CELEX: 62014CJ0582
Trimitere preliminară
Prelucrarea datelor cu caracter personal
Directiva 95/46/CE
Articolul 2 litera (a)
Articolul 7 litera (f)
Noțiunea „date cu caracter personal”
Adrese de protocol internet
Stocare de către un furnizor de servicii de comunicații electronice
Reglementare națională care nu permite luarea în considerare a interesului legitim urmărit de operator

Cererea de decizie preliminară privește interpretarea articolului 2 litera (a) și a articolului 7 litera (f) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date (
JO 1995, L 281, p. 31
, Ediție specială, 13/vol. 17, p. 10).
Această cerere a fost prezentată în cadrul unui litigiu între domnul Patrick Breyer, pe de o parte, și Bundesrepublik Deutschland (Republica Federală Germania), pe de altă parte, în legătură cu înregistrarea și stocarea de către aceasta din urmă a adresei de protocol internet (denumită în continuare „adresa IP”) a domnului Breyer cu prilejul consultării de către acesta a mai multor site‑uri internet ale organismelor federale germane.
Cadrul juridic
Dreptul Uniunii
Considerentul (26) al Directivei 95/46 are următorul cuprins:
„întrucât principiile protecției trebuie să se aplice oricărei informații privind o persoană identificată sau identificabilă; întrucât, pentru a determina dacă o persoană este identificabilă este oportun să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de operator, fie de orice altă persoană pentru a identifica persoana vizată; întrucât principiile protecției nu se aplică datelor anonime astfel încât persoana vizată să nu mai fie identificabilă; întrucât codurile de conduită în sensul articolului 27 pot fi un instrument util pentru a furniza indicații asupra modului în care datele pot fi transformate în date anonime și stocate într‑o formă în care nu mai pot permite identificarea persoanei vizate”.
Potrivit articolului 1 din directiva menționată:
„(1)   Statele membre asigură, în conformitate cu prezenta directivă, protejarea drepturilor și libertăților fundamentale ale persoanei și în special a dreptului la viața privată în ceea ce privește prelucrarea datelor cu caracter personal.
(2)   Statele membre nu pot limita sau interzice libera circulație a datelor cu caracter personal între statele membre din motive legate de protecția asigurată în conformitate cu alineatul (1)”.
Articolul 2 din aceeași directivă prevede:
„În sensul prezentei directive:
(a)
«date cu caracter personal» înseamnă orice informație referitoare la o persoană fizică identificată sau identificabilă (persoana vizată); o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale;
(b)
«prelucrarea datelor cu caracter personal» (prelucrare) înseamnă orice operațiune sau serie de operațiuni care se efectuează asupra datelor cu caracter personal, prin mijloace automate sau neautomate, cum ar fi colectarea, înregistrarea, organizarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, dezvăluirea prin transmitere, diseminare sau în orice alt mod, alăturarea ori combinarea, blocarea, ștergerea sau distrugerea;
[…]
(d)
«operator» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice alt organism care, singur sau împreună cu altele, stabilește scopurile și mijloacele de prelucrare a datelor cu caracter personal; atunci când scopurile și mijloacele prelucrării sunt stabilite prin acte cu putere de lege sau norme administrative interne sau comunitare, operatorul sau criteriile specifice pentru desemnarea acestuia pot fi stabilite prin dreptul intern sau comunitar;
[…]
(f)
«terț» înseamnă persoana fizică sau juridică, autoritatea publică, agenția sau orice organism altul decât persoana vizată, operatorul, persoana împuternicită și persoanele care, sub directa autoritate a operatorului sau a persoanei împuternicite, sunt autorizate să prelucreze date;
[…]”
Articolul 3 din Directiva 95/46, intitulat „Domeniul de aplicare”, prevede:
„(1)   Prezenta directivă se aplică prelucrării automate, în totalitate sau parțial, precum și prelucrării neautomate a datelor cu caracter personal, conținute sau care urmează să fie conținute într‑un sistem de evidență a datelor cu caracter personal.
(2)   Prezenta directivă nu se aplică prelucrării datelor cu caracter personal:
—
puse în practică pentru exercitarea activităților din afara domeniului de aplicare a dreptului comunitar, cum ar fi cele prevăzute în titlurile V și VI din Tratatul privind Uniunea Europeană, și, în orice caz, prelucrărilor care au ca obiect siguranța publică, apărarea, securitatea statului (inclusiv bunăstarea economică a statului atunci când aceste prelucrări sunt legate de probleme de securitate a statului) și activitățile statului în domeniul dreptului penal;
[…]”
Articolul 5 din directiva menționată prevede:
„Statele membre precizează, în limitele dispozițiilor prezentului capitol, condițiile în care operațiunile de prelucrare a datelor cu caracter personal sunt legale.”
