DOMSTOLENS DOM (tredje avdelningen)
den 22 november 2012 (*)
”Elektronisk kommunikation – Direktiv 2002/58/EG – Artikel 6.2 och 6.5 – Behandling av personuppgifter – Trafikuppgifter som behövs för fakturering och inkassering av fordringarna – Inkassering av fordringar genom ett utomstående bolag – Personer som handlar på uppdrag av leverantören av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster”
I mål C‑119/12,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Bundesgerichtshof (Tyskland) genom beslut av den 16 februari 2012, som inkom till domstolen den 6 mars 2012, i målet
Josef Probst
mot
mr.nexnet GmbH,
meddelar
DOMSTOLEN (tredje avdelningen)
sammansatt av K. Lenaerts (referent), tillförordnad ordförande på tredje avdelningen, samt domarna E. Juhász, G. Arestis, T. von Danwitz och D. Šváby,
generaladvokat: P. Cruz Villalón,
justitiesekreterare: A. Calot Escobar,
med beaktande av de yttranden som avgetts av:
– mr.nexnet GmbH, genom P. Wassermann, Rechtsanwalt,
– Europeiska kommissionen, genom F. Wilman och F. Bulst, båda i egenskap av ombud,
med hänsyn till beslutet, efter att ha hört generaladvokaten, att avgöra målet utan förslag till avgörande,
följande
Dom
1 Begäran om förhandsavgörande avser tolkningen av artikel 6.2 och 6.5 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, s. 37) (nedan kallat direktivet om integritet och elektronisk kommunikation).
2 Begäran har framställts i ett mål mellan mr.nexnet GmbH (nedan kallad nexnet), förvärvare av fordringar avseende internetanslutningstjänster som Verizon Deutschland GmbH (nedan kallat Verizon) tillhandahåller, och Josef Probst, mottagare av dessa tjänster.
Tillämpliga bestämmelser
Direktiv 95/46/EG
3 Artikel 16 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, s. 31) har följande lydelse:
”Den som utför arbete under den registeransvarige eller registerföraren, liksom registerföraren själv, och som får tillgång till personuppgifter, får behandla dem endast enligt instruktion från den registeransvarige, om han inte är skyldig att göra det enligt lag.”
4 Artikel 17 i direktiv 95/46 har följande lydelse:
”1. Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling.
Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas.
2. Medlemsstaterna skall föreskriva att den registeransvarige, när behandlingen utförs för dennes räkning, skall välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organisatoriska åtgärder som måste vidtas och tillse att dessa åtgärder genomförs.
3. När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling mellan registerföraren och den registeransvarige och i handlingen skall särskilt föreskrivas att
– registerföraren endast får handla på instruktioner från den registeransvarige,
– de skyldigheter som anges i punkt 1, såsom de definieras i lagstiftningen i den medlemsstat i vilken registerföraren är etablerad, även skall åvila registerföraren.
4. För att säkra bevisning skall de delar av avtalet eller den rättsligt bindande handlingen som rör skyddet av uppgifter och de krav som rör åtgärder som anges i punkt 1 föreligga i skriftlig eller därmed jämförlig form.”
Direktiv 2002/58/EG
5 Artikel 1.1 och 1.2 i direktiv 2002/58 har följande lydelse:
”1. Genom detta direktiv harmoniseras medlemsstaternas bestämmelser för att säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, i synnerhet rätten till integritet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation, samt för att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom [Europeiska unionen].
2. Bestämmelserna i detta direktiv skall precisera och komplettera [direktiv 95/46] för de ändamål som avses i punkt 1. ...”
6 I artikel 2 andra stycket b i detta direktiv definieras ”trafikuppgifter” som ”alla uppgifter som behandlas i syfte att överföra en kommunikation via ett elektroniskt kommunikationsnät eller för att fakturera den”.
7 Artikel 5.1 i direktiv 2002/58 har följande lydelse:
”Medlemsstaterna skall genom nationell lagstiftning säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. ...”
8 I artikel 6 i detta direktiv föreskrivs följande:
”1. Trafikuppgifter om abonnenter och användare som behandlas och lagras av leverantören av ett allmänt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst skall utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra en kommunikation, utan att det påverkar tillämpningen av punkterna 2, 3 och 5 i den här artikeln ...
2. Trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter får behandlas. Sådan behandling är tillåten endast fram till utgången av den period under vilken det lagligen går att göra invändningar mot fakturan eller kräva betalning.
...
