Civile.it
Civile.it
CONCLUSIONI DELL’AVVOCATO GENERALE
JULIANE KOKOTT
presentate il 18 luglio 2007(1)
Causa C‑275/06
Productores de Música de España (Promusicae)
contro
Telefónica de España SAU
(domanda di pronuncia pregiudiziale proposta dal Juzgado de lo mercantil no. 5, Madrid)
«Società dell’informazione – Diritto d’autore e diritti connessi – Protezione dei dati – Trasmissione di dati sul traffico delle comunicazioni»
I – Introduzione
1. La presente causa dimostra come la registrazione di dati per determinati scopi desti il desiderio di utilizzare siffatti dati in modo più ampio. In Spagna, i fornitori di servizi di accesso ad Internet sono tenuti a conservare determinati dati dei singoli utenti, affinché possano poi essere utilizzati nel contesto di un’indagine penale o quando ciò sia necessario per la tutela della pubblica sicurezza o sia in gioco la sicurezza nazionale. Ora un’associazione dei titolari dei diritti di autore desidera, con l’ausilio di tali dati, identificare gli utenti che, scambiandosi file, hanno violato i diritti d’autore.
2. Il giudice del rinvio è pertanto interessato a sapere se il diritto comunitario ammetta, o addirittura imponga, la trasmissione dei dati personali sul traffico delle comunicazioni concernenti l’utilizzo di Internet ai titolari dei diritti di proprietà intellettuale. Parte dal presupposto che le diverse direttive in materia di tutela della proprietà intellettuale e la società dell’informazione accordino ai titolari dei rispettivi diritti il diritto di chiedere ai fornitori di servizi elettronici la trasmissione di siffatti dati, qualora essi possano servire a dimostrare una violazione dei diritti connessi al diritto d’autore.
3. In appresso mi accingo tuttavia a dimostrare che le disposizioni comunitarie in materia di protezione dei dati relativi alle comunicazioni elettroniche consentono di trasmettere i dati sul traffico delle comunicazioni personali esclusivamente alle autorità statali competenti, e non direttamente ai titolari di diritti d’autore, che vogliano far valere in sede civile la violazione dei loro diritti.
II – Contesto normativo
A – Disposizioni comunitarie
4. Nel caso di specie rilevano le disposizioni in materia di tutela della proprietà intellettuale e di commercio elettronico, nonché, in particolare, le disposizioni in materia di protezione dei dati.
1. La tutela della proprietà intellettuale nella società dell’informazione
5. Con riferimento alla tutela della proprietà intellettuale nella società dell’informazione è da citare innanzitutto la direttiva del Parlamento europeo e del Consiglio 8 giugno 2000, 2000/31/CE, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno (2).
6. L’art. 1, n. 5, della direttiva 2000/31/CE ne limita il campo di applicazione. Secondo l’art. 1, n. 5, lett. b), la direttiva non si applica «alle questioni relative ai servizi della società dell’informazione oggetto delle direttive 95/46/CE e 97/66/CE» (3).
7. L’art. 15, n. 2, della direttiva 2000/31/CE così recita:
«Gli Stati membri possono stabilire che i prestatori di servizi della società dell’informazione siano tenuti ad informare senza indugio la pubblica autorità competente di presunte attività o informazioni illecite dei destinatari dei loro servizi o a comunicare alle autorità competenti, a loro richiesta, informazioni che consentano l’identificazione dei destinatari dei loro servizi con cui hanno accordi di memorizzazione dei dati».
8. L’art. 18, n. 1, della direttiva 2000/31/CE dispone come segue:
«Gli Stati membri provvedono affinché i ricorsi giurisdizionali previsti dal diritto nazionale per quanto concerne le attività dei servizi della società dell’informazione consentano di prendere rapidamente provvedimenti, anche provvisori, atti a porre fine alle violazioni e a impedire ulteriori danni agli interessi in causa».
9. La particolare disciplina sulla tutela della proprietà intellettuale relativamente al traffico di comunicazioni elettroniche è contenuta nella direttiva del Parlamento europeo e del Consiglio 22 maggio 2001, 2001/29/CE, sull’armonizzazione di taluni aspetti del diritto d’autore e dei diritti connessi nella società dell’informazione (4). Di particolare interesse è il suo art. 8, intitolato sanzioni e mezzi di ricorso:
«(1) Gli Stati membri prevedono adeguate sanzioni e mezzi di ricorso contro le violazioni dei diritti e degli obblighi contemplati nella presente direttiva e adottano tutte le misure necessarie a garantire l’applicazione delle sanzioni e l’utilizzazione dei mezzi di ricorso. Le sanzioni previste devono essere efficaci, proporzionate e dissuasive.
(2) Ciascuno Stato membro adotta le misure necessarie a garantire che i titolari dei diritti i cui interessi siano stati danneggiati da una violazione effettuata sul suo territorio possano intentare un’azione per danni e/o chiedere un provvedimento inibitorio e, se del caso, il sequestro del materiale all’origine della violazione, nonché delle attrezzature, prodotti o componenti di cui all’articolo 6, paragrafo 2.
(3) (…)».
10. L’art. 9 della direttiva 2001/29/CE delimita il suo campo di applicazione come segue:
«La presente direttiva non osta all’applicazione delle disposizioni concernenti segnatamente brevetti, marchi, disegni o modelli, modelli di utilità, topografie di prodotti a semiconduttori, caratteri tipografici, accesso condizionato, accesso ai servizi di diffusione via cavo, la protezione dei beni appartenenti al patrimonio nazionale, gli obblighi di deposito legale, le norme sulle pratiche restrittive e sulla concorrenza sleale, il segreto industriale, la sicurezza, la riservatezza, la tutela dei dati e il rispetto della vita privata, l’accesso ai documenti pubblici, il diritto contrattuale».