Articolul 7 din aceeași directivă are următorul cuprins:
„Statele membre prevăd ca datele cu caracter personal să fie prelucrate numai dacă:
(a)
persoana vizată și‑a dat consimțământul neechivoc
sau
(b)
prelucrarea este necesară pentru executarea unui contract la care subiectul datelor este parte sau în vederea luării unor măsuri, la cererea acestuia, înainte de încheierea contractului
sau
(c)
prelucrarea este necesară în vederea îndeplinirii unei obligații legale care îi revine operatorului
sau
(d)
prelucrarea este necesară în scopul protejării interesului vital al persoanei vizate
sau
(e)
prelucrarea este necesară pentru aducerea la îndeplinire a unei sarcini de interes public sau care rezultă din exercitarea autorității publice cu care este învestit operatorul sau terțul căruia îi sunt comunicate datele
sau
(f)
prelucrarea este necesară pentru realizarea interesului legitim urmărit de operator sau de către unul sau mai mulți terți, cu condiția ca acest interes să nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1)”.
Articolul 13 alineatul (1) din Directiva 95/46 prevede:
„Statele membre pot adopta măsuri legislative pentru a restrânge domeniul obligațiilor și drepturilor prevăzute la articolul 6 alineatul (1), articolul 10, articolul 11 alineatul (1), articolul 12 și articolul 21, dacă o astfel de restricție constituie o măsură necesară pentru a proteja:
[…]
(d)
prevenirea, investigarea, detectarea și punerea sub urmărire a infracțiunilor sau a încălcării eticii în cazul profesiunilor reglementate;
[…]”
Dreptul german
Articolul 12 din Telemediengesetz (Legea privind comunicațiile electronice) din 26 februarie 2007 (BGBl. 2007 I, p. 179, denumită în continuare „TMG”) prevede:
„(1)   Furnizorul de servicii poate colecta și utiliza datele cu caracter personal pentru punerea la dispoziție a comunicațiilor electronice numai în măsura în care prezenta lege sau o altă dispoziție legală care privește în mod expres comunicațiile electronice îl autorizează sau dacă există consimțământul utilizatorului în acest sens.
(2)   Furnizorul de servicii poate utiliza în alte scopuri datele cu caracter personal colectate pentru punerea la dispoziție a comunicațiilor electronice numai în măsura în care prezenta lege sau o altă dispoziție legală care privește în mod expres comunicațiile electronice îl autorizează sau dacă există consimțământul utilizatorului în acest sens.
(3)   În lipsa unor dispoziții contrare, legislația în vigoare în materia protecției datelor cu caracter personal se aplică chiar dacă datele nu sunt prelucrate în mod automat.”
Articolul 15 din TMG prevede:
„(1)   Furnizorul de servicii poate colecta și utiliza datele cu caracter personal ale unui utilizator numai în măsura în care este necesar pentru a permite și a factura utilizarea serviciilor de comunicații electronice (datele de utilizare). Datele de utilizare sunt în special:
1.
elementele de identificare a utilizatorului;
2.
informațiile privind începutul și sfârșitul fiecărei utilizări, precum și întinderea acesteia și
3.
informațiile privind mijloacele de comunicații electronice folosite de utilizator.
(2)   Furnizorul de servicii poate grupa datele de utilizare ale unui utilizator referitoare la folosirea diferitor servicii de telecomunicații în măsura în care este necesar pentru emiterea de facturi către acest utilizator.
[…]
(4)   Furnizorul de sericii poate utiliza datele de utilizare după terminarea sesiunii, în măsura în care este necesar pentru facturarea serviciului către utilizator (datele pentru facturare). Pentru a respecta termenele de stocare legale, statutare sau contractuale, furnizorul de servicii poate bloca datele.
[…]”
Potrivit articolului 3 alineatul 1 din Bundesdatenschutzgesetz (Legea federală privind protecția datelor) din 20 decembrie 1990 (BGBl. 1990 I, p. 2954), „[d]atele cu caracter personal sunt informațiile privind situația personală sau materială referitoare la o persoană fizică identificată sau identificabilă (persoana vizată) […]”.
Litigiul principal și întrebările preliminare
Domnul Breyer a consultat mai multe site‑uri internet ale organismelor federale germane. Pe aceste situri, accesibile publicului, organismele respective furnizează informații actualizate.
Pentru a preveni atacurile și a face posibilă urmărirea penală a „piraților”, majoritatea acestor site‑uri înregistrează toate consultările în fișiere‑jurnal. În cuprinsul acestora sunt stocate, la terminarea sesiunii de consultare a site‑urilor menționate, numele site‑ului sau al fișierului consultat, termenii introduși în câmpurile de căutare, data și ora la care a avut loc consultarea, volumul datelor transferate, constatarea consultării cu succes și adresa IP a calculatorului de pe care s‑a efectuat consultarea.
