Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
M. CAMPOS SÁNCHEZ-BORDONA
van 4 mei 2023 (1)
Zaak C‑319/22
Gesamtverband Autoteile-Handel e.V.
tegen
Scania CV AB
[verzoek van het Landgericht Köln (rechter in eerste aanleg Keulen, Duitsland) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Markt voor diensten voor reparatie- en onderhoudsinformatie van motorvoertuigen – Verordening (EU) 2018/858 – Onafhankelijke marktdeelnemers – Gemakkelijk toegankelijke informatie in machineleesbaar en elektronisch verwerkbaar formaat – Voertuigidentificatienummer (VIN) – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Voorwaarden waaronder verwerking van persoonsgegevens rechtmatig is – Artikel 6, lid 1, onder c)”
1. De Uniewetgever beoogt op de interne markt de concurrentie in de sector reparatie en onderhoud van motorvoertuigen te waarborgen, zodat fabrikanten van deze motorvoertuigen de verrichting van dergelijke diensten niet monopoliseren (zelf of via hun erkende dealers en reparateurs).
2. Daartoe zijn autofabrikanten op grond van verordening (EU) 2018/858(2) verplicht om „onafhankelijke marktdeelnemers” onbeperkte, gestandaardiseerde en niet-discriminerende toegang te bieden tot informatie over bepaalde systemen, apparatuur en gereedschappen van voertuigen en over de reparatie en het onderhoud van die voertuigen.
3. De toepassing van verordening 2018/858 (of een van de daarbij gewijzigde verordeningen) heeft geleid tot geschillen tussen voertuigfabrikanten enerzijds en onafhankelijke marktdeelnemers anderzijds. In een aantal procedures waarbij een orgaan(3) betrokken is waarvan de leden 80 % van de omzet van de vrije handel in reserveonderdelen van motorvoertuigen in Duitsland vertegenwoordigen, heeft er een prejudiciële verwijzing plaatsgevonden.(4)
4. In dit verzoek om een prejudiciële beslissing legt het Landgericht Köln (rechter in eerste aanleg Keulen, Duitsland) drie vragen voor die betrekking hebben op respectievelijk:
– de inhoud van de informatie die fabrikanten ter beschikking moeten stellen van onafhankelijke marktdeelnemers (namelijk of dit alle reparatie- en onderhoudsinformatie in de zin van artikel 3, punt 48, van verordening 2018/858 dan wel alleen informatie over reserveonderdelen betreft);
– de wijze waarop en het formaat waarin de fabrikanten deze informatie moeten verstrekken;
– de verplichting om onafhankelijke marktdeelnemers het voertuigidentificatienummer (hierna: „VIN”)(5) te verstrekken, uit het oogpunt van artikel 6, lid 1, onder c), van verordening (EU) 2016/679(6).
5. Op aangeven van het Hof zal ik in mijn conclusie uitsluitend ingaan op de derde vraag.
I. Toepasselijke bepalingen
A. Verordening 2018/858
6. Overweging 50 luidt:
„Om de interne markt beter te doen functioneren, met name wat het vrije verkeer van goederen, het recht van vestiging en het vrij verrichten van diensten betreft, zijn onbeperkte toegang tot de reparatie- en onderhoudsinformatie van voertuigen – via een gestandaardiseerde vorm voor het raadplegen van technische informatie – en effectieve concurrentie op de markt voor diensten die dergelijke informatie verstrekken noodzakelijk [...].”
7. In overweging 52 staat te lezen:
„Om op de markt daadwerkelijke concurrentie voor diensten voor reparatie- en onderhoudsinformatie van voertuigen te waarborgen en duidelijk te maken dat de betreffende informatie ook informatie omvat die aan andere onafhankelijke marktdeelnemers dan reparateurs moet worden verstrekt, zodat de onafhankelijke markt voor de reparatie en het onderhoud van voertuigen in haar totaliteit met erkende dealers kan concurreren, ongeacht of de voertuigfabrikant die informatie rechtstreeks aan erkende dealers en reparateurs verstrekt dan wel die informatie gebruikt voor de reparatie en het onderhoud zelf, is het noodzakelijk toe te lichten welke informatie precies moet worden verstrekt met het oog op toegang tot reparatie- en onderhoudsinformatie van voertuigen.”
