—

pentru mr.nexnet GmbH, de P. Wassermann, Rechtsanwalt;

—

pentru Comisia Europeană, de F. Wilman și de F. Bulst, în calitate de agenți;

1

Cererea de decizie preliminară privește interpretarea articolului 6 alineatele (2) și (5) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) (JO L 201, p. 37, Ediție specială, 13/vol. 36, p. 63).

2

Această cerere a fost formulată în cadrul unui litigiu între mr.nexnet GmbH (denumită în continuare „nexnet”), cesionara unor creanțe privind furnizarea de servicii de acces la internet oferite de Verizon Deutschland GmbH (denumită în continuare „Verizon”), pe de o parte, și domnul Probst, destinatarul acestor servicii, pe de altă parte.

3

Articolul 16 din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (JO L 281, p. 31, Ediție specială, 13/vol. 17, p. 10) prevede:

„Orice persoană care acționează sub autoritatea operatorului sau a persoanei împuternicite de către operator, inclusiv persoana împuternicită, care are acces la datele cu caracter personal nu trebuie să le prelucreze decât la instrucțiunile operatorului, cu excepția cazului în care este obligată prin lege.”

4

Articolul 17 din Directiva 95/46 prevede:

„(1)   Statele membre prevăd aplicarea obligatorie de către operator a unor măsuri tehnice și organizatorice de protecție adecvate pentru protejarea datelor cu caracter personal împotriva distrugerii accidentale sau ilegale, pierderii accidentale, modificării, dezvăluirii sau accesului neautorizat, în special atunci când prelucrarea presupune transmiterea datelor într-o rețea, precum și împotriva oricărei alte forme de prelucrare ilegală.

Având în vedere cele mai noi tehnici din sector și costurile punerii lor în aplicare, aceste măsuri trebuie să asigure un nivel de securitate adecvat în ceea ce privește riscurile prezentate de prelucrare și caracterul datelor de protejat.

(2)   Statele membre prevăd ca operatorul, dacă prelucrarea este efectuată pe seama sa, să aleagă o persoană [împuternicită] care să prezinte suficiente garanții referitoare la măsurile de securitate tehnică și de organizare privind prelucrarea care urmează să fie efectuată și să vegheze la respectarea acestor măsuri.

(3)   Efectuarea prelucrărilor prin persoane împuternicite trebuie să fie reglementată printr-un contract sau act juridic care leagă persoana împuternicită de operator și care prevede, în special, că:

(4)   În scopul păstrării probelor, elementele contractului sau actului juridic care se referă la protecția datelor și la cerințele referitoare la măsurile prevăzute în alineatul (1) se consemnează în scris sau în altă formă echivalentă.”

5

Articolul 1 alineatele (1) și (2) din Directiva 2002/58 prevede:

„(1)   Prezenta directivă armonizează dispozițiile statelor membre, lucru necesar în vederea asigurării unui nivel echivalent de protecție a drepturilor și libertăților fundamentale, mai ales a dreptului la confidențialitatea datelor personale, în domeniul prelucrării de date personale în sectorul comunicațiilor electronice, și a liberei circulații a acestor date și a serviciilor și echipamentelor de comunicații electronice în interiorul [Uniunii Europene].

(2)   Prevederile prezentei directive precizează și completează [Directiva 95/46] în scopurile menționate la alineatul (1). [...]”

6

Articolul 2 al doilea paragraf litera (b) din această directivă definește „datele de transfer” ca fiind „orice date prelucrate în scopul transmiterii comunicației printr-o rețea de comunicații electronice sau în vederea facturării”.

7

Articolul 5 alineatul (1) din Directiva 2002/58 precizează:

„Statele membre trebuie să asigure confidențialitatea comunicațiilor și a datelor de transfer aferente transmise prin intermediul unei rețele de comunicații publice sau al unor servicii publice de comunicații electronice, prin legislația internă. [...]”

8

Articolul 6 din aceeași directivă prevede:

„(1)   Datele de transfer referitoare la abonați și utilizatori prelucrate și stocate de către furnizorul rețelei de comunicații publice sau al serviciilor publice de comunicații electronice trebuie șterse sau trecute în anonimat de îndată ce nu mai sunt necesare în scopul transmiterii comunicației, fără a aduce atingere alineatelor (2), (3) și (5) din prezentul articol [...]