5. Behandlingen av trafikuppgifter skall, i enlighet med punkterna 1, 2, 3 och 4, begränsas till sådana personer som av leverantören av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster getts i uppdrag att sköta fakturering, trafikstyrning, kundförfrågningar, spårning av bedrägerier, marknadsföring av elektroniska kommunikationstjänster eller tillhandahållande av en mervärdestjänst, och behandlingen skall begränsas till sådant som är nödvändigt för dessa verksamheter.
...”
Tysk rätt
9 97 § stycke 1 tredje och fjärde meningarna i lagen om telekommunikation (Telekommunikationsgesetz) av den 22 juni 2004 (BGBl. 2004 I, s. 1190) (nedan kallad TKG), har följande lydelse:
”Fastställande och fakturering av betalning
... Om tjänsteleverantören slutit avtal med tredje part om inkassering av betalning kan han överföra [trafikuppgifterna] till denna tredje part när detta är nödvändigt för att betalningen ska kunna inkasseras och för att en detaljerad faktura ska kunna utställas. Tredje part ska enligt avtalet vara underkastad dels telekommunikationssekretess enligt 88 §, dels skydd för uppgifter enligt 93, 95, 96, 97, 99 och 100 §§.
...”
10 Enligt den hänskjutande domstolen gäller behörigheten i 97 § stycke 1 tredje meningen TKG, om att överlåta uppgifter, inte bara avtal om inkassering av fordringar när dessa fordringar förblir de ursprungliga borgenärernas tillgångar, utan också andra avtal om överlåtelser, bland annat sådana som avser förvärv av fordringar och som innebär att den överförda rätten såväl rättsligt som ekonomiskt slutligen tillhör mottagaren.
Målet vid den nationella domstolen och tolkningsfrågan
11 Josef Probst har en telefonanslutning som tillhandahållits av Deutsche Telekom AG, och genom vilken han kopplar upp sin dator till internet. Vid olika tillfällen mellan den 28 juni och den 6 september 2006 använde han ett av Verizon tillhandahållet nummer för att koppla upp datorn till internet. Josef Probst fakturerades inledningsvis härför av Deutsche Telekom AG, som klassificerade de fakturerade beloppen som ”belopp till andra leverantörer”. Efter att Josef Probst inte hade betalat dessa belopp skickade nexnet, på vilken fordran överlåtits på grundval av ett factoringavtal som ingåtts mellan Verizons och nexnets rättsliga föregångare, ett krav till Josef Probs på betalning av de fakturerade beloppen och diverse omkostnader. Enligt factoringavtalet hade nexnet övertagit kreditrisken.
12 Nexnets och Verizons rättsliga föregångare ingick dessutom ett ”avtal om uppgiftsskydd och konfidentialitet”, som innehöll följande:
”I. Uppgiftsskydd
...
(5) Avtalsparterna förbinder sig att behandla och använda skyddade uppgifter enbart inom ramen för sitt samarbete och uteslutande i det syfte som eftersträvas med detta avtal och på det sätt som föreskrivs häri.
(6) Så snart som kännedom om de skyddade uppgifterna inte längre är nödvändig för nämnda syfte, ska alla tillgängliga uppgifter i detta sammanhang utplånas eller återlämnas. ...
(7) Vardera parten har rätt att kontrollera huruvida den andra parten iakttar uppgiftsskyddet och uppgiftssäkerheten i enlighet med avtalet. ...
II. Konfidentialitet
...
(2) Avtalsparterna förbinder sig att enbart behandla och använda överförda konfidentiella handlingar och uppgifter i syfte att uppfylla det avtal som parterna ingått. Dessa får enbart göras tillgängliga för anställda som behöver dem för att genomföra avtalet. Avtalsparterna ska ålägga dessa anställda en sådan tystnadsplikt som motsvarar den i detta avtal.
(3) På begäran av den ena parten, dock senast när samarbetet mellan avtalsparterna upphör, ska alla tillgängliga uppgifter i detta sammanhang oåterkalleligen utplånas eller återlämnas till den andra avtalsparten.
...”
13 Josef Probst har gjort gällande att faktureringsavtalet är ogiltigt, eftersom det strider mot 97 § stycke 1 TKG. Amtsgericht ogillade nexnets betalningskrav medan appellationsdomstolen i huvudsak biföll detsamma. Appellationsdomstolens dom har överklagats till Bundesgerichtshof.