8. In overweging 62 wordt uiteengezet:
„Wanneer de maatregelen van deze verordening het verwerken van persoonsgegevens omvatten, moeten zij worden uitgevoerd overeenkomstig [de AVG] [...].”
9. In artikel 3 zijn de volgende definities opgenomen:
„[...]
45. ,onafhankelijke marktdeelnemer’: een natuurlijke of rechtspersoon, met uitzondering van een erkende handelaar of reparateur, die direct of indirect bij de reparatie en het onderhoud van voertuigen betrokken is, waaronder reparateurs, fabrikanten of distributeurs van reparatieapparatuur, gereedschap of reserveonderdelen, alsook uitgevers van technische informatie, automobielclubs, wegenwachtdiensten, bedrijven die keurings- en controlediensten aanbieden, bedrijven die opleidingen aanbieden voor installateurs, fabrikanten en reparateurs van uitrustingsstukken voor voertuigen die op alternatieve brandstof rijden; er wordt eveneens onder verstaan erkende reparateurs, handelaren en distributeurs binnen het distributiesysteem van een bepaalde voertuigfabrikant voor zover zij reparatie- of onderhoudsdiensten verrichten voor voertuigen van een fabrikant van wiens distributienet zij geen deel uitmaken;
[...]
48. ,reparatie- en onderhoudsinformatie van een voertuig’: alle informatie, met inbegrip van alle latere wijzigingen daarvan en aanvullingen daarop, die nodig is voor diagnose, onderhoud en keuring van een voertuig, de voorbereiding ervan op technische controle, reparatie, herprogrammering of re-initialisatie van een voertuig, of die nodig is voor de diagnostische ondersteuning op afstand van een voertuig of voor het monteren van voertuigdelen of uitrustingsstukken op een voertuig, en die de fabrikant aan zijn erkende partners, handelaren en reparateurs verstrekt of door de fabrikant met het oog op reparatie en onderhoud wordt aangewend;
49. ‚informatie uit het boorddiagnosesysteem (OBD) van een voertuig’: informatie die is gegenereerd door een systeem in een voertuig of verbonden met een motor dat storingen kan herkennen en, indien van toepassing, daarvan via een alarmsysteem melding kan maken, door middel van in een computergeheugen opgeslagen informatie kan aangeven in welk gebied de storing waarschijnlijk is opgetreden, en die informatie buiten het voertuig kan laten lezen;
[...]”
10. Artikel 61 („Verplichtingen van de fabrikant om OBD-informatie en reparatie- en onderhoudsinformatie van het voertuig te verstrekken”) bepaalt:
„1. De fabrikanten bieden onafhankelijke marktdeelnemers onbeperkte, gestandaardiseerde en niet-discriminerende toegang tot de OBD-informatie van voertuigen, diagnose- en andere apparatuur, gereedschappen, met inbegrip van de volledige referenties en beschikbare downloads van de toepasselijke software, en reparatie- en onderhoudsinformatie van voertuigen. Informatie wordt gepresenteerd op gemakkelijk toegankelijk wijze in de vorm van machineleesbare en elektronisch verwerkbare gegevensbestanden. Onafhankelijke marktdeelnemers krijgen toegang tot de diensten voor diagnose op afstand die door fabrikanten en hun erkende dealers en reparateurs worden gebruikt.
De fabrikanten stellen een gestandaardiseerde, veilige en niet-plaatsgebonden structuur ter beschikking om onafhankelijke reparatiebedrijven in de gelegenheid te stellen werkzaamheden te verrichten die ingrepen in het veiligheidssysteem van het voertuig vereisen.