(2)   Datele de transfer necesare în vederea facturării serviciilor oferite abonatului sau a plății conexiunii pot să fie prelucrate. Prelucrarea lor este permisă doar până la sfârșitul perioadei în care factura poate fi contestată prin lege sau plata poate fi urmărită.

[...]

(5)   Prelucrarea de date de transfer în conformitate cu alineatele (1), (2), (3) și (4) trebuie limitată la persoanele care acționează sub autoritatea furnizorilor de rețele de comunicații publice sau de servicii publice de comunicații electronice în vederea facturării sau pentru gestionarea traficului, serviciul clientelă, detectarea fraudelor, promovarea serviciilor de comunicații electronice sau furnizarea de servicii suplimentare și trebuie să se limiteze la prelucrarea strict necesară scopului respectivei activități.

[...]”

9

Articolul 97 alineatul 1 a treia și a patra teză din Legea privind telecomunicațiile (Telekommunikationsgesetz) din 22 iunie 2004 (BGBl. 2004 I, p. 1190, denumită în continuare „TKG”) are următorul cuprins:

„Determinarea și facturarea remunerării prestatorului de servicii

[...] În cazul în care prestatorul de servicii a încheiat cu un terț un contract privind încasarea contravalorii serviciului, îi poate transmite acestuia datele [de transfer] în măsura în care această transmitere este necesară pentru încasarea contravalorii serviciului și pentru întocmirea unei facturi detaliate. Terțul trebuie să fie obligat prin contract să respecte secretul telecomunicațiilor în conformitate cu articolul 88 și protecția datelor în conformitate cu articolele 93, 95, 96, 97, 99 și 100.

[...]”

10

Potrivit instanței de trimitere, posibilitatea prevăzută la articolul 97 alineatul 1 a treia teză din TKG în ceea ce privește transmiterea datelor există nu numai pentru contractele de recuperare de creanțe atunci când acestea din urmă rămân în patrimoniul titularilor lor inițiali, ci și pentru alte contracte de cesiune, în special pentru contractele care privesc dobândirea unor creanțe și care prevăd că creanța cesionată revine în mod definitiv cesionarului, atât din punct de vedere juridic, cât și din punct de vedere economic.

11

Domnul Probst deține o linie telefonică a Deutsche Telekom AG, prin intermediul căreia calculatorul său este conectat la internet. Domnul Probst a utilizat, între 28 iunie și 6 septembrie 2009, numărul furnizat de Verizon pentru a obține un acces punctual la internet. Într-o primă etapă, tariful solicitat pentru acces i-a fost facturat domnului Probst de Deutsche Telekom AG, cu titlu de „sume datorate altor furnizori”. Întrucât domnul Probst nu a efectuat plata, nexnet, cesionara acestei creanțe în temeiul unui contract de factoring încheiat între societățile ai căror succesori în drepturi sunt Verizon și nexnet, i-a solicitat plata sumelor facturate, majorate cu cheltuielile suplimentare. În temeiul contractului de factoring, nexnet suportă riscul de neplată.

12

În plus, societățile ai căror succesori în drepturi sunt nexnet și Verizon au încheiat un „acord privind protecția datelor și confidențialitatea” care prevede:

[...]

[...]

[...]”

13

Potrivit domnului Probst, contractul de factoring este nul întrucât încalcă, printre altele, articolul 97 alineatul 1 din TKG. Amtsgericht a respins cererea formulată de nexnet privind plata sumei solicitate, în timp ce instanța de apel a admis-o în cea mai mare parte. A fost formulat recurs în fața Bundesgerichtshof.