Adresele IP sunt o succesiune de cifre care se atribuie calculatoarelor conectate la internet pentru a permite comunicarea între ele prin această rețea. Atunci când este consultat un site internet, adresa IP a calculatorului care solicită accesul este comunicată serverului pe care este găzduit site‑ul consultat. Această comunicare este necesară pentru ca datele consultate să poată fi transferate destinatarului corect.
Pe de altă parte, reiese din decizia de trimitere și din dosarul de care dispune Curtea că furnizorii de acces la internet atribuie calculatoarelor utilizatorilor internetului fie o adresă IP „statică”, fie o adresă IP „dinamică”, și anume o adresă IP care se schimbă cu ocazia fiecărei noi conectări la internet. Spre deosebire de adresele IP statice, adresele IP dinamice nu ar permite să se facă legătura, prin intermediul unor fișiere accesibile publicului, între un anumit calculator și conexiunea fizică la rețea utilizată de furnizorul de acces la internet.
Domnul Breyer a introdus la instanțele administrative germane o acțiune având ca obiect obligarea Republicii Federale Germania să înceteze să stocheze sau să permită stocarea de către terţi, la terminarea fiecărei sesiuni de consultare a site‑urilor de comunicaţii electronice accesibile publicului care aparțin organismelor federale germane, a adresei IP a sistemului‑gazdă de pe care a solicitat accesul domnul Breyer, în măsura în care această stocare nu este necesară în caz de defecțiune pentru restabilirea difuzării comunicaţiilor electronice respective.
Întrucât acțiunea formulată de domnul Breyer a fost respinsă în prima instanță, acesta a declarat apel împotriva deciziei de respingere.
Instanța de apel a reformat în parte decizia menţionată. Aceasta a obligat Republica Federală Germania să înceteze stocarea sau permiterea stocării de către terți, la terminarea fiecărei consultări, a adresei IP a sistemului‑gazdă de pe care solicita accesul domnul Breyer, transmisă în cadrul consultării de către acesta a site‑urilor de comunicaţii electronice accesibile publicului care aparțin organismelor federale germane, în cazul în care această adresă este stocată împreună cu data sesiunii de consultare la care se raportează și în cazul în care domnul Breyer și‑a divulgat identitatea în timpul sesiunii respective, inclusiv sub forma unei adrese electronice care îi precizează identitatea, în măsura în care această stocare nu este necesară în caz de defecțiune pentru restabilirea difuzării comunicaţiilor electronice.
Potrivit acestei instanțe de apel, o adresă IP dinamică, coroborată cu data sesiunii de consultare la care se raportează, constituie, atunci când utilizatorul site‑ului internet vizat și‑a divulgat identitatea în timpul acestei sesiuni, o dată cu caracter personal, întrucât operatorul site‑ului respectiv poate identifica utilizatorul prin combinarea numelui acestuia cu adresa IP a calculatorului său.
Instanța de apel menționată a considerat totuși că acțiunea formulată de domnul Breyer nu putea fi admisă în alte ipoteze. Astfel, în ipoteza în care domnul Breyer nu își precizează identitatea în timpul unei sesiuni de consultare, numai furnizorul de acces la internet ar putea să facă legătura dintre adresa IP și un abonat identificat. În schimb, atunci când este deținută de Republica Federală Germania, în calitatea sa de furnizor de servicii de comunicații electronice, adresa IP nu ar constitui o dată cu caracter personal, chiar coroborată cu data sesiunii de consultare la care se raportează, întrucât utilizatorul site‑urilor de internet vizate nu ar fi identificabil de către acest stat membru.
Domnul Breyer și Republica Federală Germania au declarat fiecare recurs la Bundesgerichtshof (Curtea Federală de Justiție, Germania) împotriva deciziei instanței de apel. Domnul Breyer solicită admiterea în totalitate a cererii sale de instituire a unei interdicții. Republica Federală Germania solicită respingerea acestei cereri.
Instanța de trimitere precizează că adresele IP dinamice ale calculatorului domnului Breyer, stocate de Republica Federală Germania în calitate de furnizor de servicii de comunicații electronice, constituie, cel puțin în contextul altor date stocate în fișierele‑jurnal, date speciale privind condițiile materiale ale domnului Breyer, întrucât ele furnizează informații referitoare la consultarea de către acesta a anumitor site‑uri sau a anumitor fișiere pe internet la anumite date.
Totuși, datele astfel stocate nu ar permite să se stabilească în mod direct identitatea domnului Breyer. Astfel, operatorii site‑urilor internet în discuție în litigiul principal ar putea să îl identifice pe domnul Breyer numai dacă furnizorul său de acces la internet le‑ar transmite informații privind identitatea acestui utilizator. Calificarea acestor date drept „personale” ar depinde, în consecință, de aspectul dacă domnul Breyer ar fi identificabil.