2. Totdat de [Europese] Commissie via het werk van het Europees Comité voor normalisatie (CEN) of een vergelijkbare normalisatie-instelling een toepasselijke norm heeft vastgesteld, wordt de OBD-informatie en reparatie- en onderhoudsinformatie van het voertuig gepresenteerd in een gemakkelijk toegankelijk formaat dat met een redelijke inspanning door onafhankelijke marktdeelnemers kan worden verwerkt.
De OBD-informatie en reparatie- en onderhoudsinformatie van het voertuig wordt op de websites van de fabrikanten beschikbaar gemaakt in een gestandaardiseerd formaat of, indien dit vanwege de aard van de informatie niet mogelijk is, in een ander passend formaat. Aan andere onafhankelijke marktdeelnemers dan reparateurs wordt de informatie ook verstrekt in een machineleesbaar formaat dat elektronisch kan worden verwerkt met behulp van algemeen beschikbare IT-instrumenten en software, zodat onafhankelijke marktdeelnemers de taak kunnen uitvoeren die verband houdt met hun activiteiten in de aftermarkettoeleveringsketen.
[...]
4. De bijzonderheden van de technische voorschriften voor toegang tot OBD-informatie en reparatie- en onderhoudsinformatie van voertuigen, met name technische specificaties over hoe de OBD-informatie en reparatie- en onderhoudsinformatie van voertuigen moet worden verstrekt, staan in bijlage X.
[...]
11. De Commissie is bevoegd om overeenkomstig artikel 82 gedelegeerde handelingen vast te stellen tot wijziging van bijlage X, teneinde met technische en regelgevingsontwikkelingen rekening te houden of misbruik te voorkomen door de voorschriften voor toegang tot OBD-informatie en reparatie- en onderhoudsinformatie van voertuigen [...] te actualiseren [...].”
11. Punt 6.1 van bijlage X („Toegang tot OBD-informatie en reparatie- en onderhoudsinformatie van voertuigen”) schrijft voor:
„[...]
Informatie over alle voertuigonderdelen waarmee het voertuig, aangeduid door het VIN en door aanvullende criteria zoals wielbasis, motorvermogen, uitrustingsniveau of opties, door de voertuigfabrikant is uitgerust en die kunnen worden vervangen door reserveonderdelen die door de voertuigfabrikant aan zijn erkende reparateurs of dealers of aan derden worden aangeboden met verwijzing naar de originele onderdeelnummers, wordt in de vorm van machineleesbare en elektronisch verwerkbare gegevensbestanden ter beschikking gesteld in een databank die voor onafhankelijke marktdeelnemers gemakkelijk toegankelijk is.
Deze databank omvat het VIN, de originele onderdeelnummers, de originele benaming van de onderdelen, geldigheidsattributen (datum begin en einde geldigheid), montagekenmerken en, indien van toepassing, structurele eigenschappen.
[...]”
B. Verordening nr. 19/2011
12. Punt 2 van artikel 2 („Definities”) luidt:
„‚voertuigidentificatienummer’ (VIN): de alfanumerieke code die door de fabrikant aan een voertuig wordt toegekend om de adequate identificatie van elk voertuig mogelijk te maken”.
13. In bijlage I („Technische voorschriften”), deel B [„Voertuigidentificatienummer (VIN)”], wordt in punt 1.2 bepaald:
„Het VIN is uniek en wordt ondubbelzinnig aan één bepaald voertuig toegewezen.”
C. AVG
14. In artikel 4, punt 1, worden „persoonsgegevens” gedefinieerd als „alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (,de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online-identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”.
15. Artikel 6 („Rechtmatigheid van de verwerking”) luidt als volgt:
„1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[...]
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
[...]
3. De rechtsgrond voor de in lid 1, punten c) en e), bedoelde verwerking moet worden vastgesteld bij:
a) Unierecht; of
b) lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is.