11. Uno speciale diritto di informazione a favore dei titolari dei diritti di proprietà intellettuale è previsto dall’art. 8 della direttiva del parlamento europeo e del Consiglio 29 aprile 2004, 2004/48/CE, sul rispetto dei diritti di proprietà intellettuale (5):
«(1) Gli Stati membri assicurano che, nel contesto dei procedimenti riguardanti la violazione di un diritto di proprietà intellettuale e in risposta a una richiesta giustificata e proporzionata del richiedente, l’autorità giudiziaria competente possa ordinare che le informazioni sull’origine e sulle reti di distribuzione di merci o di prestazione di servizi che violano un diritto di proprietà intellettuale siano fornite dall’autore della violazione e/o da ogni altra persona che
(…)
c) sia stata sorpresa a fornire su scala commerciale servizi utilizzati in attività di violazione di un diritto,
(…)
(2) Le informazioni di cui al paragrafo 1 comprendono, ove opportuno, quanto segue
a) nome e indirizzo dei produttori, dei fabbricanti, dei distributori, dei fornitori e degli altri precedenti detentori dei prodotti o dei servizi, nonché dei grossisti e dei dettaglianti;
b) (…)
(3) I paragrafi 1 e 2 si applicano fatte salve le altre disposizioni regolamentari che
a) – d) (…)
oppure
e) disciplinano la protezione o la riservatezza delle fonti informative o il trattamento di dati personali».
12. Al contempo, la direttiva 2004/48/CE fa salve, ai sensi dell’art. 2, n. 3:
«a) le disposizioni comunitarie che disciplinano il diritto sostanziale di proprietà intellettuale, la direttiva 95/46/CE, la direttiva 1999/93/CE, o la direttiva 2000/31/CE in generale e le disposizioni degli articoli da 12 a 15 della direttiva 2000/31/CE in particolare;
b) (...)».
2. Le disposizioni in materia di protezione dei dati
13. Per quanto riguarda la protezione dei dati, rileva la direttiva del Parlamento europeo e del Consiglio 12 luglio 2002, 2002/58/CE, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (6).
14. Ai sensi di quanto indicato all’art. 1, n. 1, essa «armonizza le disposizioni degli Stati membri necessarie per assicurare un livello equivalente di tutela dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata, con riguardo al trattamento dei dati personali nel settore delle comunicazioni elettroniche e per assicurare la libera circolazione di tali dati e delle apparecchiature e dei servizi di comunicazione elettronica all’interno della Comunità».
15. Conformemente all’art. 1, n. 2, le disposizioni di tale direttiva precisano e integrano la direttiva del Parlamento europeo e del Consiglio 24 ottobre 1995, 95/46/CE, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (7) relativamente agli scopi di cui al n. 1.
16. L’art. 2, lett. b) della direttiva 2002/58/CE definisce la nozione di dati sul traffico come «qualsiasi dato sottoposto a trattamento ai fini della trasmissione di una comunicazione su una rete di comunicazione elettronica o della relativa fatturazione».
17. Il trattamento dei dati sul traffico viene disciplinato dall’art. 6:
«(1) I dati sul traffico relativi agli abbonati ed agli utenti, trattati e memorizzati dal fornitore di una rete pubblica o di un servizio pubblico di comunicazione elettronica devono essere cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione di una comunicazione, fatti salvi i paragrafi 2, 3 e 5 del presente articolo e l’articolo 15, paragrafo 1.
(2) I dati relativi al traffico che risultano necessari ai fini della fatturazione per l’abbonato e dei pagamenti di interconnessione possono essere sottoposti a trattamento. Tale trattamento è consentito solo sino alla fine del periodo durante il quale può essere legalmente contestata la fattura o preteso il pagamento.
(3) – (5) (…)
(6) I paragrafi 1, 2, 3 e 5 non pregiudicano la facoltà degli organismi competenti di ottenere i dati relativi al traffico in base alla normativa applicabile al fine della risoluzione delle controversie, in particolare di quelle attinenti all’interconnessione e alla fatturazione».
18. La riserva formulata all’art. 6, n. 1, della direttiva 2002/58/CE a favore dell’art. 15, n. 1, così recita:
«Gli Stati membri possono adottare disposizioni legislative volte a limitare i diritti e gli obblighi di cui agli articoli 5 e 6, all’articolo 8, paragrafi da 1 a 4, e all’articolo 9 della presente direttiva, qualora tale restrizione costituisca, ai sensi dell’articolo 13, paragrafo 1, della direttiva 95/46/CE, una misura necessaria, opportuna e proporzionata all’interno di una società democratica per la salvaguardia della sicurezza nazionale (cioè della sicurezza dello Stato), della difesa, della sicurezza pubblica; e la prevenzione, ricerca, accertamento e perseguimento dei reati, ovvero dell’uso non autorizzato del sistema di comunicazione elettronica. A tal fine gli Stati membri possono tra l’altro adottare misure legislative le quali prevedano che i dati siano conservati per un periodo di tempo limitato per i motivi enunciati nel presente paragrafo. Tutte le misure di cui al presente paragrafo sono conformi ai principi generali del diritto comunitario, compresi quelli di cui all’articolo 6, paragrafi 1 e 2, del trattato sull’Unione europea».
