Corte di giustizia, Sentenza C-597/19

Condivisione peer-to-peer di opere protette, tutela dei diritti IP e protezione dei dati

La sentenza, resa su rinvio pregiudiziale dell’Ondernemingsrechtbank Antwerpen, riguarda una domanda di informazioni proposta da un soggetto titolare di diritti su film pornografici contro un fornitore di accesso a Internet, per ottenere i dati identificativi degli utenti i cui indirizzi IP erano stati registrati nell’ambito di una rete peer-to-peer. La Corte esamina congiuntamente diritto d’autore, misure di enforcement della proprietà intellettuale e tutela dei dati personali.

Fatti e procedimento principale

La Mircom affermava di essere titolare di diritti su numerosi film e di aver raccolto, tramite una società specializzata, migliaia di indirizzi IP relativi a utenti che avrebbero messo a disposizione i file tramite protocollo BitTorrent. Chiedeva quindi alla Telenet, fornitore di accesso, di comunicare i dati identificativi dei clienti corrispondenti a tali IP. Il giudice del rinvio dubitava: i) se il download e il seeding di segmenti di file costituissero comunicazione al pubblico; ii) se un soggetto come Mircom potesse utilizzare la direttiva 2004/48 pur non sfruttando i diritti; iii) se la raccolta e il trattamento degli IP fossero compatibili con il GDPR e la direttiva e-privacy.

Normativa rilevante

La Corte richiama in particolare:

• l’articolo 3, paragrafi 1 e 2, della direttiva 2001/29, sulla comunicazione al pubblico e la messa a disposizione del pubblico;
• gli articoli 3, 4, 8 e 13 della direttiva 2004/48, sull’obbligo generale, la legittimazione, il diritto d’informazione e il risarcimento del danno;
• l’articolo 6, paragrafo 1, primo comma, lettera f), del regolamento 2016/679;
• l’articolo 15, paragrafo 1, della direttiva 2002/58;
• gli articoli 7, 8, 17, paragrafo 2, e 47 della Carta.

Prima questione: peer-to-peer e messa a disposizione del pubblico

La Corte riformula la questione alla luce del fatto che, nel procedimento principale, sono in gioco i diritti connessi dei produttori di film. Ricorda che l’espressione "messa a disposizione del pubblico" ha lo stesso significato nell’articolo 3, paragrafi 1 e 2, della direttiva 2001/29.

La Corte afferma che il caricamento, dall’apparecchiatura di un utente peer-to-peer verso quelle degli altri utenti, dei segmenti di un file contenente un’opera protetta integra una messa a disposizione del pubblico anche se:

• i segmenti sono inutilizzabili singolarmente;
• il seeding è automatico per effetto del software BitTorrent.

Ciò che conta è che il file contenente l’opera sia reso accessibile a un pubblico indeterminato e considerevole e che l’utente abbia acconsentito consapevolmente all’uso del software dopo adeguata informazione. Non è necessario provare una soglia minima di segmenti scaricati.

Seconda questione: legittimazione, pregiudizio e diritto d’informazione nella direttiva 2004/48

La Corte precisa che la domanda della Mircom va letta come comprendente tre profili: legittimazione ad agire, nozione di pregiudizio ex articolo 13 e ammissibilità della richiesta di informazioni ex articolo 8.

Quanto alla legittimazione, un soggetto contrattualmente titolare di diritti IP può rientrare nell’articolo 4, lettera a), della direttiva 2004/48, oppure nell’articolo 4, lettera b), come altro soggetto autorizzato a disporre dei diritti. Il fatto che non sfrutti personalmente i diritti non lo esclude dall’ambito di applicazione della direttiva. Restano invece fuori gli organismi di gestione collettiva e di difesa professionale, che non risultano essere Mircom.

Quanto al pregiudizio, la Corte osserva che anche il titolare o il cessionario dei diritti può subire un danno quando la violazione ostacola lo sfruttamento normale dei diritti o ne riduce i proventi. Se però il soggetto agisce come cessionario per recuperare crediti risarcitori, ciò non impedisce di per sé l’accesso alle misure della direttiva.

Quanto al diritto d’informazione, la Corte afferma che una richiesta precontenziosa non è per questo sola irricevibile. È però necessario che sia giustificata e proporzionata. La Corte collega tale diritto al diritto a un ricorso effettivo e alla tutela della proprietà intellettuale. Il giudice nazionale deve anche verificare se vi sia abuso ai sensi dell’articolo 3, paragrafo 2, della direttiva 2004/48, valutando globalmente il comportamento del richiedente.

La Corte precisa inoltre che il requisito della violazione su scala commerciale rileva per gli strumenti di prova, per il diritto d’informazione e per le misure cautelari, ma non per il risarcimento del danno ex articolo 13. Nel caso concreto, la richiesta rivolta all’ISP può astrattamente rientrare nell’articolo 8, poiché l’ISP è un soggetto che fornisce su scala commerciale servizi utilizzati in attività di violazione.

Terza e quarta questione: indirizzi IP, GDPR e direttiva e-privacy

La Corte distingue due trattamenti:

• un trattamento a monte, consistente nella registrazione degli indirizzi IP da parte della società incaricata dalla Mircom;
• un trattamento a valle, consistente nell’identificazione degli utenti da parte dell’ISP e nella comunicazione di nomi e indirizzi postali.

Gli indirizzi IP dinamici sono dati personali quando il titolare del trattamento dispone di mezzi giuridici per identificare l’interessato tramite informazioni ulteriori detenute dall’ISP. La registrazione di tali IP per un uso giudiziario costituisce dunque un trattamento. La Corte riconosce che l’interesse a recuperare un credito o a far valere un danno può costituire un legittimo interesse ai sensi dell’articolo 6, paragrafo 1, lettera f), del regolamento 2016/679, ma il trattamento deve essere necessario e il bilanciamento con i diritti degli interessati va fatto caso per caso.

Poiché i dati IP sono anche dati relativi al traffico, la Corte richiama la direttiva 2002/58, che precisa e integra il GDPR nel settore delle comunicazioni elettroniche. In particolare, l’accesso e la comunicazione dei dati devono trovare base in una misura legislativa nazionale adottata ai sensi dell’articolo 15, paragrafo 1, della direttiva 2002/58, che consenta restrizioni necessarie e proporzionate per la tutela dei diritti altrui e per l’esercizio delle azioni civili.

La Corte ricorda inoltre che il solo trattamento dei nomi e indirizzi civili, in sé, non rivela la vita privata in modo grave; tuttavia, nel caso concreto, l’operazione presuppone il collegamento con dati di traffico. Spetta quindi al giudice nazionale verificare il fondamento giuridico della conservazione degli IP da parte dell’ISP e dell’eventuale accesso ai medesimi. Se esiste una base legislativa nazionale conforme all’articolo 15 della direttiva 2002/58, e se le richieste sono giustificate, proporzionate e non abusive, il trattamento può essere lecito.

Decisione e principio finale

La Corte conclude che:

• il seeding di segmenti di file su reti peer-to-peer costituisce messa a disposizione del pubblico;
• un soggetto contrattualmente titolare di diritti IP può in linea di principio utilizzare gli strumenti della direttiva 2004/48, salvo abuso;
• la registrazione degli IP e la comunicazione dei dati identificativi possono essere consentite dal GDPR, in combinato disposto con la direttiva 2002/58, se fondate su una misura legislativa nazionale e rispettose di giustificazione, proporzionalità e non abuso.