Het doel van de verwerking wordt in die rechtsgrond vastgesteld [...]. Het Unierecht of het lidstatelijke recht moet beantwoorden aan een doelstelling van algemeen belang en moet evenredig zijn met het nagestreefde gerechtvaardigde doel.
[...]”
D. Richtlijn 1999/37
16. In bijlage I („Deel I van het kentekenbewijs”) bij richtlijn 1999/37/EG(7) staan de volgende punten:
„[...]
II.5. Deel I van het kentekenbewijs moet ook de volgende gegevens bevatten, die worden voorafgegaan door de bijbehorende geharmoniseerde communautaire codes:
[...]
(C) persoonsgegevens:
(C.1) houder van het kentekenbewijs:
(C.1.1) achternaam of firmanaam,
[...]
(C.1.3) adres in de lidstaat van inschrijving op de datum van afgifte van het document;
(C.4) indien de gegevens van punt II.6, code C.2, niet op het kentekenbewijs worden vermeld, de vermelding dat de houder van het kentekenbewijs:
a) de eigenaar van het voertuig is,
[...]
[...]
(E) voertuigidentificatienummer;
[...]
II.6. Deel I van het kentekenbewijs kan bovendien de volgende gegevens bevatten, die worden voorafgegaan door de bijbehorende geharmoniseerde communautaire codes:
(C) persoonsgegevens:
(C.2) eigenaar van het voertuig (voor elk van de eigenaars) [...]
[...]
(C.3) natuurlijke persoon of rechtspersoon die in een andere juridische hoedanigheid dan die van eigenaar over het voertuig mag beschikken [...]
[...]
[...]
[...]”
II. Feiten, hoofdgeding en prejudiciële vragen
17. Scania CV AB (hierna: „Scania”) is een van de grootste fabrikanten van bedrijfsvoertuigen, in het bijzonder zware vrachtwagens, in Europa. In haar hoedanigheid van houder van EG-typegoedkeuringen is zij een fabrikant in de zin van artikel 3, punt 40, van verordening 2018/858 en moet zij de in artikel 61, leden 1 en 2, van die verordening bedoelde informatie verstrekken.
18. Scania verleent onafhankelijke marktdeelnemers (zoals de leden van Gesamtverband A.‑H.) via een website toegang tot voertuiginformatie, reparatie- en onderhoudsinformatie van voertuigen en OBD-informatie van voertuigen.
19. Op deze manier stelt Scania de menselijke gebruiker in staat informatie over een bepaald voertuig op te zoeken door de laatste zeven cijfers van het VIN in te voeren, dan wel aan de hand van algemene voertuiginformatie ruimere informatie te verkrijgen die geen betrekking heeft op een specifiek voertuig.(8)
20. Scania verstrekt onafhankelijke marktdeelnemers evenwel geen VIN’s. Alleen de reparateur kent het VIN van het voertuig dat moet worden onderhouden of gerepareerd, aangezien dit nummer vermeld staat op het chassis van het voertuig dat de klant aan de reparateur heeft toevertrouwd; fabrikanten en distributeurs van reserveonderdelen hebben geen toegang tot individuele VIN’s, zonder welke het zoeken aan de hand van algemene criteria enkel onnauwkeurige resultaten oplevert.(9)
21. Gesamtverband A.‑H. en Scania zijn het in het hoofdgeding oneens over de vorm, de inhoud en de omvang van de verplichtingen van de fabrikant uit hoofde van artikel 61, leden 1 en 2, van verordening 2018/858.
22. In die omstandigheden heeft het Landgericht Köln besloten zich tot het Hof te wenden met drie prejudiciële vragen. Ik zal alleen ingaan op de laatste vraag, die als volgt luidt:
„Houdt artikel 61, lid 1, van verordening [2018/858] een wettelijke verplichting in de zin van artikel 6, lid 1, onder c), van de [AVG] voor voertuigfabrikanten in, die de openbaarmaking van [VIN’s] of informatie in verband met [VIN’s] aan onafhankelijke marktdeelnemers als andere verwerkingsverantwoordelijken in de zin van artikel 4, punt 7, van de [AVG] rechtvaardigt?”
