Language of document : ECLI:EU:C:2023:385

Edizione provvisoria

CONCLUSIONI DELL’AVVOCATO GENERALE

M. CAMPOS SÁNCHEZ-BORDONA

presentate il 4 maggio 2023 (1)

Causa C319/22

Gesamtverband Autoteile-Handel e.V.

contro

Scania CV AB

[Domanda di pronuncia pregiudiziale, proposta dal Landgericht Köln (Tribunale del Land, Colonia, Germania)]

«Rinvio pregiudiziale — Mercato dei servizi relativi alle informazioni sulla riparazione e la manutenzione dei veicoli a motore — Regolamento (UE) 2018/858 — Operatori indipendenti — Informazioni facilmente accessibili sotto forma di insiemi di dati leggibili a macchina e trattabili elettronicamente — Numero di identificazione del veicolo (VIN) — Protezione dei dati personali — Regolamento (UE) 2016/679 — Condizioni di liceità del trattamento dei dati personali — Articolo 6, paragrafo 1, lettera c)»






1.        Il legislatore dell’Unione mira a garantire, nell’ambito del mercato interno, la concorrenza nel settore della riparazione e della manutenzione dei veicoli a motore, in modo che i costruttori di questi ultimi non monopolizzino (direttamente o tramite i loro concessionari e riparatori autorizzati) la prestazione di tali servizi.

2.        A tal fine, il regolamento (UE) 2018/858 (2) obbliga i costruttori di automobili a consentire agli «operatori indipendenti» un accesso senza restrizioni, standardizzato e non discriminatorio alle informazioni relative ad alcuni sistemi, attrezzature e strumenti dei veicoli, nonché alla loro riparazione e manutenzione.

3.        L’applicazione del regolamento 2018/858 (o di uno dei regolamenti che esso modifica) ha dato luogo a controversie che oppongono i costruttori di veicoli da un lato e gli operatori indipendenti dall’altro. Alcune domande di pronuncia pregiudiziale derivano da procedimenti nella cui trattazione è intervenuto un ente (3) i cui membri gestiscono l’80 % del fatturato dei rivenditori indipendenti di parti di ricambio per veicoli a motore in Germania (4).

4.        Il Landgericht Köln (Tribunale del Land, Colonia, Germania) solleva, nell’ambito del presente rinvio pregiudiziale, tre questioni, riguardanti, in successione:

—      il contenuto delle informazioni che i costruttori devono mettere a disposizione degli operatori indipendenti (se esso comprenda tutte le informazioni sulla riparazione e la manutenzione, ai sensi dell’articolo 3, punto 48, del regolamento 2018/858, o se si limiti alle informazioni sui pezzi di ricambio);

—      il modo e il formato con cui i costruttori devono fornire tali informazioni;

—      l’obbligo di fornire agli operatori indipendenti il numero di identificazione del veicolo (in prosieguo: il «VIN») (5) in relazione all’articolo 6, paragrafo 1, lettera c), del regolamento (UE) n. 2016/679 (6).

5.        Su indicazione della Corte di giustizia, limiterò le mie conclusioni alla terza delle suddette questioni.

I.      Contesto normativo

A.      Regolamento 2018/858

6.        Il considerando 50 così recita:

«Per migliorare il funzionamento del mercato interno, in particolare per quanto riguarda la libera circolazione delle merci, la libertà di stabilimento e la libera prestazione di servizi, sono necessari un accesso illimitato alle informazioni sulla riparazione e la manutenzione dei veicoli — attraverso una funzione di ricerca standardizzata che consenta di reperire le informazioni tecniche — e una concorrenza effettiva sul mercato dei servizi che forniscono tali informazioni (…)».

7.        Ai sensi del considerando 52:

«Al fine di garantire una concorrenza efficace sul mercato dei servizi relativi alle informazioni sulla riparazione e la manutenzione dei veicoli e di precisare che tra le informazioni in questione rientrano anche quelle che devono essere fornite agli operatori indipendenti diversi dai riparatori, in modo da assicurare che il mercato della riparazione e della manutenzione indipendenti nel suo complesso possa competere con i concessionari autorizzati, indipendentemente dal fatto che il costruttore del veicolo fornisca tali informazioni ai riparatori e concessionari autorizzati o utilizzi esso stesso tali informazioni a fini di riparazione e manutenzione, è necessario stabilire i dettagli delle informazioni da fornire ai fini dell’accesso alle informazioni sulla riparazione e la manutenzione dei veicoli».

8.        Ai sensi del considerando 62:

«Ogniqualvolta le misure previste dal presente regolamento comportino il trattamento di dati personali, tale trattamento dovrebbe essere effettuato in conformità del [RGPD] (…)».