Bundesgerichtshof (Curtea Federală de Justiție) menționează controversa din doctrină referitoare la aspectul dacă, pentru a stabili dacă o persoană este identificabilă, trebuie să fie utilizat un criteriu „obiectiv” sau un criteriu „relativ”. Aplicarea unui criteriu „obiectiv” ar avea drept consecință faptul că date precum adresele IP în discuție în litigiul principal ar putea fi considerate, la terminarea sesiunii de consultare a site‑urilor internet vizate, ca având un caracter personal chiar dacă numai un terț este în măsură să determine identitatea persoanei vizate, acest terț fiind, în speță, furnizorul de acces la internet al domnului Breyer care a stocat date suplimentare care permit identificarea sa prin intermediul adreselor IP menționate. Potrivit unui criteriu „relativ”, s‑ar putea considera că astfel de date au un caracter personal pentru un organism, precum furnizorul de acces la internet al domnului Breyer, întrucât acestea permit identificarea precisă a utilizatorului (a se vedea în această privință Hotărârea din 24 noiembrie 2011, Scarlet Extended,
C‑70
,
EU:C:2011:771
, punctul
), dar că nu au un astfel de caracter pentru un alt organism, precum operatorul site‑urilor de internet consultate de domnul Breyer, întrucât acest operator nu ar dispune, în ipoteza în care domnul Breyer nu și‑a divulgat identitatea în cursul sesiunilor de consultare a acestor site‑uri, de informațiile necesare pentru identificarea sa fără un efort disproporționat.
În ipoteza în care ar trebui să se considere că adresele IP dinamice ale calculatorului domnului Breyer, coroborate cu data sesiunii la care acestea se raportează, constituie date cu caracter personal, instanța de trimitere solicită să se stabilească dacă stocarea acestor adrese IP la terminarea acestei sesiuni este autorizată în temeiul articolului 7 litera (f) din aceeași directivă.
În această privință, Bundesgerichtshof (Curtea Federală de Justiție) precizează, pe de o parte, că, în temeiul articolului 15 alineatul 1 din TMG, furnizorii de servicii de comunicații electronice pot colecta și utiliza datele cu caracter personal ale unui utilizator numai în măsura în care este necesar pentru a permite și a factura utilizarea acestor comunicații. Pe de altă parte, instanța de trimitere precizează că, potrivit Republicii Federale Germania, stocarea datelor menționate este necesară pentru a garanta securitatea și continuitatea bunei funcționări a site‑urilor serviciilor de comunicații electronice pe care le pune la dispoziţia publicului, permițând în special recunoașterea atacurilor informatice denumite „Denial‑of‑Service”, care urmăresc paralizarea funcționării acestor site‑uri prin asaltarea țintită și coordonată a anumitor servere de internet cu un număr mare de cereri, și combaterea acestor atacuri.
Potrivit instanței de trimitere, dacă și în măsura în care este necesar ca furnizorul de servicii de comunicații electronice să ia măsuri pentru a combate astfel de atacuri, aceste măsuri ar putea fi considerare necesare pentru „a permite […] utilizarea mijloacelor de comunicații electronice” în temeiul articolului 15 din TMG. Cu toate acestea, în doctrină, opinia majoritară ar susține punctul de vedere că, pe de o parte, colectarea și utilizarea datelor cu caracter personal ale unui utilizator de internet sunt autorizate numai pentru a permite o utilizare concretă a acestui site și, pe de altă parte, că aceste date trebuie șterse după terminarea sesiunii de consultare respective dacă nu sunt necesare în vederea facturării. Or, o astfel de interpretare restrictivă a articolului 15 alineatul 1 din TMG s‑ar opune ca stocarea adreselor IP să fie autorizată pentru a garanta, în general, securitatea și continuitatea bunei funcționări a comunicațiilor electronice.
Instanța de trimitere solicită să se stabilească dacă această din urmă interpretare, care este interpretarea preconizată de instanța de apel, este în conformitate cu articolul 7 litera (f) din Directiva 95/46, având în vedere în special criteriile stabilite de Curte la punctul 29 și următoarele din Hotărârea din 24 noiembrie 2011, ASNEF și FECEMD (
C‑468/10 și C‑469/10
,
EU:C:2011:777
).
În aceste condiții, Bundesgerichtshof (Curtea Federală de Justiție) a decis să suspende judecata și să adreseze Curții următoarele întrebări preliminare:
„1)
Articolul 2 litera (a) din Directiva 95/46 trebuie interpretat în sensul că o adresă IP care este înregistrată de un furnizor de servicii [de comunicații electronice] cu ocazia accesului la site‑ul său internet constituie pentru acesta o dată cu caracter personal, în cazul în care un terț (în speță, furnizorul de acces) dispune de informațiile suplimentare necesare pentru identificarea persoanei vizate?