19. La spiegazione viene fornita all’undicesimo ‘considerando’:
«(11) La presente direttiva, analogamente alla direttiva 95/46/CE, non affronta le questioni relative alla tutela dei diritti e delle libertà fondamentali inerenti ad attività che non sono disciplinate dal diritto comunitario. Lascia pertanto inalterato l’equilibrio esistente tra il diritto dei cittadini alla vita privata e la possibilità per gli Stati membri di prendere i provvedimenti di cui all’articolo 15, paragrafo 1, della presente direttiva, necessari per tutelare la sicurezza pubblica, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato ove le attività siano connesse a questioni di sicurezza dello Stato) e l’applicazione della legge penale. Di conseguenza la presente direttiva non pregiudica la facoltà degli Stati membri di effettuare intercettazioni legali di comunicazioni elettroniche o di prendere altre misure, se necessario, per ciascuno di tali scopi e conformemente alla Convenzione europea di salvaguardia dei diritti dell’uomo e delle libertà fondamentali, come interpretata dalle sentenze della Corte europea dei diritti dell’uomo. Tali misure devono essere appropriate, strettamente proporzionate allo scopo perseguito, necessarie in una società democratica ed essere soggette ad idonee garanzie conformemente alla precitata Convenzione europea di salvaguardia dei diritti dell’uomo e delle libertà fondamentali».
20. L’art. 19 della direttiva 2002/58/CE ne disciplina il rapporto con la precedente direttiva 97/66/CE:
«La direttiva 97/66/CE è abrogata con efficacia a decorrere dalla data di applicazione di cui all’articolo 17, paragrafo 1.
I riferimenti alla direttiva abrogata si intendono fatti alla presente direttiva».
21. L’art. 13, n. 1, della direttiva 95/46/CE, richiamato nell’art. 15, n. 1, della direttiva 2002/58/CE, così recita:
«(1) Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia
a) della sicurezza dello Stato;
b) della difesa;
c) della pubblica sicurezza;
d) della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate;
e) di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di bilancio e tributaria;
f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e);
g) della protezione della persona interessata o dei diritti e delle libertà altrui».
22. Occorre inoltre rilevare che ai sensi dell’art. 29 della direttiva 95/46/CE è stato istituito un gruppo indipendente di rappresentanti delle autorità di controllo della protezione dei dati degli Stati membri (in prosieguo: il «gruppo per la tutela delle persone con riguardo al trattamento dei dati personali») (8) . Esso ha il compito di esprimersi in merito a questioni inerenti il diritto sulla protezione dei dati. Analoga funzione è attribuita al garante della protezione dei dati, istituito ai sensi dell’art. 286 CE e del regolamento n. 45/2001 (9).
23. Infine, risulta rilevante nella fattispecie anche la direttiva del Parlamento europeo e del Consiglio 15 marzo 2006, 2006/24/CE, riguardante la conservazione di dati generati o trattati nell’ambito della fornitura di servizi di comunicazione elettronica accessibili al pubblico o di reti pubbliche di comunicazione e che modifica la direttiva 2002/58/CE (10).
24. La direttiva 2006/24/CE obbliga gli Stati membri, tra l’altro, alla conservazione dei dati relativi al traffico in Internet. Ai sensi dell’art. 15, essa deve essere recepita, al più tardi, entro il 15 settembre 2007, con la possibilità di differire di altri 18 mesi l’obbligo di conservazione dei dati relativi al traffico in Internet. La Spagna non ha usufruito di tale possibilità.
25. L’art. 11 della direttiva 2006/24/CE aggiunge un nuovo n. 1 nell’art. 15 della direttiva 2002/58/CE:
«Il paragrafo 1 non si applica ai dati la cui conservazione è specificamente prevista dalla direttiva 2006/24/CE (…) ai fini di cui all’articolo 1, paragrafo 1, di tale direttiva.»
26. La comunicazione dei dati conservati ai sensi della direttiva 2006/24/CE viene disciplinata dall’art. 4:
«Gli Stati membri adottano misure per garantire che i dati conservati ai sensi della presente direttiva siano trasmessi solo alle autorità nazionali competenti, in casi specifici e conformemente alle normative nazionali. Le procedure da seguire e le condizioni da rispettare per avere accesso ai dati conservati in conformità dei criteri di necessità e di proporzionalità sono definite da ogni Stato membro nella legislazione nazionale, con riserva delle disposizioni in materia del diritto dell’Unione europea o del diritto pubblico internazionale e in particolare della CEDU, secondo l’interpretazione della Corte europea dei diritti dell’uomo».
B – Diritto spagnolo
27. Il giudice nazionale si limita, nell’esposizione del quadro giuridico previsto dal diritto nazionale, sostanzialmente all’art. 12, nn. 1-3, della legge 11 luglio 2002, n. 34, de Servicios de la Sociedad de la Información y de Comercio Electrónico (legge sui servizi della Società dell’Informazione e sul Commercio elettronico):
«Art. 12. Dovere di conservare i dati sul traffico relativi alle comunicazioni elettroniche
1. Gli operatori di rete e di servizi di comunicazione elettronica, i fornitori di accesso a reti di telecomunicazione e i prestatori di servizi di conservazione dei dati devono conservare i dati di connessione e di traffico generati dalle comunicazioni effettuate durante la prestazione di un servizio della società dell’informazione per un periodo massimo di 12 mesi, nei termini stabiliti dal presente articolo e dalla sua normativa di attuazione.
2. (…) Gli operatori di rete e di servizi di comunicazione elettronica ed i prestatori di servizi cui si riferisce questo articolo non possono utilizzare i dati conservati per fini diversi da quelli indicati nel seguente comma o diversi dagli altri fini previsti dalla legge e adottano i provvedimenti idonei ad evitare la perdita, l’alterazione o l’accesso non autorizzato a tali dati.