14

Instanța de trimitere consideră că articolul 6 alineatele (2) și (5) din Directiva 2002/58 este pertinent în ceea ce privește interpretarea articolului 97 alineatul 1 din TKG. Aceasta subliniază, pe de o parte, că „facturarea”, care constituie unul dintre obiectivele în vederea cărora articolul 6 alineatele (2) și (5) din această directivă permite prelucrarea datelor de transfer, nu include în mod necesar recuperarea sumelor facturate. Instanța de trimitere consideră totuși că nu există niciun motiv obiectiv pentru a trata în mod diferit facturarea și recuperarea creanțelor din perspectiva protecției datelor. Pe de altă parte, în temeiul articolului 6 alineatul (5) din directiva menționată, prelucrarea datelor de transfer ar trebui realizată numai de persoanele care acționează „sub autoritatea” furnizorului de rețele de comunicații publice sau de servicii publice de comunicații electronice (denumit în continuare „furnizorul de servicii”). Potrivit instanței de trimitere, această noțiune nu permite să se stabilească dacă, pe întreaga durată a procesului de prelucrare a datelor, furnizorul de servicii trebuie să aibă de fiecare dată posibilitatea concretă de a decide cu privire la utilizarea datelor sau dacă este suficient să se prevadă norme generale referitoare la respectarea secretului telecomunicațiilor și la protecția datelor, astfel cum sunt cele convenite în speță în dispozițiile contractuale, și să existe posibilitatea de a obține, la cerere, ștergerea sau restituirea datelor.

15

În aceste condiții, Bundesgerichtshof a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară:

„Articolul 6 alineatele (2) și (5) din Directiva 2002/58 permite transmiterea datelor de transfer de către furnizorul de servicii cesionarului unei creanțe privind plata unor servicii de telecomunicații, în cazul în care cesiunea, realizată în vederea recuperării creanțelor neachitate, are la bază următoarele dispoziții contractuale, care se adaugă obligației generale de respectare a secretului telecomunicațiilor și a protecției datelor rezultate din prevederile legale în vigoare:

16

Prin intermediul întrebării formulate, instanța de trimitere solicită, în esență, să se stabilească dacă și în ce condiții articolul 6 alineatele (2) și (5) din Directiva 2002/58 permite transmiterea unor date de transfer de către un furnizor de servicii cesionarului creanțelor sale și prelucrarea respectivelor date de către acesta din urmă.

17

Pe de o parte, în conformitate cu articolul 6 alineatul (2) din Directiva 2002/58, datele de transfer necesare în vederea facturării serviciilor oferite abonatului pot să fie prelucrate. Astfel cum subliniază nexnet și Comisia Europeană, această dispoziție din directiva menționată permite prelucrarea datelor de transfer nu numai în scopul facturării, ci și în vederea încasării sumelor facturate. Astfel, prin faptul că permite prelucrarea datelor de transfer „până la sfârșitul perioadei în care factura poate fi contestată prin lege sau plata poate fi urmărită”, dispoziția menționată nu se referă numai la prelucrarea datelor la momentul întocmirii facturilor, ci și la prelucrarea necesară în vederea obținerii plății acestora.

18

În temeiul, pe de altă parte, al articolului 6 alineatul (5) din Directiva 2002/58, prelucrarea datelor de transfer permisă de articolul 6 alineatul (2) din aceasta „trebuie limitată la persoanele care acționează sub autoritatea furnizorilor de [servicii] în vederea facturării” și „trebuie să se limiteze la prelucrarea strict necesară scopului” unei astfel de activități.

19

Din coroborarea acestor dispoziții din Directiva 2002/58 rezultă că este permisă transmiterea de date de transfer de către un furnizor de servicii cesionarului creanțelor sale în vederea recuperării lor și că acesta din urmă poate să prelucreze respectivele date, cu condiția ca, în primul rând, să acționeze „sub autoritatea” furnizorului de servicii în ceea ce privește prelucrarea respectivelor date și, în al doilea rând, să se limiteze la prelucrarea datelor de transfer care sunt necesare în vederea recuperării respectivelor creanțe.

20

Trebuie constatat că nici Directiva 2002/58, nici documentele relevante pentru interpretarea acesteia, cum sunt lucrările pregătitoare, nu aduc lămuriri cu privire la conținutul exact al termenilor „sub autoritatea”. În aceste condiții, în conformitate cu jurisprudența Curții, pentru determinarea semnificației acestor termeni trebuie să se recurgă la sensul obișnuit al acestora în limbajul curent, ținând seama și de contextul în care sunt utilizați, precum și de obiectivele urmărite de reglementarea din care fac parte (a se vedea în acest sens Hotărârea din 10 martie 2005, easyCar, C-336/03, Rec., p. I-1947, punctele 20 și 21, precum și Hotărârea din 5 iulie 2012, Content Services, C-49/11, punctul 32).