2)
Articolul 7 litera (f) din [această directivă] se opune unei dispoziții de drept național potrivit căreia furnizorul de servicii [de comunicații electronice] poate colecta și utiliza datele personale ale unui utilizator fără consimțământul acestuia numai în măsura în care este necesar pentru a permite și a factura utilizarea efectivă a serviciului de comunicații electronice de către respectivul utilizator și potrivit căreia scopul asigurării unei funcționalități generale a serviciului respectiv nu poate justifica utilizarea datelor după terminarea sesiunii în curs?”
Cu privire la întrebările preliminare
Cu privire la prima întrebare
Prin intermediul primei întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 2 litera (a) din Directiva 95/46 trebuie interpretat în sensul că o adresă IP dinamică înregistrată de un furnizor de servicii de comunicații electronice cu ocazia consultării de către o persoană a unui site internet pe care acest furnizor îl pune la dispoziția publicului constituie, pentru furnizorul respectiv, o dată cu caracter personal în sensul acestei dispoziții, în cazul în care un terț, în speță furnizorul de acces la internet al respectivei persoane, dispune de informațiile suplimentare necesare pentru identificarea acesteia.
Potrivit dispoziției menționate, „date cu caracter personal” înseamnă „orice informație referitoare la o persoană fizică identificată sau identificabilă (persoana vizată)”. În temeiul acestei dispoziții, o persoană identificabilă este o persoană care poate fi identificată, direct sau indirect, în special prin referire la un număr de identificare sau la unul sau mai multe elemente specifice, proprii identității sale fizice, fiziologice, psihice, economice, culturale sau sociale.
Cu titlu introductiv, trebuie să se arate că, la punctul 51 din Hotărârea din 24 noiembrie 2011, Scarlet Extended (
C‑70/10
,
EU:C:2011:771
), care privea printre altele interpretarea aceleiași directive, Curtea a considerat în esență că adresele IP ale utilizatorilor de internet reprezintă date protejate cu caracter personal, deoarece permit identificarea precisă a acestor utilizatori.
Totuși, această afirmație a Curții se referea la ipoteza în care colectarea și identificarea adreselor IP ale utilizatorilor de internet ar fi efectuate de furnizorii de acces la internet.
Or, în speță, prima întrebare privește ipoteza în care furnizorul de servicii de comunicații electronice, și anume Republica Federală Germania, este cel care înregistrează adresele IP ale utilizatorilor unui site internet pe care acest furnizor de servicii îl pune la dispoziția publicului, fără a dispune de informațiile suplimentare necesare pentru a identifica utilizatorii respectivi.
În plus, este cert că adresele IP la care face referire instanța de trimitere sunt adrese IP „dinamice”, și anume adresele provizorii care sunt atribuite fiecărei conectări la internet și sunt înlocuite la conectările ulterioare, iar nu adrese IP „statice”, care sunt invariabile și permit identificarea permanentă a dispozitivului conectat la rețea.
Prima întrebare adresată de instanța de trimitere este întemeiată astfel pe premisa potrivit căreia, pe de o parte, datele care constau într‑o adresă IP dinamică, precum și în data și ora sesiunii de consultare a unui site internet pornind de la această adresă IP, înregistrate de un furnizor de servicii de comunicații electronice, nu oferă, singure, acestui furnizor posibilitatea de a identifica utilizatorul care a consultat site‑ul internet respectiv în cursul acestei sesiuni și, pe de altă parte, furnizorul de acces la internet dispune, la rândul său, de informații suplimentare care, dacă ar fi coroborate cu această adresă IP, ar permite identificarea utilizatorului menţionat.
În această privință, trebuie să se arate mai întâi că este cert că o adresă IP dinamică nu constituie o informație care se raportează la o „persoană fizică identificată”, în măsura în care o astfel de adresă nu divulgă în mod direct identitatea persoanei fizice proprietare a calculatorului de la care a avut loc consultarea unui site internet și nici pe aceea a unei alte persoane care ar putea utiliza acest calculator.
În continuare, pentru a stabili dacă o adresă IP dinamică constituie, în ipoteza prezentată la punctul 37 din prezenta hotărâre, o dată cu caracter personal în sensul articolului 2 litera (a) din Directiva 96/45 pentru un furnizor de servicii de comunicații electronice, trebuie să se verifice dacă o asemenea adresă IP înregistrată de un astfel de furnizor poate fi calificată drept informație care se raportează la o „persoană fizică identificabilă”, atunci când informațiile suplimentare necesare pentru a identifica utilizatorul unui site internet pe care acest furnizor de servicii îl pune la dispoziția publicului sunt deținute de furnizorul de acces la internet al utilizatorului respectiv.
În această privință, rezultă din modul de redactare a articolului 2 litera (a) din Directiva 95/46 că o persoană identificabilă este o persoană care poate fi identificată nu doar direct, ci și indirect.
