El TJUE responde en su sentencia (disponible en este enlace) una petición de decisión prejudical y considera que el derecho comunitario no se opone al registro sistemático de direcciones IP y a la comunicación de los datos al titular de los derechos de propiedad intelectual para que pueda presentar una demanda por el perjuicio supuestamente ocasionado por los citados usuarios.

En el litigio principal, la sociedad demandante, que presta a los productores cinematográficos un servicio de cobro de créditos indemnizatorios, solicitaba que se ordenara a la sociedad demandada, proveedora de acceso a Internet, proporcionar los datos de identificación de sus clientes (nombre y dirección postal) cuyas conexiones a Internet se habían utilizado supuestamente para compartir películas incluidas en el catálogo de la demandante a través de una red entre pares (peer-to-peer) mediante el protocolo BitTorrent. En este sentido, la demandante afirma disponer de miles de direcciones IP dinámicas de los clientes de la demandada.

El tribunal belga que conoce del litigio pregunta al TJUE si la normativa comunitaria sobre el tratamiento de datos personales y la protección de la intimidad en el sector de las comunicaciones electrónicas se opone, por una parte, al registro sistemático, por el titular de derechos de propiedad intelectual y por un tercero que actúa por cuenta de este, de direcciones IP de usuarios de redes entre pares (peer-to-peer) cuyas conexiones de Internet supuestamente se utilizaron en actividades infractoras contra la propiedad intelectual y, por otra parte, a la comunicación de los nombres y las direcciones postales de esos usuarios al mencionado titular o a un tercero para permitirle presentar una demanda de indemnización ante la jurisdicción civil por el perjuicio supuestamente ocasionado por los citados usuarios.

El TJUE señala que el registro de direcciones IP para su posterior utilización en el contexto de acciones judiciales constituye un tratamiento de datos personales en el sentido del art. 4.2 del Reglamento 2016/679.

Y conforme al art. 6.1, párrafo primero, letra f), del citado Reglamento 2016/679, el tratamiento de datos personales solo es lícito si tal tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Requisitos para un tratamiento lícito

Por tanto, esta disposición establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer lugar, que el responsable del tratamiento o el tercero persigan un interés legítimo; en segundo lugar, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo, y, en tercer lugar, que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos.

En cuanto al primer requisito, el interés del responsable del tratamiento o de un tercero en obtener un dato personal relativo a una persona que supuestamente ha causado un daño a un bien de su propiedad para demandarla por daños y perjuicios constituye un interés legítimo.

En lo que atañe al segundo requisito, podría cumplirse puesto que la identificación del titular de la conexión a menudo solo es posible basándose en la dirección IP y la información proporcionada por el proveedor de acceso a Internet.

Respecto al requisito de la ponderación de los derechos e intereses en conflicto, dependerá de las circunstancias concretas del caso particular de que se trate, correspondiendo al tribunal nacional apreciar estas circunstancias particulares.

En cuanto a la comunicación de los nombres y las direcciones de los usuarios implicados en actividades infractoras, el TJUE afirma que es conforme con el objetivo de garantizar un justo equilibrio entre el derecho de información de los titulares de los derechos de propiedad intelectual y el derecho a la protección de los datos personales de esos usuarios.

Sin embargo, la petición de información de la demandante presupone que la demandada lleve a cabo un cotejo entre las direcciones IP dinámicas registradas por la demandante y las atribuidas por la demandada a sus usuarios que posibilitaron la participación de estos en la red entre pares (peer-to-peer) en cuestión.

Por consiguiente, tal solicitud tiene por objeto el tratamiento de datos de tráfico y el derecho a la protección de esos datos forma parte del derecho fundamental de toda persona a que se protejan los datos de carácter personal que le conciernan.

La normativa comunitaria sobre protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, no obliga a un tercero, como pueda ser el proveedor de acceso a Internet, a comunicar a los particulares datos personales para permitirles ejercer acciones ante la jurisdicción civil contra las infracciones al Derecho de propiedad intelectual, sino que se limita a regular la cuestión de la licitud del tratamiento por parte del propio responsable del tratamiento o por un tercero.

De este modo, un proveedor de acceso a Internet, como la demandada, solo podría verse obligado a efectuar tal comunicación basándose en una medida, contemplada en el art. 15.1 de la Directiva 2002/58, sobre la privacidad y las comunicaciones electrónicas, que limitara el alcance de los derechos y obligaciones previstos, en particular, en sus arts. 5 y 6.

Corresponde al tribunal nacional comprobar el fundamento jurídico tanto de la conservación por parte de la demandada de las direcciones IP cuya comunicación solicita la demandante, como del posible acceso de esta a esas direcciones.

En consecuencia, concluye el TJUE, si de las comprobaciones realizadas por el tribunal nacional se dedujera que existen medidas legales nacionales, en el sentido del art. 15.1 de la Directiva 2002/58, que limitan el alcance de las normas establecidas en los arts. 5 y 6 de esa Directiva, y suponiendo que la petición de información por la demandante está justificada, es proporcionada y no es abusiva, procederá considerar que los tratamientos a los que se ha hecho referencia son lícitos en el sentido del Reglamento 2016/679.