21

În ceea ce privește sensul obișnuit al acestor termeni în limbajul curent, trebuie să se considere că o persoană acționează sub autoritatea unei alte persoane atunci când urmează instrucțiunile și se află sub controlul acesteia din urmă.

22

Cu privire la contextul în care se înscrie articolul 6 din Directiva 2002/58, trebuie amintit că articolul 5 alineatul (1) din aceasta prevede că statele membre trebuie să asigure confidențialitatea comunicațiilor și a datelor de transfer aferente transmise prin intermediul unei rețele de comunicații publice sau al unor servicii publice de comunicații electronice.

23

Articolul 6 alineatele (2) și (5) din Directiva 2002/58 conține o excepție de la confidențialitatea comunicațiilor prevăzută la articolul 5 alineatul (1) din aceasta, permițând prelucrarea datelor de transfer din considerente care țin de necesitățile legate de activitățile de facturare a serviciilor (a se vedea în acest sens Hotărârea din 29 ianuarie 2008, Promusicae, C-275/06, Rep., p. I-271, punctul 48). Întrucât reprezintă o excepție, această dispoziție din directiva menționată și, prin urmare, și termenii „sub autoritatea” sunt de strictă interpretare [a se vedea Hotărârea din 17 februarie 2011, The Number (UK) și Conduit Enterprises, C-16/10, Rep., p. I-691, punctul 31]. O astfel de interpretare impune ca furnizorul de servicii să dispună de o putere de control efectivă care să îi permită să verifice respectarea de către cesionarul creanțelor a condițiilor care îi sunt impuse pentru prelucrarea datelor de transfer.

24

Această interpretare este confirmată de obiectivul Directivei 2002/58, în general, și de articolul 6 alineatul (5) din aceasta, în special. Astfel cum reiese din articolul 1 alineatele (1) și (2) din Directiva 2002/58, aceasta precizează și completează, în sectorul comunicațiilor electronice, Directiva 95/46 în special cu scopul de a asigura în statele membre un nivel echivalent de protecție a drepturilor și a libertăților fundamentale și mai ales a dreptului la confidențialitatea datelor personale în domeniul prelucrării de date personale în sectorul comunicațiilor electronice.

25

În aceste condiții, articolul 6 alineatul (5) din Directiva 2002/58 trebuie interpretat în lumina dispozițiilor similare din Directiva 95/46. Or, din articolele 16 și 17 din această din urmă directivă, care precizează nivelul de control pe care trebuie să îl exercite un operator asupra persoanei împuternicite pe care o desemnează, reiese că aceasta din urmă acționează numai la instrucțiunile operatorului și că respectivul operator veghează la respectarea măsurilor convenite pentru protejarea datelor cu caracter personal împotriva oricărei forme de prelucrare ilegală.

26

În ceea ce privește obiectivul urmărit concret de articolul 6 alineatul (5) din Directiva 2002/58, trebuie să se constate că, chiar dacă această dispoziție permite prelucrarea datelor de transfer de către anumite persoane altele decât furnizorul de servicii în vederea, printre altele, a recuperării creanțelor acestuia din urmă, permițându-i astfel să se concentreze asupra oferirii de servicii de comunicații electronice, dispoziția menționată, prin faptul că prevede că prelucrarea datelor de transfer trebuie să fie limitată la persoanele care acționează „sub autoritatea” furnizorului de servicii, urmărește să asigure că o astfel de externalizare nu afectează nivelul de protecție a datelor cu caracter personal de care beneficiază utilizatorul.