Utilizarea de către legiuitorul Uniunii a termenului „indirect” urmărește să indice că, pentru a califica o informație drept dată cu caracter personal, nu este necesar ca această informație să permită, singură, identificarea persoanei vizate.
În plus, considerentul (26) al Directivei 95/46 precizează că, pentru a determina dacă o persoană este identificabilă, este oportun să se ia în considerare toate mijloacele care pot fi utilizate în mod rezonabil fie de operator, fie de orice altă persoană pentru a identifica persoana vizată.
În măsura în care acest considerent face referire la mijloace care pot fi utilizate în mod rezonabil atât de operator, cât și de o „altă persoană”, modul de redactare a acestuia sugerează că, pentru ca o dată să poată fi calificată drept „dată cu caracter personal” în sensul articolului 2 litera (a) din directiva menționată, nu este necesar ca toate informațiile care permit identificarea persoanei vizate să se afle în posesia unei singure persoane.
Faptul că informațiile suplimentare necesare pentru a identifica utilizatorul unui site internet sunt deținute nu de furnizorul de servicii de comunicații electronice, ci de furnizorul de acces la internet al acestui utilizator, nu pare astfel de natură să excludă că adresele IP dinamice înregistrate de furnizorul de servicii de comunicații electronice constituie, pentru acesta, date cu caracter personal în sensul articolului 2 litera (a) din Directiva 95/46.
Trebuie totuși să se stabilească dacă posibilitatea de a corobora o adresă IP dinamică cu informațiile suplimentare menționate deținute de acest furnizor de acces la internet constituie un mijloc care poate fi utilizat în mod rezonabil pentru a identifica persoana vizată.
Astfel cum a arătat în esență avocatul general la punctul 68 din concluzii, situația nu s‑ar prezenta astfel dacă identificarea persoanei vizate ar fi interzisă prin lege sau nerealizabilă în practică, de exemplu ca urmare a faptului că ar implica un efort disproporționat în termeni de timp, de costuri și de forţă de muncă, astfel încât riscul unei identificări ar părea în realitate nesemnificativ.
Or, deși instanța de trimitere precizează în decizia sa de trimitere că dreptul german nu permite furnizorului de acces la internet să transmită în mod direct furnizorului de servicii de comunicații electronice informațiile suplimentare necesare pentru identificarea persoanei vizate, se pare totuși, sub rezerva verificărilor care trebuie efectuate în această privință de instanța menționată, că există căi legale care permit furnizorului de servicii de comunicații electronice să se adreseze, în special în cazul unor atacuri cibernetice, autorității competente pentru ca aceasta să întreprindă demersurile necesare pentru a obține aceste informații de la furnizorul de acces la internet și pentru a declanșa urmărirea penală.
Se pare astfel că furnizorul de servicii de comunicații electronice dispune de mijloace care pot fi utilizate în mod rațional pentru a identifica, cu ajutorul altor persoane, în speță autoritatea competentă și furnizorul de acces la internet, persoana vizată pe baza adreselor IP stocate.
Având în vedere ansamblul considerațiilor care precedă, trebuie să se răspundă la prima întrebare că articolul 2 litera (a) din Directiva 95/46 trebuie interpretat în sensul că o adresă IP dinamică înregistrată de un furnizor de servicii de comunicații electronice cu ocazia consultării de către o persoană a unui site internet pe care acest furnizor îl pune la dispoziția publicului constituie, pentru furnizorul respectiv, o dată cu caracter personal în sensul acestei dispoziții, în cazul în care acesta dispune de mijloace legale care îi permit să identifice persoana vizată cu ajutorul informațiilor suplimentare de care dispune furnizorul de acces la internet al acestei persoane.
Cu privire la a doua întrebare
Prin intermediul celei de a doua întrebări, instanța de trimitere solicită în esență să se stabilească dacă articolul 7 litera (f) din Directiva 95/46 trebuie interpretat în sensul că se opune unei reglementări a unui stat membru în temeiul căreia un furnizor de servicii de comunicații electronice poate colecta și utiliza datele cu caracter personal aferente unui utilizator al acestor servicii, în lipsa consimțământului acestuia, numai în măsura în care această colectare și această utilizare sunt necesare pentru a permite și a factura utilizarea concretă a serviciilor menționate de către acest utilizator, fără ca obiectivul care vizează asigurarea funcționalității generale a acelorași servicii să poată justifica utilizarea datelor respective după o sesiune de consultare a acestora.
Înainte de a răspunde la această întrebare, este necesar să se stabilească dacă prelucrarea datelor cu caracter personal în discuție în litigiul principal, și anume adresele IP dinamice ale utilizatorilor anumitor site‑uri internet ale organismelor federale germane, nu este exclusă din domeniul de aplicare al Directivei 95/46 în conformitate cu articolul 3 alineatul (2) prima liniuță din aceasta, în temeiul căruia directiva menționată nu se aplică prelucrării datelor cu caracter personal care au ca obiect printre altele activitățile statului în domeniul dreptului penal.