3. I dati sono conservati al fine del loro utilizzo nell’ambito di una indagine penale o per la tutela della pubblica sicurezza e della difesa nazionale. Sono posti a disposizione dei giudici o dei tribunali o del pubblico ministero che li richiedano. La trasmissione di tali dati alle forze ed agli enti competenti per la sicurezza avviene nell’osservanza di quanto disposto dalla normativa sulla tutela dei dati personali».
28. Il giudice nazionale fa peraltro notare che in Spagna la violazione del diritto d’autore è perseguibile a norma di legge solamente se l’atto è stato commesso con l’intenzione di perseguire un fine di lucro (11).
III – Contesto tecnico, fatti e controversia principale
29. La ricorrente nella causa principale (in prosieguo: la «Promusicae» per l’ente Productores de Música de España) è un’associazione senza scopo di lucro dei produttori ed editori di registrazioni musicali e di registrazioni audiovisive di tipo essenzialmente musicale. Essa ha richiesto al giudice che un provider spagnolo di accessi Internet, la Telefónica de España SAU, le svelasse l’identità e il domicilio di determinati utenti di rete. La Promusicae aveva identificato tali soggetti in base ai cosiddetti indirizzi IP, nonché in base alla data e all’ora di connessione.
30. L’indirizzo IP è un indirizzo in formato numerico, paragonabile ad un numero di telefono, necessario per far comunicare in Internet i dispositivi in rete, quali possono essere il Webserver, l’e-mail server o un computer privato. L’indirizzo IP del server che consente di accedere alle pagine della Corte di giustizia delle Comunità europee è, ad esempio, 147.67.243.28 (12). Ogniqualvolta si accede ad una pagina, al computer sul quale è salvata la pagina viene comunicato l’indirizzo IP del computer che la consulta, così che i dati possono essere trasmessi da un computer all’altro tramite Internet.
31. Per la connessione degli utenti privati ad Internet, analogamente a quanto vale per il collegamento alla rete telefonica, possono essere assegnati degli indirizzi IP fissi. Ma non è la prassi consueta, essendo Internet attualmente organizzata in maniera tale che ad ogni fornitore viene messo a disposizione solo un numero limitato di indirizzi (13). Si utilizzano pertanto, come nel caso di specie, perlopiù indirizzi IP dinamici, vale a dire un indirizzo, tra quelli a sua disposizione, che il fornitore attribuisce ad hoc ai propri clienti ad ogni loro accesso. Tale indirizzo può naturalmente variare per ogni connessione.
32. La Promusicae ha affermato di aver identificato una serie di indirizzi IP utilizzati in determinati periodi per il cosiddetto filesharing di file musicali, i cui diritti d’autore e le cui licenze sono di proprietà dei suoi soci.
33. Il filesharing è una forma di scambio di file, ad esempio brani musicali o film. Gli utenti copiano dapprima i file sui loro computer e li offrono successivamente a chiunque sia loro connesso via Internet tramite un particolare programma, in questo caso Kazaa. A tal fine è generalmente (14) utilizzato l’indirizzo IP della persona che mette a disposizione i file cui gli altri possono poi accedere, indirizzo che può quindi essere portato a conoscenza.
34. Per agire in giudizio contro i corrispondenti utenti, la Promusicae chiede che il fornitore di accesso Internet interessato, la Telefónica, le comunichi a quali utenti fossero attribuiti, nei periodi da essa indicati, gli indirizzi IP che ha identificato. La Telefónica può rintracciare la connessione di volta in volta utilizzata, in quanto conserva anche dopo l’interruzione della connessione le informazioni relative a quando e a chi ha attribuito un determinato indirizzo IP.
35. Il giudice del rinvio ha emesso inizialmente un’ordinanza con cui ha intimato alla Telefónica di trasmettere le informazioni richieste. La Telefónica ha tuttavia presentato opposizione, in quanto, ai sensi dell’art. 12 della Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico essa non può, in alcun caso, fornire al giudice le informazioni richieste. L’operatore di comunicazioni elettroniche o il prestatore di servizi può comunicare i dati che è tenuto a conservare per legge solo nel contesto di un’indagine penale, o quando ciò sia necessario per la tutela della pubblica sicurezza o sia in gioco la sicurezza nazionale.
36. Il giudice del rinvio, sebbene ritenga possibile che tale interpretazione sia corretta ai sensi del diritto spagnolo, ritiene tuttavia che la disposizione di cui trattasi non sia però compatibile con il diritto comunitario. Sottopone pertanto alla Corte di giustizia delle Comunità europee la seguente questione pregiudiziale:
se il diritto comunitario, nello specifico gli artt. 15, n. 2, e 18 della direttiva del Parlamento europeo e del Consiglio 8 giugno 2000, 2000/31/CE, relativa a taluni aspetti giuridici dei servizi della società dell’informazione, in particolare il commercio elettronico, nel mercato interno; gli artt. 8, n. 1 e 2, della direttiva del Parlamento europeo e del Consiglio 22 maggio 2001, 2001/29/CE, sull’armonizzazione di taluni aspetti del diritto d’autore e dei diritti connessi nella società dell’informazione; l’art. 8 della direttiva del Parlamento europeo e del Consiglio 29 aprile 2004, 2004/48/CE, sul rispetto dei diritti di proprietà intellettuale, e gli artt. 17, n. 2 e 47 della Carta dei diritti fondamentali dell’Unione europea, consentano agli Stati membri di circoscrivere all’ambito delle indagini penali o della tutela della pubblica sicurezza e della difesa nazionale – ad esclusione, quindi, dei processi civili - il dovere di conservare e mettere a disposizione i dati sulle connessioni ed il traffico generati dalle comunicazioni effettuate durante la prestazione di un servizio della società dell’informazione, che incombe agli operatori di rete e di servizi di comunicazione elettronica, ai fornitori di accesso alle reti di telecomunicazione ed ai fornitori di servizi di conservazione dei dati.
