Cauza C- 119/12

Cauza C- 119/12

Hotărârea pronunțată de Curtea de Justiție a Uniunii Europene

în data de 22.11.2012

Cuvinte cheie: articolul  6 alin.2 și 5 Directiva2002/58/CE; datele de transfer necesare facturării; cesiune de creanță; contract de factoring; recuperarea creanțelor cesionate; persoanele care acționează sub autoritatea furnizorilor;

I. Obiectul cauzei

Cererea de decizie preliminară formulată în temeiul articolului 267 TFUE de Bundesgerichtshof (Germania) pentru interpretarea articolului 6 alineatele (2) și (5) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice. Cererea de decizie preliminară a fost formulată în cadrul unui litigiu între mr.nexnet GmbH (denumită în continuare „nexnet”), cesionara unor creanțe privind furnizarea de servicii de acces la internet oferite de Verizon Deutschland GmbH (denumită în continuare „Verizon”), pe de o parte, și domnul Probst, destinatarul acestor servicii, pe de altă parte.

Articolul 6 din Directiva 2002/58 prevede:

” (2) Datele de transfer necesare în vederea facturării serviciilor oferite abonatului sau a plății conexiunii pot să fie prelucrate. Prelucrarea lor este permisă doar până la sfârșitul perioadei în care factura poate fi contestată prin lege sau plata poate fi urmărită.

[...]

(5) Prelucrarea de date de transfer în conformitate cu alineatele (1), (2), (3) și (4) trebuie limitată la persoanele care acționează sub autoritatea furnizorilor de rețele de comunicații publice sau de servicii publice de comunicații electronice în vederea facturării sau pentru gestionarea traficului, serviciul clientelă, detectarea fraudelor, promovarea serviciilor de comunicații electronice sau furnizarea de servicii suplimentare și trebuie să se limiteze la prelucrarea strict necesară scopului respectivei activități.”

II. Starea de fapt 

Deutsche Telekom AG i-a facturat domnului Probst tariful pentru utilizarea liniei telefonice, prin intermediul căreia, calculatorul acestuia a fost conectat la internet. Tariful a fost facturat cu titlul ”sume datorate altor furnizori”, numărul de telefon prin care s-a obținut accesul punctual la internet fiind furnizat de domnul Probst.

Tariful facturat nu a fost achitat, motiv pentru care Nexnet, cesionara acestei creanțe în temeiul unui contract de factoring încheiat între societățile ai căror succesori în drepturi sunt Verizon și nexnet, i-a solicitat plata sumelor facturate, majorate cu cheltuielile suplimentare. În temeiul contractului de factoring, nexnet suportă riscul de neplată.

În plus, societățile ai căror succesori în drepturi sunt nexnet și Verizon au încheiat un „acord privind protecția datelor și confidențialitatea” care prevede:

„I. Protecția datelor

[...]

(5) Părțile contractante se obligă să prelucreze și să utilizeze datele protejate numai în cadrul cooperării menționate mai sus și exclusiv în scopul care a stat la baza încheierii contractului și în modul indicat în acesta.

(6) De îndată ce cunoașterea datelor protejate nu mai este necesară pentru realizarea acestui scop, toate datele protejate aferente se vor șterge imediat în mod definitiv sau se vor restitui cedentului. […]

(7) Fiecare dintre părțile contractante are dreptul de a controla respectarea de către cealaltă parte a normelor privind protecția datelor și siguranța acestora în conformitate cu prezentul contract. […]

II. Confidențialitatea

[...]

(2) Părțile contractante prelucrează și utilizează documentele și informațiile confidențiale transmise exclusiv în vederea executării contractului încheiat între acestea. Respectivele documente și informații vor fi accesibile numai acelor angajați care le vor utiliza în vederea executării contractului. Părțile contractante vor impune angajaților lor o obligație de confidențialitate în conformitate cu prezentul acord.

(3) La cerere, cel târziu însă la încetarea colaborării dintre părțile contractante, toate informațiile confidențiale deținute în acest context trebuie șterse în mod definitiv sau restituite celeilalte părți contractante.”

În opinia Domnului Probst contractul de factoring este nul întrucât încalcă, printre altele, articolul 97 alineatul 1 din Legea privind telecomunicațiile (TKG), care prevede ”În cazul în care prestatorul de servicii a încheiat cu un terț un contract privind încasarea contravalorii serviciului, îi poate transmite acestuia datele [de transfer] în măsura în care această transmitere este necesară pentru încasarea contravalorii serviciului și pentru întocmirea unei facturi detaliate. Terțul trebuie să fie obligat prin contract să respecte secretul telecomunicațiilor în conformitate cu articolul 88 și protecția datelor în conformitate cu articolele 93, 95, 96, 97, 99 și 100.”

