete pubblica di comunicazione elettronica e dei servizi di comunicazione elettronica accessibili al pubblico che si occupano della fatturazione o della gestione del traffico, delle indagini per conto dei clienti, dell’accertamento delle frodi, della commercializzazione dei servizi di comunicazione elettronica o della prestazione di servizi a valore aggiunto. Il trattamento deve essere limitato a quanto è strettamente necessario per lo svolgimento di tali attività.

(...)».

9

L’articolo 97, primo comma, terzo e quarto periodo, della legge sulle telecomunicazioni (Telekommunikationsgesetz), del 22 giugno 2004 (BGBl. 2004 I, pag. 1190; in prosieguo: la «TKG»), così dispone:

«Determinazione e fatturazione della remunerazione del prestatore

(...) Qualora il prestatore di servizi abbia concluso con terzi un contratto relativo al percepimento della remunerazione, potrà trasmettere al medesimo i dati [sul traffico] laddove tale trasmissione risulti necessaria ai fini del percepimento della remunerazione e l’emissione di una fattura dettagliata. Il terzo dev’essere contrattualmente soggetto al rispetto del segreto delle telecomunicazioni ai sensi dell’articolo 88 ed al rispetto della tutela dei dati ai sensi degli articoli 93, 95, 96, 97, 99 e 100.

(...)».

10

Secondo quanto esposto dal giudice del rinvio, l’autorizzazione di cui all’articolo 97, primo comma, terzo periodo, della TKG in materia di trasmissione di dati si applica non solo ai contratti di recupero crediti qualora questi restino nell’ambito patrimoniale dei loro titolari iniziali, bensì parimenti agli altri contratti di cessione, segnatamente ai contratti aventi ad oggetto la cessione di crediti ai sensi dei quali il diritto ceduto appartiene definitivamente al cessionario, tanto sul piano giuridico quanto su quello economico.

11

Il sig. Probst è titolare di una linea telefonica della Deutsche Telekom AG, attraverso la quale il proprio computer è collegato a Internet. Nel periodo compreso tra il 28 giugno e il 6 settembre 2009, questi utilizzava, al fine di ottenere l’accesso puntuale a Internet, il numero fornito dalla Verizon. In un primo momento, il corrispettivo richiesto a tal titolo veniva fatturato al sig. Probst dalla Deutsche Telekom AG, a titolo di «importi dovuti ad altri fornitori». Successivamente, a fronte del mancato pagamento da parte del sig. Probst, la nexnet, cessionaria del credito in virtù di un contratto di factoring concluso tra i danti causa della Verizon e la stessa nexnet, intimava al medesimo il pagamento degli importi fatturati oltre a spese accessorie. In base al contratto di factoring la nexnet si è assunta il rischio relativo al recupero del credito.

12

I danti causa della nexnet e della Verizon hanno inoltre concluso un «accordo concernente la tutela dei dati e la riservatezza» ai sensi del quale:

(...)

(...)

(...)».

13

A parere del sig. Probst, il contratto di factoring è nullo in quanto viola, segnatamente, l’articolo 97, primo comma, del TKG. L’Amtsgericht ha respinto la domanda della nexnet, volta all’ottenimento del pagamento, mentre il giudice d’appello l’ha essenzialmente accolta. Dinanzi al Bundesgerichtshof è stato quindi proposto ricorso per cassazione.

14

Il giudice del rinvio ritiene che l’articolo 6, paragrafi 2 e 5, della direttiva 2002/58 sia pertinente ai fini dell’interpretazione dell’articolo 97, primo comma, della TKG. Detto giudice sottolinea, da un lato, che «l’emissione di fatture», che costituisce uno degli scopi ai fini del quale l’articolo 6, paragrafi 2 e 5, della direttiva medesima autorizza il trattamento dei dati sul traffico, non ricomprende necessariamente il recupero del prezzo fatturato. A suo parere, tuttavia, non sussiste alcuna ragione obiettiva di trattare in modo differente la fatturazione ed il recupero dei crediti con riguardo alla tutela dei dati. D’altro canto, l’articolo 6, paragrafo 5, della direttiva stessa riserverebbe il trattamento dei dati sul traffico ai soli soggetti agenti «sotto l’autorità» del fornitore della rete pubblica di comunicazioni e di servizi di comunicazioni elettroniche accessibili al pubblico (in prosieguo: il «fornitore di servizi»). Secondo il giudice del rinvio, tale nozione non consente di stabilire se il fornitore di servizi debba poter concretamente determinare l’utilizzazione dei dati, anche caso per caso, per tutta la durata del processo di trattamento di dati ovvero se sia sufficiente che siano previste regole generali relative al rispetto della riservatezza delle telecomunicazioni e della tutela dei dati, al pari di quelle convenute nella specie nelle disposizioni contrattuali, e che sia possibile ottenere, su semplice richiesta, la cancellazione o la restituzione dei dati stessi.