27

Reiese din cele de mai sus că, indiferent de calificarea contractului de cesiune a creanțelor în vederea recuperării lor, cesionarul unei creanțe privind plata unor servicii de telecomunicații acționează „sub autoritatea” furnizorului respectivelor servicii, în sensul articolului 6 alineatul (5) din Directiva 2002/58, atunci când, pentru prelucrarea datelor de transfer pe care o implică o astfel de activitate, cesionarul urmează exclusiv instrucțiunile și se află sub controlul respectivului furnizor. În special, contractul încheiat între furnizorul de servicii care își cesionează creanțele și cesionarul acestora trebuie să cuprindă dispoziții de natură să garanteze prelucrarea legală a datelor de transfer de către acesta din urmă și trebuie să permită furnizorului de servicii să se asigure, în orice moment, că respectivele dispoziții sunt respectate de cesionar.

28

Revine instanței naționale sarcina de a verifica, în raport cu toate elementele dosarului, dacă aceste condiții sunt îndeplinite în cauza principală. Or, faptul că un contract de factoring prezintă caracteristicile descrise în întrebarea adresată reprezintă un argument în sensul că acest contract îndeplinește condițiile menționate. Astfel, un contract de acest tip nu permite prelucrarea datelor de transfer de către cesionarul creanțelor decât în măsura în care această prelucrare este necesară în vederea recuperării acestor creanțe și impune cesionarului menționat obligația de a șterge sau de a restitui imediat și definitiv respectivele date de îndată ce accesul la acestea nu mai este necesar pentru recuperarea creanțelor în cauză. În plus, un astfel de contract permite furnizorului de servicii să controleze respectarea normelor privind protecția datelor și siguranța acestora de către cesionar, care, la simpla cerere a furnizorului de servicii, poate fi obligat să șteargă sau să restituie datele de transfer.

29

Având în vedere considerațiile de mai sus, trebuie să se răspundă la întrebarea adresată că articolul 6 alineatele (2) și (5) din Directiva 2002/58 trebuie interpretat în sensul că permite unui furnizor de servicii să transmită date de transfer cesionarului creanțelor sale privind furnizarea de servicii de telecomunicații în vederea recuperării lor și acestui cesionar să prelucreze respectivele date, cu condiția ca, în primul rând, cesionarul să acționeze sub autoritatea furnizorului de servicii în ceea ce privește prelucrarea respectivelor date și, în al doilea rând, ca respectivul cesionar să se limiteze la prelucrarea datelor de transfer care sunt necesare în vederea recuperării creanțelor cesionate.

30

Indiferent de calificarea contractului de cesiune, se consideră că cesionarul acționează sub autoritatea furnizorului de servicii, în sensul articolului 6 alineatul (5) din Directiva 2002/58, atunci când, pentru prelucrarea datelor de transfer, urmează exclusiv instrucțiunile și se află sub controlul respectivului furnizor. În special, contractul încheiat de aceștia trebuie să cuprindă dispoziții de natură să garanteze prelucrarea legală de către cesionar a datelor de transfer și să permită furnizorului de servicii să se asigure, în orice moment, că aceste dispoziții sunt respectate de cesionarul menționat.

31

Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a treia) declară:

Articolul 6 alineatele (2) și (5) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) trebuie interpretat în sensul că permite unui furnizor de rețele de comunicații publice sau de servicii publice de comunicații electronice să transmită date de transfer cesionarului creanțelor sale privind furnizarea de servicii de telecomunicații în vederea recuperării lor și acestui cesionar să prelucreze respectivele date, cu condiția ca, în primul rând, cesionarul să acționeze sub autoritatea furnizorului de servicii în ceea ce privește prelucrarea respectivelor date și, în al doilea rând, ca respectivul cesionar să se limiteze la prelucrarea datelor de transfer care sunt necesare în vederea recuperării creanțelor cesionate.

Indiferent de calificarea contractului de cesiune, se consideră că cesionarul acționează sub autoritatea furnizorului de servicii, în sensul articolului 6 alineatul (5) din Directiva 2002/58, atunci când, pentru prelucrarea datelor de transfer, urmează exclusiv instrucțiunile și se află sub controlul respectivului furnizor. În special, contractul încheiat de aceștia trebuie să cuprindă dispoziții de natură să garanteze prelucrarea legală de către cesionar a datelor de transfer și să permită furnizorului de servicii să se asigure, în orice moment, că aceste dispoziții sunt respectate de cesionarul menționat.