37. Hanno presentato istanze d’intervento la Promusicae, la Telefónica, la Finlandia, l’Italia, la Slovenia, il Regno Unito e la Commissione. Non hanno presentato osservazioni il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali (15) e il garante europeo della protezione dei dati, in particolare perché l’art. 23 dello Statuto della Corte di giustizia non ne prevede la partecipazione. Poiché possono tuttavia offrire un importante contributo ai fini del trattamento delle questioni inerenti la normativa sulla protezione dei dati, ho prestato attenzione quantomeno ai loro pareri pubblicati in merito alle questioni qui sollevate.
IV – In diritto
38. La Corte deve chiarire se sia compatibile con le direttive menzionate dal giudice del rinvio limitare gli obblighi di comunicazione dei dati sul traffico ad azioni penali e analoghe, esentando i procedimenti civili da siffatti obblighi.
39. Il giudice del rinvio sostiene pertanto che sussiste un conflitto tra il diritto spagnolo e il diritto comunitario. Egli pare tuttavia ignorare il fatto che la disposizione di specie del diritto spagnolo si fonda sull’art. 15 della direttiva 2002/58/CE, rilevandone ampiamente il tenore. Tale direttiva disciplina la protezione dei dati nel settore delle comunicazioni elettroniche e, in quanto a ciò, completa la direttiva 95/46 con disposizioni generali sulla protezione dei dati.
40. Si deve pertanto verificare se sia compatibile con le normative indicate dal giudice del rinvio, considerate le disposizioni sulla protezione dei dati, vietare ai fornitori di accesso alla rete di identificare i titolari di particolari linee al fine di consentire l’esecuzione di procedimenti civili per violazioni dei diritti d’autore.
A – Sulla ricevibilità del rinvio
41. Dubbi sulla ricevibilità della domanda di pronuncia pregiudiziale potrebbero riguardare la sua rilevanza ai fini della decisione (16). Una direttiva non può, di per sé, creare obblighi a carico di un singolo (17). Qualora il diritto spagnolo si opponesse in maniera inequivocabile ad una comunicazione dei dati in oggetto, neppure l’interpretazione delle direttive richiesta dal giudice del rinvio potrebbe tradursi in un obbligo di comunicazione per Telefónica. Alla luce delle informazioni disponibili non si può tuttavia escludere che il diritto spagnolo possa essere interpretato in conformità delle disposizioni delle direttive. Fintanto che sussiste tale possibilità, una domanda di pronuncia pregiudiziale come quella di specie non può essere considerata irrilevante (18).
B – Sul rapporto reciproco tra le diverse direttive
42. Alcuni degli intervenienti si concentrano quasi esclusivamente sull’interpretazione delle direttive menzionate dal giudice del rinvio. In tal senso sottolineano regolarmente la necessità di una tutela giurisdizionale effettiva avverso le violazioni del diritto d’autore. La Commissione fa loro giustamente presente che nessuna delle tre direttive incide sulla normativa in materia di protezione dei dati.
43. Ai sensi dell’art. 1, n. 5, lett. b), della direttiva 2000/31/CE, sul commercio elettronico, la direttiva non si applica alle questioni relative ai servizi della società dell’informazione oggetto della direttiva 95/46/CE sulla tutela dei dati e della direttiva 97/66/CE sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni. La direttiva appena menzionata è stata frattanto sostituita dalla direttiva 2002/58/CE, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche.
44. Parimenti, l’art. 9 della direttiva 2001/29/CE, sull’armonizzazione di taluni aspetti del diritto d’autore e dei diritti connessi nella società dell’informazione sancisce espressamente che la direttiva lascia impregiudicate le disposizioni concernenti, tra l’altro, la tutela dei dati e il rispetto della vita privata.
45. Meno chiaro è il rapporto tra la direttiva 2004/48/CE, sul rispetto dei diritti di proprietà intellettuale, e la protezione dei dati. L’art. 2, n. 3, lett. a), prevede che tale direttiva lasci impregiudicata la direttiva 95/46. La Promusicae ne deduce che la direttiva 2002/58/CE, ivi non menzionata, non si applica nel campo d’applicazione della direttiva 2004/48/CE.
46. Tale argomento potrebbe essere compreso nel senso che la direttiva 2004/48/CE, secondo il principio lex posterior derogat legi priori, prevale sulla direttiva 2002/58/CE, ma non sulla direttiva 95/46/CE, fatta espressamente salva. A tale tesi si deve tuttavia eccepire che la direttiva 2002/58/CE, come disposto dall’art. 1, n. 2, precisa e integra la direttiva 95/46/CE. Tale funzione non viene rivendicata dalla direttiva 2004/48/CE. La tutela della proprietà intellettuale da essa offerta non dovrebbe, però, ai sensi del secondo ‘considerando’, essere d’ostacolo alla tutela dei dati personali, anche su Internet. Sarebbe tuttavia contraddittorio escludere disposizioni dettagliate e integrative che riguardano, segnatamente, la protezione dei dati in rete, una protezione espressamente non compromettibile, senza sostituirle, continuando invece a tributare rispetto a normative generali. Pare pertanto più logico allargare la riserva a favore della direttiva 95/46/CE anche alla direttiva 2002/58/CE.