15

Ciò premesso, il Bundesgerichtshof ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:

«Se l’articolo 6, paragrafi 2 e 5, della direttiva 2002/58 consenta la trasmissione di dati sul traffico da un fornitore di servizi (c.d. “provider”) a un cessionario di crediti relativi a servizi di telecomunicazione, qualora tale cessione, effettuata ai fini del recupero di crediti in sofferenza, sia soggetta, a prescindere dagli obblighi generali di riservatezza delle telecomunicazioni e di tutela dei dati secondo le disposizioni legislative applicabili in un determinato periodo, alle seguenti condizioni contrattuali:

16

Con la questione pregiudiziale il giudice del rinvio chiede, sostanzialmente, se e in presenza di quali condizioni l’articolo 6, paragrafi 2 e 5, della direttiva 2002/58 consenta ad un fornitore di servizi di trasmettere dati sul traffico al cessionario dei propri crediti e a quest’ultimo di trattare i dati medesimi.

17

Da un lato, ai sensi dell’articolo 6, paragrafo 2, della direttiva 2002/58, possono essere sottoposti a trattamento i dati sul traffico che risultino necessari ai fini della fatturazione agli abbonati. Come sottolineato dalla nexnet e dalla Commissione europea, tale disposizione della direttiva de qua autorizza il trattamento dei dati sul traffico non solo ai fini della fatturazione, bensì parimenti ai fini del relativo recupero. Infatti, autorizzando il trattamento dei dati sul traffico «sino alla fine del periodo durante il quale può essere legalmente contestata la fattura o preteso il pagamento», tale disposizione fa riferimento non solo al trattamento dei dati al momento dell’emissione delle fatture, bensì parimenti al trattamento necessario ai fini dell’ottenimento del relativo pagamento.

18

Ai sensi, dall’altro, dell’articolo 6, paragrafo 5, della direttiva 2002/58, il trattamento dei dati sul traffico autorizzato dall’articolo 6, paragrafo 2, della direttiva medesima «deve essere limitato alle persone che agiscono sotto l’autorità dei fornitori di [servizi] che si occupano della fatturazione» e «deve essere limitato a quanto è strettamente necessario» per lo svolgimento di tali attività.

19

Dalla lettura del combinato disposto di dette disposizioni della direttiva 2002/58 emerge che un fornitore di servizi è autorizzato a trasmettere dati sul traffico al cessionario dei propri crediti ai fini del loro recupero e che è consentito a quest’ultimo sottoporre a trattamento tali dati a condizione che, in primo luogo, questi agisca «sotto l’autorità» del fornitore di servizi per quanto attiene al trattamento dei dati medesimi e, in secondo luogo, questi si limiti a sottoporre a trattamento i dati sul traffico necessari ai fini del recupero dei crediti medesimi.

20

Si deve rilevare che né la direttiva 2002/58 né la documentazione pertinente ai fini della sua interpretazione, quali i lavori preparatori, forniscono delucidazioni sull’esatta portata del termine «sotto l’autorità». Ciò premesso, conformemente alla giurisprudenza della Corte ai fini della determinazione del significato di tale termine, occorre far riferimento al suo senso abituale nel linguaggio corrente, tenendo conto, al contempo, del contesto in cui esso è utilizzato e degli scopi perseguiti dalla normativa di cui fa parte (v., in tal senso, sentenze del 10 marzo 2005, easyCar, C-336/03, Racc. pag. I-1947, punti 20 e 21, nonché del 5 luglio 2012, Content Services, C-49/11, punto 32).