În această privință, trebuie amintit că activitățile menționate cu titlu de exemplu în cuprinsul dispoziției menționate sunt, în toate cazurile, activități proprii statelor sau autorităților statale, străine de domeniile de activitate ale particularilor (a se vedea Hotărârea din 6 noiembrie 2003, Lindqvist,
C‑101/01
,
EU:C:2003:596
, punctul
, și Hotărârea din 16 decembrie 2008, Satakunnan Markkinapörssi și Satamedia,
C‑73/07
,
EU:C:2008:727
, punctul
).
Or, în cauza principală, sub rezerva verificărilor care trebuie efectuate în această privință de instanța de trimitere, se pare că organismele federale germane, care furnizează servicii de comunicații electronice și care sunt responsabile de prelucrarea adreselor IP dinamice, acționează, în pofida statutului lor de autorități publice, în calitate de particulari și în afara cadrului activităților statului în domeniul dreptului penal.
Prin urmare, trebuie să se stabilească dacă o reglementare a unui stat membru precum cea în discuție în litigiul principal este compatibilă cu articolul 7 litera (f) din Directiva 95/46.
În acest scop, trebuie amintit că reglementarea națională în discuție în litigiul principal, astfel cum este interpretată în sensul restrictiv precizat de instanța de trimitere, autorizează colectarea și utilizarea datelor cu caracter personal aferente unui utilizator al serviciilor menționate, în lipsa consimțământului acestuia, numai în măsura în care acest lucru este necesar pentru a permite și a factura utilizarea concretă a comunicațiilor electronice de către utilizatorul în discuție, fără ca obiectivul care vizează garantarea funcționalității generale a comunicațiilor electronice să poată justifica utilizarea datelor menționate după o sesiune de consultare a acestor comunicații.
În conformitate cu articolul 7 litera (f) din Directiva 95/46, prelucrarea datelor cu caracter personal este legală dacă „este necesară pentru realizarea interesului legitim urmărit de operator sau de către unul sau mai mulți terți, cu condiția ca acest interes să nu prejudicieze interesul sau drepturile și libertățile fundamentale ale persoanei vizate, care necesită protecție în temeiul articolului 1 alineatul (1)” din această directivă.
Trebuie amintit că Curtea a statuat că articolul 7 din directiva menționată prevede o listă exhaustivă și limitativă de cazuri în care o prelucrare de date cu caracter personal poate fi considerată ca fiind legală și că statele membre nu pot nici să adauge principii noi privind legitimarea prelucrărilor de date cu caracter personal la articolul respectiv, nici să prevadă cerințe suplimentare care să modifice conținutul unuia dintre cele șase principii prevăzute la acest articol (a se vedea în acest sens Hotărârea din 24 noiembrie 2011, ASNEF și FECEMD,
C‑468/10 și C‑469/10
,
EU:C:2011:777
, punctele
și
).
Deși articolul 5 din Directiva 95/46 autorizează în mod cert statele membre să precizeze, în limitele capitolului II din această directivă și, prin urmare, ale articolului 7 din aceasta, condițiile în care operațiunile de prelucrare a datelor cu caracter personal sunt legale, marja de apreciere de care dispun statele membre în temeiul articolului 5 menționat poate fi utilizată numai în conformitate cu obiectivul urmărit de directiva respectivă, care constă în menținerea unui echilibru între libera circulație a datelor cu caracter personal și protejarea vieții private. În temeiul articolului 5 din aceeași directivă, statele membre nu pot nici să introducă alte principii referitoare la legitimarea operațiunilor de prelucrare a datelor cu caracter personal decât cele prevăzute la articolul 7 din aceasta, nici să modifice, prin cerințe suplimentare, conținutul celor șase principii prevăzute la articolul 7 menționat (a se vedea în acest sens Hotărârea din 24 noiembrie 2011, ASNEF și FECEMD,
C‑468/10 și C‑469/10
,
EU:C:2011:777
, punctele
,
și
).
În speță, rezultă că, dacă ar fi interpretat în modul strict menționat la punctul 55 din prezenta hotărâre, articolul 15 din TMG ar avea un conținut mai restrictiv decât cel al principiului prevăzut la articolul 7 litera (f) din Directiva 95/46.