9.        L’articolo 3 contiene le seguenti definizioni:

«(…)

45)      “operatore indipendente”: una persona fisica o giuridica, diversa da un concessionario o da un riparatore autorizzato, coinvolta direttamente o indirettamente nella riparazione e manutenzione di veicoli, compresi riparatori, costruttori o distributori di utensili, apparecchiature per la riparazione o pezzi di ricambio, editori di informazioni tecniche, club automobilistici, addetti al soccorso stradale, addetti a servizi d’ispezione e di prova e alla formazione di installatori, costruttori e riparatori di equipaggiamenti per veicoli alimentati da carburanti alternativi; indica altresì i riparatori, i concessionari e i distributori autorizzati in seno al sistema di distribuzione di un certo costruttore di veicoli nella misura in cui forniscono servizi di riparazione e manutenzione di veicoli relativamente ai quali non sono membri del sistema di distribuzione del costruttore del veicolo;

(…)

48)      “informazioni sulla riparazione e la manutenzione del veicolo”: tutte le informazioni, successivi supplementi e modifiche compresi, che sono richieste per la diagnosi, la manutenzione e l’ispezione di un veicolo, la sua preparazione al controllo tecnico, la sua riparazione, riprogrammazione o reinizializzazione, o sono richieste per il supporto diagnostico a distanza del veicolo o per il montaggio su un veicolo di parti e accessori, e che sono fornite dal costruttore ai propri partner, concessionari e riparatori autorizzati o sono utilizzate dal costruttore a fini di riparazione o manutenzione;

49)      “informazioni diagnostiche di bordo (OBD) del veicolo”: le informazioni generate da un sistema che è a bordo di un veicolo o che è collegato a un motore ed è in grado di individuare un malfunzionamento — ed eventualmente di segnalarne la comparsa mediante un sistema di allarme, di identificare la probabile zona di malfunzionamento mediante informazioni salvate nella memoria di un computer e di comunicare tali informazioni all’esterno;

(…)».

10.      L’articolo 61 («Obblighi del costruttore di fornire le informazioni OBD del veicolo e le informazioni sulla riparazione e la manutenzione del veicolo») stabilisce quanto segue:

«1.      I costruttori consentono agli operatori indipendenti un accesso senza restrizioni, standardizzato e non discriminatorio alle informazioni OBD del veicolo, alle attrezzature diagnostiche e altre apparecchiature, agli strumenti, compresi i riferimenti completi e i download disponibili del software applicabile, nonché alle informazioni sulla riparazione e la manutenzione del veicolo. Le informazioni sono presentate in modo facilmente accessibile sotto forma di insiemi di dati leggibili a macchina e trattabili elettronicamente. Gli operatori indipendenti hanno accesso ai servizi di diagnostica remota utilizzati dai costruttori e dai concessionari e riparatori autorizzati.

I costruttori forniscono un sistema standardizzato, sicuro e a distanza per consentire ai riparatori indipendenti di realizzare operazioni che comportano l’accesso al sistema di sicurezza del veicolo.

2.      Fintantoché la Commissione non abbia adottato una norma pertinente tramite l’attività del Comitato europeo di normazione (CEN) o un analogo organismo di normazione, le informazioni OBD del veicolo e le informazioni sulla riparazione e la manutenzione del veicolo sono presentate in modo facilmente accessibile, così da poter essere utilizzate dagli operatori indipendenti compiendo uno sforzo ragionevole.

Le informazioni OBD del veicolo e le informazioni sulla riparazione e la manutenzione del veicolo sono messe a disposizione sui siti web dei costruttori in un formato standardizzato o, nel caso ciò non sia possibile a causa della loro natura, in un altro formato adeguato. Gli operatori indipendenti diversi dai riparatori hanno inoltre accesso alle informazioni in un formato leggibile a macchina trattabile elettronicamente tramite strumenti informatici e software comunemente reperibili che consenta loro di svolgere i compiti associati alla loro attività nella catena di fornitura postvendita.

(…)

4.      Nell’allegato X sono stabiliti i dettagli delle prescrizioni tecniche riguardo all’accesso alle informazioni OBD del veicolo e alle informazioni sulla riparazione e la manutenzione del veicolo, in particolare le specifiche tecniche relative alle modalità di fornitura di tali informazioni.

(…)

11.      Per tenere conto degli sviluppi normativi e tecnici o per prevenire gli abusi, alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 82 volti a modificare e integrare l’allegato X aggiornando le prescrizioni riguardanti l’accesso alle informazioni OBD del veicolo e alle informazioni sulla riparazione e la manutenzione del veicolo (…)».

11.      Il punto 6.1 dell’allegato X («Accesso alle informazioni OBD del veicolo e alle informazioni sulla riparazione e la manutenzione del veicolo») prevede quanto segue:

«(…)

Le informazioni relative a tutte le parti di cui il veicolo — identificato dal VIN e da ogni altro criterio aggiuntivo come interasse, potenza del motore, tipo di rifinitura o di opzioni — è dotato dal costruttore del veicolo e che possono essere sostituite da pezzi di ricambio offerti dal costruttore del veicolo ai suoi concessionari o meccanici autorizzati o a terzi mediante un riferimento a un numero di ricambi originali, devono essere rese disponibili, sotto forma di insiemi di dati leggibili a macchina e trattabili elettronicamente, in una banca dati facilmente accessibile agli operatori indipendenti.