47. A sostegno di questa conclusione depone anche, circa il diritto all’informazione di cui all’art. 8, nn. 1 e 2, della direttiva 2004/48/CE, che dovrà essere qui trattato, il fatto che tale diritto, ai sensi dell’art. 8, n. 3, lett. e), si applica lasciando impregiudicate le altre disposizioni che regolano il trattamento dei dati personali. Questa ulteriore ed espressa sottolineatura della protezione dei dati non era prevista nella proposta della Commissione, ma fu integrata nella direttiva nel corso delle consultazioni del Consiglio e del Parlamento (19). La direttiva 2002/58/CE contiene proprio siffatte disposizioni e il diritto all’informazione previsto dall’art. 8 della direttiva 2004/48/CE non è tale da pregiudicarla.
48. A titolo integrativo merita segnalare che neppure l’accordo sugli aspetti dei diritti di proprietà intellettuale attinenti al commercio (Accordo TRIPS) (20) esige che la direttiva 2004/48/CE prevalga sulla tutela dei dati. La Promusicae sostiene quindi giustamente che gli artt. 41 e 42 dell’accordo TRIPS richiedono una protezione efficace della proprietà intellettuale e, soprattutto, la possibilità di una tutela giurisdizionale. Il diritto all’informazione sull’identità del trasgressore, previsto dall’art. 47 TRIPS, non è, tuttavia, diretto (21). Gli Stati contraenti possono disporre l’introduzione di un siffatto diritto, ma non ne sono obbligati dal tenore dell’art. 47 (22). L’estensione dell’obbligo di informazione a terzi operato dall’art. 8 della direttiva 2004/48/CE va oltre anche a questa opzione. Tale obbligo può essere di conseguenza limitato tramite la tutela dei dati, compatibilmente con quanto disposto dall’accordo TRIPS.
49. Tutte e tre le direttive menzionate al giudice del rinvio sono pertanto subordinate alle direttive 95/46/CE e 2002/58/CE sulla tutela dei dati. Contrariamente a quanto dedotto da alcuni intervenienti, ciò non significa che la tutela dei dati prevalga sulle finalità di queste direttive. La tutela dei dati e tali obiettivi vanno piuttosto bilanciati in maniera proporzionata nell’ambito delle direttive sulla tutela dei dati.
C – Sulla tutela dei dati
50. Il diritto derivato rilevante nella fattispecie è dato dalle direttive 2002/58/CE, contenente disposizioni in materia di tutela dei dati nelle comunicazioni elettroniche, e 95/46/CE, che disciplina la tutela dei dati in generale. Dal diritto fondamentale alla tutela dei dati la Corte evince, tuttavia, importanti indicazioni su come interpretare tali disposizioni di diritto derivato.
1. Relazione tra tutela dei dati e diritti fondamentali
51. La tutela dei dati ha per fondamento il diritto fondamentale al rispetto della vita privata e familiare, come discende segnatamente dall’art. 8 della Convenzione per la salvaguardia dei Diritti dell’Uomo e delle Libertà fondamentali (in prosieguo: la «CEDU»), siglata a Roma il 4 novembre 1950 (23). La Carta dei Diritti fondamentali dell’Unione europea, proclamata a Nizza il 7 dicembre 2000 (in prosieguo: la «Carta») (24) ha confermato tale diritto fondamentale all’art. 7, e sottolineato, in particolare, all’art. 8, il diritto fondamentale alla protezione dei dati di carattere personale, inclusi gli importanti principi fondamentali da applicarsi a tale protezione.
52. La comunicazione di dati personali ad un terzo arreca quindi pregiudizio al diritto al rispetto della vita privata degli interessati, quale che sia l’ulteriore utilizzazione delle informazioni così comunicate, e presenta il carattere di un’ingerenza ai sensi dell’art. 8 della CEDU (25).
53. Una siffatta ingerenza viola l’art. 8 della CEDU, salvo quando è «prevista dalla legge» (26). L’articolo che la prevede deve essere pertanto redatto in modo sufficientemente preciso, conformemente al requisito di prevedibilità, di modo da consentire ai destinatari della legge di regolare la loro condotta (27). Il requisito della prevedibilità ha trovato particolare espressione nel diritto della tutela dei dati personali grazie al vincolo di finalità, espressamente menzionato all’art. 8, n. 2, della Carta. Il vincolo di finalità viene concretizzato dall’art. 6, n. 1, della direttiva 95/46/CE, ai sensi del quale i dati personali possono essere rilevati esclusivamente per determinate finalità univoche e legittime e non possono essere successivamente trattati in modo incompatibile con tali finalità.
54. Inoltre, l’ingerenza nella sfera privata, ossia il trattamento di dati personali, deve rispondere al requisito di proporzionalità rispetto agli obiettivi perseguiti (28). Deve pertanto sussistere un’esigenza sociale imperativa e i provvedimenti devono essere proporzionati alla finalità legittima perseguita (29).
55. Nella fattispecie, nell’ambito delle finalità lecite occorre tener conto dei diritti fondamentali coinvolti dei titolari dei diritti d’autore, nello specifico, la tutela della proprietà e il diritto ad un’effettiva tutela giurisdizionale. Anche questi due diritti fondamentali, per giurisprudenza costante, fanno parte dei principi generali del diritto comunitario (30). Ciò è stato confermato dagli artt. 17 e 47 della Carta. L’art. 17, n. 2, della Carta sottolinea che anche la proprietà intellettuale rientra nella sfera di tutela del diritto fondamentale di proprietà (31).
