Asunto C‑582/14

Patrick Breyer

contra

Bundesrepublik Deutschland

(Petición de decisión prejudicial planteada por el Bundesgerichtshof)

«Procedimiento prejudicial — Tratamiento de datos personales — Directiva 95/46/CE — Artículo 2, letra a) — Artículo 7, letra f) — Concepto de “datos personales” — Dirección de protocolo de Internet — Conservación por un proveedor de servicios de medios en línea — Normativa nacional que no permite la toma en consideración del interés legítimo perseguido por el responsable del tratamiento»

Sumario — Sentencia del Tribunal de Justicia (Sala Segunda)

de 19 de octubre de 2016

1.        Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Ámbito de aplicación — Datos personales — Concepto — Dirección de protocolo de Internet dinámica registrada por un proveedor de servicios de medios en línea con ocasión de la consulta por una persona de un sitio de Internet — Inclusión — Requisito — Existencia de medios legales que permitan al proveedor de medios en línea identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet

[Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 2, letra a)]

2.        Aproximación de las legislaciones — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Directiva 95/46/CE — Requisitos para la licitud de un tratamiento de datos personales — Realización del interés legítimo perseguido por el responsable del tratamiento o por el destinatario de los datos — Normativa nacional que no permite tomar en consideración el interés legítimo del proveedor de servicios de medios en línea para garantizar la capacidad general de funcionamiento de dichos servicios — Improcedencia

[Directiva 95/46/CE del Parlamento Europeo y del Consejo, art. 7, letra f)]

1.      El artículo 2, letra a), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que una dirección de protocolo de Internet (dirección IP) dinámica registrada por un proveedor de servicios de medios en línea con ocasión de la consulta por una persona de un sitio de Internet que ese proveedor hace accesible al público constituye respecto a dicho proveedor un dato personal, en el sentido de la citada disposición, cuando éste disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a Internet de dicha persona.

En efecto, el hecho de que la información adicional necesaria para identificar al usuario de un sitio de Internet no esté en poder del proveedor de servicios de medios en línea, sino del proveedor de acceso a Internet de ese usuario, no puede excluir que las direcciones IP dinámicas registradas por el proveedor de servicios de medios en línea constituyan, para éste, datos personales en el sentido del artículo 2, letra a), de la Directiva 95/46.

(véanse los apartados 44 y 49 y el punto 1 del fallo)

2.      El artículo 7, letra f), de la Directiva 95/46, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que se opone a una normativa de un Estado miembro con arreglo a la cual un prestador de servicios de medios en línea sólo puede recoger y utilizar datos personales de un usuario de esos servicios, sin el consentimiento de éste, cuando dicha recogida y utilización sean necesarias para posibilitar y facturar el uso concreto de dichos servicios por ese usuario, sin que el objetivo de garantizar el funcionamiento general de esos mismos servicios pueda justificar la utilización de los datos tras una sesión de consulta de los servicios.

A este respecto, el artículo 7, letra f), de la mencionada Directiva se opone a que un Estado miembro excluya de manera categórica y generalizada la posibilidad de someter a un tratamiento determinadas categorías de datos personales, sin permitir una ponderación de los derechos e intereses en conflicto en cada caso concreto. Un Estado miembro no puede establecer con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías, sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto.

(véanse los apartados 62 y 64 y el punto 2 del fallo)