III. Procedure bij het Hof
23. Het verzoek om een prejudiciële beslissing is bij de griffie van het Hof ingekomen op 11 mei 2022.
24. Gesamtverband A.‑H., Scania en de Commissie hebben schriftelijke opmerkingen ingediend.
25. Het houden van een terechtzitting is niet noodzakelijk geacht.
IV. Beoordeling
26. Met zijn derde prejudiciële vraag wenst de verwijzende rechter te vernemen of artikel 61, lid 1, van verordening 2018/858 een wettelijke verplichting [in de zin van artikel 6, lid 1, onder c), AVG] voor voertuigfabrikanten inhoudt, die de openbaarmaking van VIN’s of informatie in verband met VIN’s aan onafhankelijke marktdeelnemers rechtvaardigt.
27. Uitgangspunt van deze vraag is dat, mocht een dergelijke verplichting bestaan, het voor de nakoming van die verplichting noodzakelijk zou zijn persoonsgegevens te verwerken.
28. Om de vraag te beantwoorden, moet in de eerste plaats de aard van het VIN worden geanalyseerd en moet in de tweede plaats – zodra vaststaat dat het VIN een persoonsgegeven is – de eventuele rechtsgrond voor de rechtmatigheid van de verwerking ervan worden onderzocht.
A. Persoonlijke aard van het VIN
29. Is het VIN een persoonsgegeven? Zo niet, dan zou het probleem meteen opgelost zijn, omdat de AVG eenvoudigweg niet van toepassing zou zijn. De verwijzende rechter geeft echter toe dat hieromtrent enige onzekerheid bestaat.
30. Hij vat de standpunten van beide partijen in het hoofdgeding samen als volgt:
– Volgens Gesamtverband A.‑H. zijn VIN’s geen persoonsgegevens voor fabrikanten, voor zover zij feitelijk noch rechtens de mogelijkheid hebben om aan de hand van het VIN conclusies te trekken omtrent de identiteit van een natuurlijke persoon. Dit geldt in het bijzonder voor Scania, aangezien kopers van bedrijfsvoertuigen in de regel geen natuurlijke personen zijn. Voor zover het VIN in individuele gevallen een persoonsgegeven is, zou het verlenen van toegang tot de informatie door Scania in elk geval toegestaan zijn op grond van artikel 6, lid 1, onder c), AVG. Artikel 61, lid 1, van verordening 2018/858 is een geschikte rechtsgrond omdat het fabrikanten verplicht om de aan een VIN gekoppelde informatie beschikbaar te maken.
– Volgens Scania zijn VIN’s persoonsgegevens en verbiedt de AVG de doorgifte ervan wanneer daar geen rechtsgrond voor bestaat. Als rechtvaardigingsgrond zou alleen artikel 6, lid 1, onder c), AVG in aanmerking komen. Artikel 61, lid 1, van verordening 2018/858 houdt echter geen dergelijke wettelijke verplichting in. De regeling is niet voldoende nauwkeurig, het doel van de verwerking wordt niet duidelijk omschreven en verordening 2018/858 laat zich niet uit over gegevensbescherming.
31. Na beide opvattingen te hebben uiteengezet, erkent de verwijzende rechter dat er argumenten zijn die voor het ene en voor het andere standpunt pleiten:
– Voor de uitlegging van Scania kan pleiten dat verordening 2018/858 geen uitdrukkelijke overwegingen inzake gegevensbescherming bevat.
– Voor het standpunt van Gesamtverband A.‑H. pleit dat VIN’s in het algemeen geen persoonsgegevens zijn voor fabrikanten, zodat de AVG mogelijkerwijze a priori niet van toepassing is. Hoe dan ook kan artikel 61, lid 1, van verordening 2018/858 de vereiste „wettelijke verplichting” in de zin van artikel 6, lid 1, onder c), AVG zijn en een grondslag voor een gegevensverwerking overeenkomstig de AVG vormen.