21

Per quanto attiene al senso abituale di tale termine nel linguaggio corrente, si deve rilevare che un soggetto agisce sotto l’autorità di un altro soggetto quando il primo agisce su istruzione e sotto controllo del secondo.

22

Quanto al contesto in cui si colloca l’articolo 6 della direttiva 2002/58, si deve rammentare che l’articolo 5, paragrafo 1, della medesima dispone che gli Stati membri devono assicurare la riservatezza delle comunicazioni effettuate tramite la rete pubblica di comunicazione e i servizi di comunicazione elettronica accessibili al pubblico nonché dei relativi dati sul traffico.

23

L’articolo 6, paragrafi 2 e 5, della direttiva 2002/58 contiene una deroga alla riservatezza delle comunicazioni prevista al precedente articolo 5, paragrafo 1, consentendo il trattamento dei dati sul traffico in considerazione degli imperativi connessi alle attività di fatturazione dei servizi (v., in tal senso, sentenza del 29 gennaio 2008, Promusicae, C-275/06, Racc. pag. I-271, punto 48). Trattandosi di una deroga, tale disposizione di detta direttiva e, pertanto, anche il termine «sotto l’autorità», devono essere interpretati restrittivamente [v. sentenza del 17 febbraio 2011, The Number (UK) e Conduit Enterprises, C-16/10, Racc. pag. I-691, punto 31]. Tale interpretazione implica che il fornitore di servizi dispone di un potere di controllo effettivo che gli consente di verificare il rispetto, da parte del cessionario dei crediti, delle condizioni imposte a quest’ultimo quanto al trattamento dei dati sul traffico.

24

Tale interpretazione risulta avvalorata, in generale, dall’obiettivo della direttiva 2002/58 e, in particolare, dall’articolo 6, paragrafo 5, della medesima. La direttiva 2002/58, come emerge dal suo articolo 1, paragrafi 1 e 2, precisa e completa, nel settore delle comunicazioni elettroniche, la direttiva 95/46 ai fini, segnatamente, di garantire, negli Stati membri, un livello equivalente di tutela dei diritti e delle libertà fondamentali e, in particolare, del diritto alla vita privata, per quanto attiene al trattamento dei dati di carattere personale nel settore delle comunicazioni elettroniche.

25

Ciò premesso, l’articolo 6, paragrafo 5, della direttiva 2002/58 dev’essere interpretato alla luce di analoghe disposizioni della direttiva 95/46. Orbene, dagli articoli 16 e 17 di quest’ultima direttiva, che precisano il livello di controllo che un responsabile del trattamento deve esercitare sul subappaltatore designato, emerge che quest’ultimo agisce unicamente su istruzioni del responsabile del trattamento e che detto responsabile verifica il rispetto delle misure convenute per proteggere i dati di carattere personale contro qualsivoglia forma di trattamento illecito.

26

Quanto all’obiettivo perseguito dall’articolo 6, paragrafo 5, della direttiva 2002/58, in particolare, si deve rilevare che, sebbene tale disposizione autorizzi il trattamento dei dati sul traffico da parte di taluni soggetti terzi al fornitore di servizi ai fini, segnatamente, del recupero dei crediti del fornitore medesimo, consentendogli quindi di concentrarsi sulla prestazione dei servizi di comunicazioni elettroniche, tale disposizione è volta a garantire, laddove prevede che il trattamento dei dati sul traffico effettuato dev’essere ristretto alle persone che agiscono «sotto l’autorità» del fornitore di servizi, che tale ricorso all’esterno non incida sul livello di tutela dei dati di carattere personale di cui beneficia l’utente.

27

Dalle suesposte considerazioni emerge che, indipendentemente dalla qualificazione del contratto di cessione dei crediti ai fini del loro recupero, il cessionario di un credito relativo a corrispettivi di servizi di telecomunicazioni agisce, «sotto l’autorità» del fornitore dei servizi medesimi, ai sensi dell’articolo 6, paragrafo 5, della direttiva 2002/58, qualora il cessionario agisca, ai fini del trattamento dei dati sul traffico che tale attività implica, unicamente su istruzioni e sotto il controllo del fornitore stesso. In particolare, il contratto concluso tra il fornitore di servizi che ceda i propri crediti e il cessionario dei medesimi deve implicare disposizioni tali da garantire il trattamento lecito dei dati sul traffico da parte di quest’ultimo e deve consentire al fornitore di servizi di potersi assicurare, in qualsivoglia momento, del rispetto di tali disposizioni da parte del cessionario.