III. Întrebarea preliminară

Instanța de trimitere a adresat Curții următoarea întrebare preliminară:

„Articolul 6 alineatele (2) și (5) din Directiva 2002/58 permite transmiterea datelor de transfer de către furnizorul de servicii cesionarului unei creanțe privind plata unor servicii de telecomunicații, în cazul în care cesiunea, realizată în vederea recuperării creanțelor neachitate, are la bază următoarele dispoziții contractuale, care se adaugă obligației generale de respectare a secretului telecomunicațiilor și a protecției datelor rezultate din prevederile legale în vigoare:

– furnizorul de servicii și cesionarul se obligă să prelucreze și să utilizeze datele protejate numai în cadrul cooperării lor și exclusiv în scopul care a stat la baza încheierii contractului și în modul indicat în cadrul acestuia;

– de îndată ce cunoașterea datelor protejate nu mai este necesară pentru îndeplinirea acestui scop, toate datele protejate aferente se vor șterge în mod definitiv sau se vor restitui cedentului;

– fiecare dintre părțile contractante are dreptul de a controla respectarea normelor privind protecția datelor și siguranța acestora de către cealaltă parte în conformitate cu prevederile prezentului contract;

– documentele și informațiile confidențiale transmise trebuie să fie accesibile numai acelor angajați care au nevoie de acestea în vederea executării contractului;

– în conformitate cu prezentul contract, părțile contractante vor impune angajaților lor o obligație de confidențialitate;

– la cererea unei părți sau cel târziu la încetarea colaborării dintre părțile contractante, toate informațiile confidențiale deținute în acest context trebuie șterse în mod definitiv sau restituite celeilalte părți contractante?”

IV. Considerentele Curții

Curtea a apreciat că prin întrebarea preliminară se solicită să se stabilească dacă și în ce condiții articolul 6 alineatele (2) și (5) din Directiva 2002/58 permite transmiterea unor date de transfer de către un furnizor de servicii cesionarului creanțelor sale și prelucrarea respectivelor date de către acesta din urmă.

Curtea a arătat că articolul 6 alineatul (2) din Directiva 2002/58 permite ca datele de transfer să fie prelucrate atât în vederea facturării serviciilor oferite abonatului cât și în vederea încasării sumelor facturate. Astfel, prin faptul că permite prelucrarea datelor de transfer „până la sfârșitul perioadei în care factura poate fi contestată prin lege sau plata poate fi urmărită”, dispoziția menționată nu se referă numai la prelucrarea datelor la momentul întocmirii facturilor, ci și la prelucrarea necesară în vederea obținerii plății acestora.

În plus, având în vedere articolul 6 alineatul (5) din Directiva 2002/58, Curtea constată că este permisă transmiterea de date de transfer de către un furnizor de servicii cesionarului creanțelor sale în vederea recuperării lor și că acesta din urmă poate să prelucreze respectivele date, cu condiția ca, în primul rând, să acționeze „sub autoritatea” furnizorului de servicii în ceea ce privește prelucrarea respectivelor date și, în al doilea rând, să se limiteze la prelucrarea datelor de transfer care sunt necesare în vederea recuperării respectivelor creanțe.

Se mai arată că articolul 6 alineatele (2) și (5) din Directiva 2002/58 conțin o excepție de la confidențialitatea comunicațiilor prevăzută la articolul 5 alineatul (1) din aceasta, permițând prelucrarea datelor de transfer din considerente care țin de necesitățile legate de activitățile de facturare a serviciilor. Întrucât reprezintă o excepție, această dispoziție din directiva menționată și, prin urmare, și termenii „sub autoritatea” sunt de strictă interpretare. O astfel de interpretare impune ca furnizorul de servicii să dispună de o putere de control efectivă care să îi permită să verifice respectarea de către cesionarul creanțelor a condițiilor care îi sunt impuse pentru prelucrarea datelor de transfer.

Astfel, cesionarul unei creanțe trebuie să acționeze exclusiv instrucțiunile și să se afle sub controlul respectivului furnizor. Curtea a apreciat că în contractul încheiat între furnizorul de servicii care își cesionează creanțele și cesionarul acestora trebuie cuprinse dispoziții de natură să garanteze prelucrarea legală a datelor de transfer de către acesta din urmă și trebuie să permită furnizorului de servicii să se asigure, în orice moment, că respectivele dispoziții sunt respectate de cesionar.