32. De twijfel zou (grotendeels) zijn weggenomen door het arrest van het Hof van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden)(10). In dat arrest werden met name de verlening van toegang tot bepaalde VIN’s en de terbeschikkingstelling van informatie over door een marktdeelnemer op een internetportaal geplaatste advertenties aangemerkt als de verstrekking van „persoonsgegevens”.(11)
33. In die zaak heeft advocaat-generaal Bobek geconcludeerd dat „het chassisnummer [het VIN] [...] ‚informatie over een geïdentificeerde of identificeerbare persoon’ [is]”. VIN’s kunnen zijns inziens derhalve worden beschouwd als „persoonsgegevens in de zin van artikel 4, punt 1, AVG”, aangezien „[a]an de hand van die informatie [...] autoverkopers, en dus potentiële belastingplichtigen, [kunnen] worden geïdentificeerd”.(12)
34. Volgens mij hebben de verwijzende rechter en Gesamtverband A.‑H. het echter bij het rechte eind dat VIN’s niet op zich en niet in elk geval persoonsgegevens zijn. Dat geldt althans „in het algemeen [...] voor [voertuig]fabrikanten”(13) en zeker wanneer het voertuig niet aan een natuurlijke persoon toebehoort.
35. In de zaak Valst ieņēmumu dienests werden de betrokken gegevens, waaronder de VIN’s van op een internetportaal geadverteerde voertuigen, gevorderd door een belastingdienst. In die context waren de VIN’s duidelijk „persoonsgegevens” in de zin van artikel 4, punt 1, AVG, namelijk „informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”.
36. Aangezien het in de zaak Valsts ieņēmumu dienests een overheidsinstantie was die de betrokken informatie opvroeg, konden de VIN’s dienen om de eigenaren van de voertuigen met die nummers te identificeren. Tot „alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs [...] in te zetten zijn” door een overheidsinstantie om een persoon te identificeren, behoort de toegang tot het (openbare) register van kentekenbewijzen.
37. Zoals ik reeds heb aangegeven, is het VIN in beginsel slechts een „alfanumerieke code die door de fabrikant aan een voertuig wordt toegekend” en die strikt genomen alleen dient om de adequate identificatie van het voertuig mogelijk te maken. Gesteld kan dus worden dat het om een gegeven ad rem gaat en niet om een gegeven ad personam.
38. Uit de rechtspraak van het Hof volgt evenwel het volgende:
– De definitie van „persoonsgegevens” in de zin van artikel 4, punt 1, AVG is „van toepassing [...] wanneer die informatie wegens haar inhoud, doel of gevolg gelieerd is aan een bepaalde persoon”.(14)
– „[O]m te bepalen of een persoon identificeerbaar is, [moet] worden gekeken naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is, dan wel door enige andere persoon, kunnen worden ingezet om voornoemde persoon te identificeren”. Hieruit vloeit voort dat „voor de kwalificatie van een gegeven als ‚persoonsgegeven’ [...] niet vereist is dat alle informatie aan de hand waarvan de betrokkene kan worden geïdentificeerd, bij een en dezelfde persoon berust”.(15)
39. Op grond van deze rechtspraak geldt dat gegevens die in beginsel geen „persoonlijk” karakter hebben (omdat zij op zichzelf en zonder ze te combineren met andere gegevens geen informatie bevatten over een geïdentificeerde of identificeerbare natuurlijke persoon), een dergelijk karakter verkrijgen voor degenen die redelijkerwijs over de middelen beschikken om ze aan een bepaalde persoon te liëren.