56. L’equilibrio tra i diritti fondamentali interessati deve essere definito inizialmente dal legislatore comunitario e, in fase di interpretazione del diritto comunitario, dalla Corte di giustizia delle Comunità europee. Tale equilibrio deve essere tuttavia rispettato anche dagli Stati membri nello sfruttare il margine d’azione normativa loro restante nell’ambito del recepimento delle direttive. Inoltre, alle autorità e ai giudici degli Stati membri incombe non solo interpretare il diritto nazionale conformemente alle direttive sulla tutela dei dati personali, ma anche provvedere a non fondarsi su un’interpretazione delle direttive che entri in conflitto con i principi generali del diritto comunitario e con i diritti fondamentali tutelati dall’ordinamento giuridico comunitario (32).
2. Applicabilità delle direttive relative alla tutela dei dati personali
57. Il diritto derivato concretizza le disposizioni in materia di diritti fondamentali relativi alla tutela dei dati e le amplia in un punto anch’esso decisivo nella fattispecie. Le direttive, infatti, non pongono l’obbligo di tutela dei dati personali solamente in capo alle autorità nazionali, ma lo estendono al contempo agli individui, sempre che, ai sensi dell’art. 3, n. 2, secondo trattino, della direttiva 95/46/CE, non si tratti di un’attività effettuata da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico (33). Con ciò la Comunità realizza e concretizza un obiettivo di tutela risultante dal diritto fondamentale alla protezione dei dati (34).
58. L’azione civile intentata da Promusicae per perseguire la violazione del diritto d’autore e il trattamento dei dati di connessione da parte di Telefónica non possono essere classificate come attività a carattere personale o domestico. Relativamente al trattamento dei dati di connessione ciò risulta anche dall’esistenza della direttiva 2002/58/CE, che non conosce l’eccezione per attività personali o domestiche, ma parte dal presupposto che il trattamento dei dati personali da parte di fornitori di servizi di comunicazione elettronica soggiace, in via di principio, al regime di tutela dei dati. Pertanto, il trasferimento di siffatti dati tra imprese private non è escluso dal campo di applicazione del regime di tutela dei dati. Di conseguenza occorre verificare se sussistono nella fattispecie gli ulteriori presupposti di applicazione del regime di tutela dei dati.
59. La direttiva 2002/58/CE si applica, ai sensi dell’art. 3, n. 1, al trattamento dei dati personali connesso alla fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nella Comunità. Tali concetti sono definiti, ai sensi dell’art. 2 della direttiva 2002/58/CE, nella direttiva 95/46/CE o 2002/21/CE (35).
60. La fornitura dell’accesso ad Internet è un servizio di comunicazione elettronica accessibile al pubblico ai sensi dell’art. 2, lett. c), della direttiva 2002/21/CE, vale a dire un servizio fornito di norma a pagamento consistente esclusivamente o prevalentemente nella trasmissione di segnali su reti di comunicazione elettroniche.
61. Indicare a quali utenti fossero attribuiti determinati indirizzi IP in una determinata data e ora significa fornire dati personali ai sensi dell’art. 2, lett. a) della direttiva 95/46/CE, ossia informazioni concernenti una persona fisica identificata o identificabile (36). Con l’ausilio di tali dati, le azioni eseguite utilizzando l’indirizzo IP interessato possono essere ricondotte al titolare della linea.
62. La comunicazione di siffatti dati è espressamente riportata nell’art. 2, lett. b), della direttiva 95/46/CE, come esempio di trattamento, vale a dire di un’operazione compiuta con o senza l’ausilio di processi automatizzati.
63. Al contempo, almeno gli indirizzi IP attribuiti temporaneamente agli utenti costituiscono dati relativi al traffico ai sensi della definizione datane dall’art. 2, lett. b), della direttiva 2002/58/CE, ossia dati sottoposti a trattamento ai fini della trasmissione di una comunicazione su una rete di comunicazione elettronica.
3. I divieti di trattamento dei dati applicabili
64. Secondo l’art. 5, n. 1, della direttiva 2002/58/CE la riservatezza delle comunicazioni si estende anche ai dati sul traffico risultanti dalle comunicazioni. Gli Stati membri sono, in particolare, tenuti a vietare la memorizzazione e altre forme di intercettazione o di sorveglianza dei dati sul traffico delle comunicazioni ad opera di persone diverse dagli utenti, senza consenso di questi ultimi, eccetto quando tali persone siano autorizzate legalmente a norma dell’art. 15, n. 1.
65. L’art. 6, n. 1, della direttiva 2002/58/CE precisa che, relativamente all’eventuale memorizzazione di dati sul traffico nell’ambito della gestione di reti pubbliche di comunicazione, i dati relativi agli abbonati ed agli utenti, trattati e memorizzati dal fornitore di una rete pubblica o di un servizio pubblico di comunicazione elettronica, devono essere cancellati o resi anonimi quando non sono più necessari ai fini della trasmissione di una comunicazione, fatti salvi i paragrafi 2, 3 e 5 del presente articolo e l’art. 15, n. 1.
66. Sia la memorizzazione sia la comunicazione dei dati sul traffico personali inerenti all’utilizzo della rete sono, pertanto, essenzialmente da vietare.
4. Le deroghe ai divieti di trattamento dei dati
67. Sussistono, tuttavia, anche talune deroghe a tali divieti di trattamento dei dati. Esse sono sancite dagli artt. 6 e 15 della direttiva 2002/58/CE.
a) Deroghe ai sensi dell’art. 6, n. 2, 3 e 5 della direttiva 2002/58/CE
68. Le deroghe espressamente menzionate dall’art. 6, n. 1, della direttiva 2002/58/CE, ossia i nn. 2, 3 e 5 del medesimo articolo, non costituiscono un fondamento idoneo a derogare al divieto di trattamento di cui al n. 1 mediante una comunicazione alla Promusicae.