Astfel, în timp ce articolul 7 litera (f) din directiva menționată se referă, în general, la „realizarea interesului legitim urmărit de operator sau de către unul sau mai mulți terți”, articolul 15 din TMG ar autoriza furnizorul de servicii să colecteze și să utilizeze datele cu caracter personal ale unui utilizator numai în măsura în care este necesar pentru a permite și a factura utilizarea concretă a comunicațiilor electronice. Articolul 15 din TMG s‑ar opune astfel, în general, stocării, la terminarea unei sesiuni de consultare a comunicațiilor electronice, a datelor cu caracter personal pentru a asigura utilizarea acestor comunicații. Or, organismele federale germane care furnizează servicii de comunicații electronice ar putea de asemenea să aibă un interes legitim în a asigura, dincolo de fiecare utilizare concretă a site‑urilor lor internet accesibile publicului, continuitatea funcționării site‑urilor menționate.
Astfel cum a arătat avocatul general la punctele 100 și 101 din concluzii, o asemenea reglementare națională nu se limitează să precizeze, în conformitate cu articolul 5 din Directiva 95/46, noțiunea „interes legitim” prevăzută la articolul 7 litera (f) din directiva menţionată.
În această privință, trebuie amintit de asemenea că articolul 7 litera (f) din directiva menționată se opune ca un stat membru să excludă în mod categoric și generalizat posibilitatea ca anumite categorii de date cu caracter personal să fie prelucrate, fără a permite o ponderare a drepturilor și a intereselor opuse în cauză într‑un anumit caz. Un stat membru nu poate astfel să stabilească, pentru aceste categorii, în mod definitiv, rezultatul ponderării drepturilor și intereselor opuse fără a permite un rezultat diferit în funcție de împrejurările speciale ale unui caz concret (a se vedea în acest sens Hotărârea din 24 noiembrie 2011, ASNEF și FECEMD,
C‑468/10 și C‑469/10
,
EU:C:2011:777
, punctele
și
).
Or, o reglementare precum cea în discuție în litigiul principal reduce, în ceea ce privește prelucrarea datelor cu caracter personal ale utilizatorilor site‑urilor de comunicații electronice, domeniul de aplicare al principiului prevăzut la articolul 7 litera (f) din Directiva 95/46, excluzând ca obiectivul privind asigurarea funcționalității generale a comunicațiilor electronice respective să poată face obiectul unei ponderări cu interesul sau cu drepturile și libertățile fundamentale ale acestor utilizatori care necesită, în conformitate cu această dispoziție, o protecție în temeiul articolului 1 alineatul (1) din această directivă.
Rezultă din ansamblul considerațiilor care precedă că trebuie să se răspundă la cea de a doua întrebare că articolul 7 litera (f) din Directiva 95/46 trebuie interpretat în sensul că se opune unei reglementări a unui stat membru în temeiul căreia un furnizor de servicii de comunicații electronice poate colecta și utiliza datele cu caracter personal aferente unui utilizator al acestor servicii, în lipsa consimțământului acestuia, numai în măsura în care această colectare și această utilizare sunt necesare pentru a permite și a factura utilizarea concretă a serviciilor respective de către acest utilizator, fără ca obiectivul care vizează asigurarea funcționalității generale a acelorași servicii să poată justifica utilizarea datelor menţionate după o sesiune de consultare a acestora.
Cu privire la cheltuielile de judecată
Întrucât, în privința părților din litigiul principal, procedura are caracterul unui incident survenit la instanța de trimitere, este de competența acesteia să se pronunțe cu privire la cheltuielile de judecată. Cheltuielile efectuate pentru a prezenta observații Curții, altele decât cele ale părților menționate, nu pot face obiectul unei rambursări.

Pentru aceste motive, Curtea (Camera a doua) declară:

1)
Articolul 2 litera (a) din Directiva 95/46/CE a Parlamentului European și a Consiliului din 24 octombrie 1995 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și libera circulație a acestor date trebuie interpretat în sensul că o adresă de protocol internet dinamică înregistrată de un furnizor de servicii de comunicații electronice cu ocazia consultării de către o persoană a unui site internet pe care acest furnizor îl pune la dispoziția publicului constituie, pentru furnizorul respectiv, o dată cu caracter personal în sensul acestei dispoziții, în cazul în care acesta dispune de mijloace legale care îi permit să identifice persoana vizată cu ajutorul informațiilor suplimentare de care dispune furnizorul de acces la internet al acestei persoane.

2)
Articolul 7 litera (f) din Directiva 95/46 trebuie interpretat în sensul că se opune unei reglementări a unui stat membru în temeiul căreia un furnizor de servicii de comunicații electronice poate colecta și utiliza datele cu caracter personal aferente unui utilizator al acestor servicii, în lipsa consimțământului acestuia, numai în măsura în care această colectare și această utilizare sunt necesare pentru a permite și a factura utilizarea concretă a serviciilor respective de către acest utilizator, fără ca obiectivul care vizează asigurarea funcționalității generale a acelorași servicii să poată justifica utilizarea datelor menţionate după o sesiune de consultare a acestora.

Semnături
(
*1
)	Limba de procedură: germana.