40. Tot die middelen behoren kentekenbewijzen, die noodzakelijkerwijs het VIN en de identiteit van de eigenaar van het voertuig moeten bevatten(16). Op basis van deze kentekenbewijzen en door het VIN te koppelen aan de eigenaar van het voertuig, zou een onafhankelijke marktdeelnemer bijvoorbeeld de distributie en verkoop van een reserveonderdeel kunnen traceren tot aan de eigenaar van het voertuig waarin dat onderdeel is ingebouwd.(17)
41. Het staat aan de verwijzende rechter om na te gaan of, zoals het geval lijkt te zijn, de leden van Gesamtverband A.‑H. redelijkerwijs kunnen beschikken over middelen waarmee een VIN kan worden gekoppeld aan een geïdentificeerde of identificeerbare natuurlijke persoon. Indien dat het geval is, dan zou het VIN voor hen (en indirect voor de fabrikant die het VIN ter beschikking stelt) een persoonsgegeven zijn waarvan de verwerking onder de AVG valt.
42. Bij wijze van voorlopige conclusie ben ik dan ook van mening dat een VIN een persoonsgegeven is in de zin van artikel 4, punt 1, AVG, voor zover degene die er toegang toe heeft, over de middelen kan beschikken om het redelijkerwijs in te zetten voor de identificatie van de eigenaar van het voertuig waarop het betrekking heeft. Het staat aan de verwijzende rechter om per geval na te gaan of dit inderdaad zo is.
B. Verplichting tot verstrekking van het VIN en de AVG
43. In tegenstelling tot wat wordt aangevoerd met sommige argumenten die in de verwijzingsbeslissing zijn weergegeven, sluit verordening 2018/858 de toepassing van de gegevensbeschermingsregels niet uit. In overweging 62 van die verordening staat immers te lezen dat „[w]anneer de maatregelen van deze verordening het verwerken van persoonsgegevens omvatten, [...] zij [moeten] worden uitgevoerd overeenkomstig [de AVG]”.
44. Volgens artikel 6, lid 1, AVG is de verwerking van persoonsgegevens rechtmatig indien is voldaan aan ten minste een van de daarin genoemde voorwaarden, bijvoorbeeld de voorwaarde dat de verwerking noodzakelijk is „om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust” [onder c)] (cursivering van mij).
45. Deze wettelijke verplichting is te vinden in artikel 61, leden 1 en 4, van verordening 2018/858, gelezen in samenhang met punt 6.1 van bijlage X. Volgens deze bepalingen moeten fabrikanten van motorvoertuigen bepaalde gegevens, waaronder uitdrukkelijk ook het VIN, ter beschikking stellen van onafhankelijke marktdeelnemers.
46. In punt 6.1 van bijlage X bij verordening 2018/858 is de informatie opgenomen die door de fabrikant moet worden verstrekt in een databank die voor onafhankelijke marktdeelnemers gemakkelijk toegankelijk is. Deze informatie heeft onder meer betrekking op „alle voertuigonderdelen waarmee het voertuig, aangeduid door het VIN [...], door de voertuigfabrikant is uitgerust”. In dat punt staat ook dat de databank die de fabrikant verplicht is aan te leggen, „het VIN [omvat]”.
47. Artikel 61, lid 4, van verordening 2018/858 bepaalt specifiek dat dat de bijzonderheden van de technische voorschriften voor toegang tot die informatie in bijlage X staan. Zoals ik zojuist heb aangegeven, legt punt 6.1 van die bijlage de fabrikant de verplichting op om „door [middel van] het VIN” informatie te verstrekken over het voertuig en over de onderdelen waarmee hij het voertuig heeft uitgerust.
48. Bijgevolg rust op elke voertuigfabrikant de ondubbelzinnige verplichting om het VIN aan onafhankelijke marktdeelnemers te verstrekken.
49. Voor zover het VIN een persoonsgegeven is(18), houdt het verlenen van toegang daartoe een „verwerking” in de zin van artikel 4, punt 2, AVG in.