În cauză, contractul de factoring prezintă caracteristicile descrise în întrebarea adresată și reprezintă un argument în sensul că acest contract îndeplinește condițiile menționate. Astfel, un contract de acest tip nu permite prelucrarea datelor de transfer de către cesionarul creanțelor decât în măsura în care această prelucrare este necesară în vederea recuperării acestor creanțe și impune cesionarului menționat obligația de a șterge sau de a restitui imediat și definitiv respectivele date de îndată ce accesul la acestea nu mai este necesar pentru recuperarea creanțelor în cauză. În plus, un astfel de contract permite furnizorului de servicii să controleze respectarea normelor privind protecția datelor și siguranța acestora de către cesionar, care, la simpla cerere a furnizorului de servicii, poate fi obligat să șteargă sau să restituie datele de transfer.

V. Hotărârea Curții

”Articolul 6 alineatele (2) și (5) din Directiva 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice (Directiva asupra confidențialității și comunicațiilor electronice) trebuie interpretat în sensul că permite unui furnizor de rețele de comunicații publice sau de servicii publice de comunicații electronice să transmită date de transfer cesionarului creanțelor sale privind furnizarea de servicii de telecomunicații în vederea recuperării lor și acestui cesionar să prelucreze respectivele date, cu condiția ca, în primul rând, cesionarul să acționeze sub autoritatea furnizorului de servicii în ceea ce privește prelucrarea respectivelor date și, în al doilea rând, ca respectivul cesionar să se limiteze la prelucrarea datelor de transfer care sunt necesare în vederea recuperării creanțelor cesionate.

Indiferent de calificarea contractului de cesiune, se consideră că cesionarul acționează sub autoritatea furnizorului de servicii, în sensul articolului 6 alineatul (5) din Directiva 2002/58, atunci când, pentru prelucrarea datelor de transfer, urmează exclusiv instrucțiunile și se află sub controlul respectivului furnizor. În special, contractul încheiat de aceștia trebuie să cuprindă dispoziții de natură să garanteze prelucrarea legală de către cesionar a datelor de transfer și să permită furnizorului de servicii să se asigure, în orice moment, că aceste dispoziții sunt respectate de cesionarul menționat.”

VI. Aprecieri

Astfel cum se cunoaște, jurisprudența Curții Europene de Justiție este un îndrumar extraordinar pentru Noul Regulament privind Protecția Datelor(GDPR), chiar dacă în cazul de față Curtea a evaluat interpretarea Directivei 2002/58/CE a Parlamentului European și a Consiliului din 12 iulie 2002 privind prelucrarea datelor personale și protejarea confidențialității în sectorul comunicațiilor publice. Regulamentul[1] pornește de la concepția promovată și prin interpretarea dată de Curte în această cauză, o interpretare în sensul liberei circulații a datelor, cu condiția asigurării unei protecții adecvate. Directiva 2002/58/CE face parte din legislația europeană secundară care este adoptată în același domeniu al Directivei privind protecția datelor și a Regulamentului General privind protecția datelor, însă într-un domeniu specific astfel încât să existe un cadru cât mai clar necesar asigurării unor interese legitime specifice.

Raportat la aspecte specifice ale cauzei, Curtea lămurește un aspect destul de conflictual la nivelul statelor membre, anume transmiterea datelor de către furnizorii de servicii către cesionari de creanțe în vederea recuperării acestora. Cu această ocazie Curtea punctează modalități și principii care trebuie să guverneze această situație, necesare pentru asigurarea protecției datelor:

- Directiva permite un asemenea transfer de date de la furnizori către terți în vederea facturării sau a efectuării plății, însă cu caracter de excepție;

- Terții către care se transferă asemenea date trebuie să se afle sub autoritatea furnizorului și să respecte întocmai scopurile transferului;

- Pentru a da eficiență prevederilor Directivei, între furnizorii de servicii și terți se pot încheia acorduri specifice de protecție a datelor, prin care să se stabilească în concret condițiile de utilizare a datelor, scopurile specifice și modul în care se exercită autoritatea furnizorului asupra Prelucrării de către terț a datelor. 

[1] A se vedea în acest sens articolul 1 alin.1) din RGDP/GDPR. Articolul 95 din GDPR, stabilește raportul dintre Regulament și Directiva 2002/58 astfel: „Prezentul regulament nu impune obligații suplimentare pentru persoanele fizice sau juridice în ceea ce privește prelucrarea în legătură cu furnizarea de servicii de comunicații electronice destinate publicului în rețelele de comunicații publice din Uniune, cu privire la aspectele pentru care acestora le revin obligații specifice cu același obiectiv prevăzut în Directiva 2002/58/CE.”