69. L’art. 6, n. 2, della direttiva 2002/58/CE, consente, in via eccezionale, di trattare tali dati sul traffico nella misura in cui e per quanto essi siano necessari ai fini della fatturazione per l’abbonato e dei pagamenti di interconnessione. Già è dubbio se tale eccezione consenta di memorizzare a chi, in un’ora e data particolari, sia stato attribuito un indirizzo IP dinamico. Il fornitore di accesso alla rete non ha generalmente bisogno di questa informazione ai fini della fatturazione dei costi. Le comuni procedure di fatturazione si basano sulla durata di connessione al fornitore di accesso alla rete, ovvero sul volume del traffico di dati generato dall’utente e a volte è addirittura previsto un utilizzo illimitato dell’accesso dietro corresponsione di un importo forfetario pattuito. Se però il trattamento dell’indirizzo IP non è necessario ai fini della fatturazione, esso non può essere neppure memorizzato a tal fine (37).
70. Indipendentemente da ciò, l’art. 6, n. 2, non è comunque un fondamento normativo adatto a giustificare la comunicazione dei dati sul traffico a terzi intenzionati a perseguire l’utente per atti commessi utilizzando tale indirizzo IP. Siffatti provvedimenti non hanno alcuna relazione con la fatturazione dell’abbonato o il pagamento delle interconnessioni.
71. Tanto meno risulta applicabile la deroga di cui all’art. 6, n. 3, della direttiva 2002/58/CE. Essa consente al fornitore dell’accesso di sottoporre a trattamento i dati a fini di commercializzazione dei servizi di comunicazione elettronica o di fornitura di servizi a valore aggiunto esclusivamente se l’utente dà il suo consenso.
72. Infine, la Promusicae non può neppure invocare l’art. 6, n. 5, della direttiva 2002/58/CE, secondo cui i terzi sono autorizzati a sottoporre a trattamento i dati sul traffico sotto l’autorità del fornitore dell’accesso per determinate finalità, in particolare per la lotta contro le frodi. Il ventinovesimo ‘considerando’ precisa che per frode si intende l’uso del servizio di comunicazione elettronica senza il corrispondente pagamento. Né la Promusicae agisce sotto l’autorità della Telefónica, né la violazione dei diritti d’autore è da considerarsi una frode in tal senso.
b) Art. 6, n. 6, della direttiva 2002/58/CE
73. La Promusicae ritiene tuttavia che l’art. 6, n. 6, della direttiva 2002/58/CE ammetta la comunicazione e l’utilizzo dei dati sul traffico allorquando si tratti di far valere i diritti d’autore in un procedimento civile. Secondo tale disposizione, gi organismi competenti hanno facoltà di ottenere i dati relativi al traffico in base alla normativa applicabile ai fini della risoluzione delle controversie, in particolare di quelle attinenti all’interconnessione e alla fatturazione.
74. Tale disposizione non può tuttavia giustificare la trasmissione dei dati relativi al traffico alla Promusicae già per il fatto che quest’ultima non è un organismo preposto alla risoluzione delle controversie. Non è riscontrabile alcuna ragione che giustifichi la trasmissione dei dati sul collegamento in questione neppure nell’ambito del procedimento principale tra la Promusicae e la Telefónica. La soluzione della controversia vertente sulla legittimazione e sull’obbligo, in capo alla Telefónica, di comunicare tali dati alla Promusicae, non presuppone che il giudice venga a conoscenza di questi ultimi.
75. Neppure la circostanza che la Promusicae richieda i dati sul traffico per poter intentare causa agli utenti di specie ne giustifica una trasmissione ai sensi dell’art. 6, n. 6, della direttiva 2002/58/CE.
76. Un’interpretazione dell’art. 6, n. 6, della direttiva 2002/58/CE che consenta la comunicazione dei dati sul traffico alla potenziale controparte semplicemente in forza di un loro uso in un procedimento contenzioso sarebbe, per insufficienza di elementi a sostegno nel testo, incompatibile con il principio di prevedibilità che deve essere osservato quando si giustificano per legge ingerenze nella sfera della vita privata e nella tutela dei dati. Oltre alle eccezioni di cui all’art. 6, nn. 2, 3 e 5, chiaramente indicate e circoscritte all’art. 6, n. 1, nonché ai sensi dell’art. 15, n. 1, si introdurrebbe una deroga quasi illimitata (38). Considerato il tenore dell’art. 6, non è tuttavia concepibile che l’utente di servizi di comunicazione elettronica si debba confrontare con una siffatta deroga.
77. Tale deroga avrebbe allo stesso tempo una portata assai estesa, fatto per cui non potrebbe essere ritenuta proporzionale alla luce delle finalità perseguite. In linea di principio, l’utente dovrebbe sempre aspettarsi, e non solamente in seguito ad una violazione dei diritti d’autore, che i suoi dati sul traffico siano trasmessi a terzi che, per un qualsivoglia motivo, vogliono intentargli causa. È da escludere che siffatte controversie si fondino in tutti i casi su un’esigenza sociale imperativa ai sensi della giurisprudenza concernente l’art. 8 CEDU (39).
78. Da un esame delle finalità sottese alla memorizzazione dei dati sul traffico ai sensi dell’art. 6, della direttiva 2002/58/CE, emerge ancor pi&ugrav