50. Het Hof heeft erop gewezen dat elke verwerking van persoonsgegevens moet stroken met de beginselen van artikel 5 AVG en moet voldoen aan een van in artikel 6 AVG gestelde rechtmatigheidsvoorwaarden.(19)
51. Van de in artikel 6, lid 1, AVG opgesomde rechtmatigheidsvoorwaarden is in casu de onder c) genoemde voorwaarde van belang. Aan die voorwaarde is in deze zaak voldaan omdat, zoals reeds vermeld, de verlening van toegang tot het VIN een „wettelijke verplichting” voor voertuigfabrikanten is (artikel 61, lid 1, van verordening 2018/858). Een fabrikant die onafhankelijke marktdeelnemers geen toegang tot het VIN van zijn voertuigen verleent, schendt die wettelijke verplichting.
52. Het is echter niet voldoende dat de betrokken verwerking noodzakelijk is om aan een wettelijke verplichting te voldoen. De verwerking moet ook voldoen aan de voorwaarden van artikel 6, lid 3, AVG. Mijns inziens is dat in deze zaak om de volgende redenen het geval:
– De „rechtsgrond voor de [...] verwerking” (die moet zijn „vastgesteld bij [...] Unierecht; of [...] lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is”) is namelijk precies in verordening 2018/858 te vinden.
– Het „doel van de verwerking” (dat „in die rechtsgrond [wordt] vastgesteld”) wordt uiteengezet in artikel 61, lid 1, van verordening 2018/858, te weten de bevordering van de concurrentie in de sector(20) door onafhankelijke marktdeelnemers onbeperkte, gestandaardiseerde en niet-discriminerende toegang te bieden tot bepaalde informatie over de uitrusting van voertuigen en over de reparatie en het onderhoud van die voertuigen.
– De Unierechtelijke regeling ter zake beantwoordt aan een „doelstelling van algemeen belang”, aangezien – zoals de Commissie heeft opgemerkt(21) – de opgelegde verplichting „de interne markt beter [doet] functioneren, met name wat het vrije verkeer van goederen, het recht van vestiging en het vrij verrichten van diensten betreft”(22).
– De rechtsgrond is „evenredig [...] met het nagestreefde gerechtvaardigde doel”: uit de verwijzingsbeslissing blijkt dat alleen het zoeken aan de hand van het VIN tot een exacte identificatie van de voor een bepaald voertuig relevante gegevens leidt. Zoals ook de Commissie heeft benadrukt(23), stelt de verwijzende rechter geen andere, minder indringende identificatiemethode voor die de doeltreffendheid van het zoeken aan de hand van het VIN waarborgt en het tegelijk mogelijk maakt om de hierboven uiteengezette doelstelling van algemeen belang te verwezenlijken. De Uniewetgever heeft deze evenredigheidstoets zelf uitgevoerd in verordening 2018/858.
53. Kortom, naar mijn oordeel is aan alle voorwaarden van artikel 6, lid 1, onder c), en lid 3, AVG voldaan. Tot slot voeg ik hieraan toe dat de verwijzende rechter geen twijfel laat bestaan over de toepassing van de beginselen van artikel 5 AVG op deze zaak.
V. Conclusie
54. Gelet op het voorgaande geef ik het Hof in overweging de derde prejudiciële vraag van het Landgericht Köln te beantwoorden als volgt:
„Artikel 61, leden 1 en 4, van verordening (EU) 2018/858 van het Europees Parlement en de Raad van 30 mei 2018 betreffende de goedkeuring van en het markttoezicht op motorvoertuigen en aanhangwagens daarvan en systemen, onderdelen en technische eenheden die voor dergelijke voertuigen zijn bestemd, tot wijziging van verordeningen (EG) nr. 715/2007 en (EG) nr. 595/2009 en tot intrekking van richtlijn 2007/46/EG, gelezen in samenhang met punt 6.1 van bijlage X bij die verordening,
moet aldus worden uitgelegd dat
deze bepaling voor fabrikanten van motorvoertuigen een wettelijke verplichting in de zin van artikel 6, lid 1, onder c), en lid 3, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) inhoudt, die het ter beschikking stellen van voertuigidentificatienummers (VIN’s) aan onafhankelijke marktdeelnemers rechtvaardigt.”