28

Spetta al giudice nazionale verificare, tenendo conto di tutti gli elementi risultanti dagli atti, se tali condizioni ricorrano nella specie oggetto del procedimento principale. Orbene, il fatto che un contratto di factoring presenti le caratteristiche descritte nella questione pregiudiziale depone nel senso che il contratto soddisfa tali condizioni. Infatti, un contratto di tal genere non consente il trattamento dei dati sul traffico da parte del cessionario dei crediti se non nella misura in cui tale trattamento è necessario ai fini del recupero dei crediti stessi e impone al cessionario l’obbligo di cancellare o di restituire immediatamente ed irrimediabilmente i dati medesimi non appena la loro conoscenza non sia più necessaria ai fini del recupero dei crediti di cui trattasi. Inoltre, consente al fornitore di servizi di controllare il rispetto delle regole di sicurezza e di tutela dei dati da parte del cessionario il quale, su semplice richiesta, può essere obbligato a cancellare o a restituire i dati sul traffico.

29

Alla luce delle suesposte considerazioni, la questione pregiudiziale dev’essere risolta dichiarando che l’articolo 6, paragrafi 2 e 5, della direttiva 2002/58, dev’essere interpretato nel senso che autorizza un fornitore di servizi a trasmettere dati sul traffico al cessionario dei propri crediti attinenti alla fornitura di servizi di telecomunicazioni ai fini del loro recupero e consente al cessionario medesimo di trattare detti dati, subordinatamente alla condizione che, in primo luogo, quest’ultimo agisca sotto l’autorità del fornitore di servizi per quanto attiene al trattamento dei dati stessi e, in secondo luogo, il cessionario si limiti a trattare i dati sul traffico che risultino necessari ai fini del recupero dei crediti ceduti.

30

Indipendentemente dalla qualificazione del contratto di cessione, si deve ritenere che il cessionario agisca sotto l’autorità del fornitore di servizi, ai sensi dell’articolo 6, paragrafo 5, della direttiva 2002/58, qualora, per quanto attiene al trattamento dei dati sul traffico, egli agisca unicamente su istruzioni e sotto il controllo del fornitore. In particolare, il contratto tra di essi concluso deve contenere disposizioni tali da garantire il trattamento lecito, da parte del cessionario, dei dati sul traffico e tali da consentire al fornitore di servizi di potersi assicurare, in qualsivoglia momento, del rispetto di dette disposizioni da parte del cessionario.

31

Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.

Per questi motivi, la Corte (Terza Sezione) dichiara:

L’articolo 6, paragrafi 2 e 5, della direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche), dev’essere interpretato nel senso che autorizza un fornitore di reti pubbliche di comunicazioni e di servizi di comunicazioni elettroniche accessibili al pubblico a trasmettere dati sul traffico al cessionario dei propri crediti attinenti alla fornitura di servizi di telecomunicazioni ai fini del loro recupero e consente al cessionario medesimo di trattare detti dati, subordinatamente alla condizione che, in primo luogo, quest’ultimo agisca sotto l’autorità del fornitore di servizi per quanto attiene al trattamento dei dati stessi e, in secondo luogo, il cessionario si limiti a trattare i dati sul traffico che risultino necessari ai fini del recupero dei crediti ceduti.

Indipendentemente dalla qualificazione del contratto di cessione, si deve ritenere che il cessionario agisca sotto l’autorità del fornitore di servizi, ai sensi dell’articolo 6, paragrafo 5, della direttiva 2002/58, qualora, per quanto attiene al trattamento dei dati sul traffico, egli agisca unicamente su istruzioni e sotto il controllo del fornitore. In particolare, il contratto tra di essi concluso deve contenere disposizioni tali da garantire il trattamento lecito, da parte del cessionario, dei dati sul traffico e tali da consentire al fornitore di servizi di potersi assicurare, in qualsivoglia momento, del rispetto di dette disposizioni da parte del cessionario.