14 Den hänskjutande domstolen har gjort gällande att artikel 6.2 och 6.5 i direktiv 2002/58 är relevant för tolkningen av 97 § stycke 1 TKG. Nämnda domstol har för det första understrukit att ”fakturering”, vilket utgör ett av de syften som anges i artikel 6.2 och 6.5 för vilka trafikuppgifter ska få behandlas, inte nödvändigtvis omfattar inkassering av det fakturerade beloppet. Den anser dock att det inte finns några objektiva skäl som talar för att fakturering och inkassering av fordringar ska behandlas olika när det gäller skydd för uppgifter. För det andra begränsar artikel 6.5 behandlingen av trafikuppgifter till personer som handlar på ”uppdrag” av leverantören av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster (nedan kallad tjänsteleverantören). Enligt den hänskjutande domstolen går det inte att mot bakgrund av detta begrepp avgöra huruvida tjänsteleverantören faktiskt, även i enskilda fall, ska kunna kontrollera hur uppgifterna används under hela den tid under vilken uppgifterna behandlas, eller om det räcker att allmänna regler om iakttagande av telekommunikationssekretess och uppgiftsskydd föreskrivs, såsom de regler som i förevarande fall uppställts i avtalet, samt att det är möjligt att på begäran få uppgifterna utplånade eller återlämnade.
15 Under dessa omständigheter beslutade Bundesgerichtshof att vilandeförklara målet och hänskjuta följande tolkningsfråga till domstolen:
Är det förenligt med artikel 6.2 och 6.5 i direktiv 2002/58, att tjänsteleverantören överlåter trafikuppgifter till den person som förvärvat en fordran som uppkommit i samband med tillhandahållande av telekommunikationstjänster, när överlåtelsen, som skett i syfte att inkassera förfallna fordringar, utöver de allmänna kraven på telekommunikationssekretess och uppgiftsskydd i enlighet med gällande rätt, underkastas specifika avtalsbestämmelser, nämligen att
– tjänsteleverantören och förvärvaren av fordringarna förbinder sig att behandla och använda skyddade uppgifter enbart inom ramen för sitt samarbete och uteslutande i det syfte som eftersträvas med det avtalet och på det sätt som föreskrivs däri,
– så snart som kännedom om de skyddade uppgifterna inte längre är nödvändig för nämnda syfte, ska alla tillgängliga uppgifter som förekommer i detta sammanhang utplånas eller återlämnas,
– vardera parten har rätt att kontrollera huruvida den andra parten iakttar uppgiftsskyddet och uppgiftssäkerheten i enlighet med avtalet,
– överförda konfidentiella handlingar och uppgifter får enbart göras tillgängliga för sådana anställda som behöver dem för att genomföra avtalet,
– avtalsparterna ska ålägga sina anställda en sådan tystnadsplikt som motsvarar den i avtalet,
– på begäran av den ena parten, dock senast när samarbetet mellan avtalsparterna upphör, ska alla tillgängliga uppgifter som förekommer i detta sammanhang oåterkalleligen utplånas eller återlämnas till den andra parten?
Prövning av tolkningsfrågan
16 Den hänskjutande domstolen har ställt sin fråga för att få klarhet i huruvida och under vilka omständigheter artikel 6.2 och 6.5 i direktiv 2002/58 ska tolkas så, att en tjänsteleverantör får överlåta trafikuppgifter till en person som förvärvat dennes fordringar, och denna förvärvare får behandla dessa uppgifter.
17 För det första följer det av artikel 6.2 i direktiv 2002/58 att trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter får behandlas. I likhet med vad nexnet och Europeiska kommissionen har gjort gällande, tillåter denna bestämmelse i detta direktiv behandling av trafikuppgifter inte enbart för fakturering utan också för att inkassera fordringar. Genom att tillåta behandling av trafikuppgifter ”fram till utgången av den period under vilken det lagligen går att göra invändningar mot fakturan eller kräva betalning” avser bestämmelsen nämligen inte enbart behandlingen av uppgifter vid tidpunkten för faktureringen, utan också den behandling som krävs för att fakturorna ska betalas.
18 För det andra följer det av artikel 6.5 i direktiv 2002/58 att den behandling av trafikuppgifter som är tillåten enligt artikel 6.2 i detta direktiv ska ”begränsas till sådana personer som av [tjänsteleverantören] getts i uppdrag att sköta fakturering” och ”begränsas till sådant som är nödvändigt” för dessa verksamheter.
19 Det framgår av dessa båda bestämmelser i direktiv 2002/58 att tjänsteleverantören får överlåta trafikuppgifter till förvärvaren av fordringarna i syfte att inkassera dem, och att förvärvaren får behandla uppgifterna, under förutsättning att vederbörande, för det första, av tjänsteleverantören getts i ”uppdrag” att behandla dessa uppgifter och, för det andra, enbart behandlar de trafikuppgifter som är nödvändiga för att inkassera fordringarna.
20 Det kan konstateras att den exakta innebörden av ordet ”uppdrag” inte har definierats vare sig i direktiv 2002/58 eller i de dokument som är relevanta för tolkningen av detta, såsom förarbetena. Fastställandet av innebörden av detta ord ska i enlighet med domstolens praxis ske mot bakgrund av dess normala betydelse i vanligt språkbruk, med beaktande av det sammanhang i vilket det används och de mål som eftersträvas med de föreskrifter som det ingår i (se, för ett liknande resonemang, dom av den 10 mars 2005 i mål C‑336/03, easyCar, REG 2005, s. I‑1947, punkterna 20 och 21, och av den 5 juli 2012 i mål C‑49/11, Content Services, punkt 32).
21 I enlighet med den normala betydelsen av detta ord i vanligt språkbruk ska en person anses handla på uppdrag av en annan person när den förra handlar på den senares instruktioner och under dennes kontroll.
22 Vad gäller det sammanhang i vilket artikel 6.2 i direktiv 2002/58 ingår, erinrar domstolen om att artikel 5.1 i nämnda direktiv föreskriver att medlemsstaterna ska säkerställa konfidentialitet vid kommunikation och tillhörande trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster.
23 Artikel 6.2 och 6.5 i direktiv 2002/58 innehåller ett undantag från den konfidentialitet vid kommunikation som föreskrivs i artikel 5.1 i detsamma, genom att behandling av trafikuppgifter tillåts i den mån den krävs för att fakturera tjänster (se, för ett liknande resonemang, dom av den 29 januari 2008 i mål C‑275/06, Promusicae, REG 2008, s. I‑271, punkt 48). I egenskap av undantag ska denna bestämmelse i detta direktiv, och följaktligen ordet ”uppdrag”, tolkas strikt (se dom av den 17 februari 2011 i mål C‑16/10, The Number (UK) och Conduit Enterprises, REU 2011, s. I‑691, punkt 31). En dylik tolkning förutsätter att tjänsteleverantören faktiskt kan kontrollera huruvida förvärvaren av fordringarna iakttar de krav som ställts för behandling av trafikuppgifterna.
24 Denna tolkning bekräftas rent generellt av det mål som eftersträvas i direktiv 2002/58, och i synnerhet av artikel 6.5 i detta direktiv. Såsom framgår av artikel 1.2 och 1.2 i direktiv 2002/58 ska detta, inom sektorn för elektronisk kommunikation, precisera och komplettera direktiv 95/46 för att i medlemsstaterna bland annat säkerställa ett likvärdigt skydd av de grundläggande fri- och rättigheterna, i synnerhet rätten till integritet, när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation.
25 I detta sammanhang ska artikel 6.5 i direktiv 2002/58 tolkas mot bakgrund av liknande bestämmelser i direktiv 95/46. Det följer av artiklarna 16 och 17 i detta senare direktiv, som preciserar den nivå av kontroll som en registeransvarig ska ha över den registerförare som vederbörande utser, att registerföraren endast ska handla på instruktioner från den registeransvarige och att registerföraren ska tillse att de åtgärder som avtalats för att skydda personuppgifter mot varje slag av otillåten behandling genomförs.
26 Vad i synnerhet gäller det mål som eftersträvas i artikel 6.5 i direktiv 2002/58 konstaterar domstolen att även om denna bestämmelse ger vissa andra personer än tjänsteleverantören möjlighet att behandla trafikuppgifter för att bland annat inkassera fordringar för den senares räkning, så att denne följaktligen kan inrikta sig på att tillhandahålla elektroniska kommunikationstjänster, avser bestämmelsen likväl att säkerställa, genom att föreskriva att behandlingen av trafikuppgifter ska begränsas till sådana personer som handlar på ”uppdrag” av tjänsteleverantören, att en sådan utkontraktering inte påverkar skyddet för användarens personuppgifter.
27 Av det ovanstående följer att oavsett hur avtalet om överlåtelse av fordringar, i syfte att inkassera dessa, kvalificeras, ska förvärvaren av en fordran avseende ersättning för telekommunikationstjänster anses handla på ”uppdrag” av tjänsteleverantören i den mening som avses i artikel 6.5 i direktiv 2002/58 när förvärvaren i samband med den behandling av trafikuppgifterna som en sådan verksamhet förutsätter, endast handlar på instruktioner från tjänsteleverantören och under dennes kontroll. Det avtal som ingåtts mellan tjänsteleverantören, som överlåter sina fordringar, och förvärvaren av dessa, ska innehålla bestämmelser genom vilka det kan säkerställas att den sistnämnde behandlar trafikuppgifterna på ett lagligt sätt, och avtalet ska ge tjänsteleverantören möjlighet att när som helst försäkra sig om att förvärvaren iakttar dessa bestämmelser.
28 Det ankommer på den hänskjutande domstolen att mot bakgrund av alla omständigheter i målet pröva huruvida dessa villkor är uppfyllda i förevarande fall. Den omständigheten att ett factoringavtal har det innehåll som beskrivs i tolkningsfrågan talar för att det uppfyller ovannämnda villkor. Ett sådant avtal ger nämligen förvärvaren av fordringarna enbart möjlighet att behandla trafikuppgifter i den mån detta är nödvändigt för att inkassera fordringarna och påför vederbörande också skyldigheten att omedelbart och oåterkalleligen utplåna eller återlämna nämnda uppgifter så snart som kännedomen om dem inte längre är nödvändig för att inkassera de ifrågavarande fordringarna. Avtalet ger dessutom tjänsteleverantören möjlighet att kontrollera att förvärvaren iakttar säkerhetsreglerna och uppgiftsskyddet, varvid den sistnämnde på begäran kan tvingas utplåna eller återlämna trafikuppgifterna.
29 Av vad som ovan anförts följer att tolkningsfrågan ska besvaras enligt följande: Artikel 6.2 och 6.5 i direktiv 2002/58 ska tolkas så, att en tjänsteleverantör får överföra trafikuppgifter till en person som förvärvat dennes fordringar avseende tillhandahållande av telekommunikationstjänster, i syfte att inkassera dem, och denne förvärvare får behandla nämnda uppgifter under förutsättning, för det första, att förvärvaren handlar på uppdrag av tjänsteleverantören vad gäller behandlingen av dessa uppgifter och, för det andra, att nämnda förvärvare enbart behandlar de trafikuppgifter som är nödvändiga för att inkassera de överlåtna fordringarna.
30 Oavsett hur avtalet om överlåtelse kvalificeras ska förvärvaren anses handla på uppdrag av tjänsteleverantören, i den mening som avses i artikel 6.5 i direktiv 2002/58, när vederbörande, i samband med behandlingen av trafikuppgifter, endast handlar på instruktioner från tjänsteleverantören och under dennes kontroll. I synnerhet ska det avtal som ingåtts dem emellan innehålla bestämmelser genom vilka det kan säkerställas att förvärvaren behandlar trafikuppgifterna på ett lagligt sätt och att tjänsteleverantören har möjlighet att när som helst försäkra sig om att nämnda förvärvare efterkommer dessa bestämmelser.
Rättegångskostnader
31 Eftersom förfarandet i förhållande till parterna i målet vid den nationella domstolen utgör ett led i beredningen av samma mål, ankommer det på den nationella domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (tredje avdelningen) följande:
Artikel 6.2 och 6.5 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) ska tolkas så, att en leverantör av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster får överföra trafikuppgifter till en person som förvärvat dennes fordringar avseende tillhandahållande av telekommunikationstjänster, i syfte att inkassera dem, och denne förvärvare får behandla nämnda uppgifter under förutsättning, för det första, att förvärvaren handlar på uppdrag av tjänsteleverantören vad gäller behandlingen av dessa uppgifter och, för det andra, att nämnda förvärvare enbart behandlar de trafikuppgifter som är nödvändiga för att inkassera de överlåtna fordringarna.
Oavsett hur avtalet om överlåtelse kvalificeras ska förvärvaren anses handla på uppdrag av tjänsteleverantören, i den mening som avses i artikel 6.5 i direktiv 2002/58, när vederbörande, i samband med behandlingen av trafikuppgifter, endast handlar på instruktioner från tjänsteleverantören och under dennes kontroll. I synnerhet ska det avtal som ingåtts dem emellan innehålla bestämmelser genom vilka det kan säkerställas att förvärvaren behandlar trafikuppgifterna på ett lagligt sätt och att tjänsteleverantören har möjlighet att när som helst försäkra sig om att nämnda förvärvare efterkommer dessa bestämmelser.
Underskrifter