Tale banca dati deve comprendere il VIN, i numeri delle apparecchiature originali, la denominazione delle apparecchiature originali, le indicazioni di validità (inizio e fine di validità), le indicazioni di montaggio e, ove applicabile, le caratteristiche di struttura.

(…)».

B.      Regolamento n. 19/2011

12.      L’articolo 2 («Definizioni»), punto 2, intende per:

«“numero di identificazione del veicolo” (VIN): il codice alfanumerico assegnato ad un veicolo dal costruttore in modo da garantire l’identificazione corretta di ogni veicolo».

13.      Nell’allegato I («Prescrizioni tecniche»), Parte B [«Numero di identificazione del veicolo (VIN)»], il punto 1.2 così recita:

«Il VIN è unico e attribuito in modo inequivocabile ad un veicolo particolare».

C.      RGPD

14.      Ai sensi dell’articolo 4, punto 1, si intende per «“dato personale”: qualsiasi informazione riguardante una persona fisica identificata o identificabile (‘interessato’); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale».

15.      L’articolo 6 («Liceità del trattamento») così stabilisce:

«1.      Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

(…)

c)      il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;

(…)

3.      La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:

a)      dal diritto dell’Unione; o

b)      dal diritto dello Stato membro cui è soggetto il titolare del trattamento.

La finalità del trattamento è determinata in tale base giuridica (…). Il diritto dell’Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all’obiettivo legittimo perseguito.

(…)».

D.      Direttiva 1999/37/CE (7)

16.      L’allegato I («Parte I della carta di circolazione») contiene le seguenti sezioni:

«(…)

II.5      La parte I della carta di circolazione deve inoltre contenere i seguenti dati, preceduti dai codici comunitari armonizzati corrispondenti:

(…)

(C)      dati nominativi,

(C.1)      intestatario della carta di circolazione:

(C.1.1) cognome o ragione sociale,

(…)

(C.1.3) indirizzo nello Stato membro di immatricolazione alla data di rilascio del documento,

(C.4)      qualora non siano stati inseriti nella carta di circolazione i dati di cui al punto II.6, codice C.2, dicitura che precisa che l’intestatario della carta di circolazione:

a)      è il proprietario del veicolo,

(…)

(E)      numero di identificazione del veicolo;

(…)

II.6      La parte I della carta di circolazione può inoltre riportare i seguenti dati, preceduti dai codici comunitari armonizzati corrispondenti:

(C)      dati nominativi,

(C.2) proprietario del veicolo (voce da ripetersi per ogni proprietario) (…)

(…)

(C.3) persona fisica o giuridica che può disporre del veicolo a un titolo legale diverso da quello di proprietario (…)

(…)».

II.    Fatti, procedimento e questioni pregiudiziali

17.      La Scania CV AB (in prosieguo: la «Scania») è uno dei maggiori costruttori di veicoli commerciali, in particolare di autocarri pesanti, in Europa. In quanto titolare di omologazioni «CE», essa riveste la qualità di costruttore ai sensi dell’articolo 3, punto 40, del regolamento 2018/858 ed è tenuta a fornire le informazioni di cui all’articolo 61, paragrafi 1 e 2, del medesimo regolamento.

18.      La Scania fornisce agli operatori indipendenti (come i membri del Gesamtverband A.-H.) l’accesso alle informazioni relative al veicolo, alla sua riparazione e manutenzione, nonché le informazioni OBD, attraverso un sito web.

19.      Tramite questa procedura, la Scania consente ad un utente umano, inserendo le ultime sette cifre del VIN, di ricercare informazioni su un veicolo specifico, o, a partire da informazioni generali relative ai veicoli, ottenere informazioni più dettagliate che non si riferiscono ad un veicolo in particolare (8).

20.      La Scania, tuttavia, non mette il VIN a disposizione degli operatori indipendenti. Solo un riparatore conosce il VIN del veicolo su cui si devono effettuare lavori di manutenzione o di riparazione, poiché tale numero è riportato sul telaio del veicolo affidatogli dal cliente; mentre i costruttori e i rivenditori di pezzi di ricambio non sono a conoscenza di tali VIN individuali, senza i quali, una ricerca basata su criteri generali, produce risultati imprecisi (9).

21.      Nel procedimento principale, il Gesamtverband A.-H. e la Scania non concordano su forma, contenuto e portata degli obblighi che incombono al costruttore ai sensi dell’articolo 61, paragrafi 1 e 2, del regolamento 2018/858.

22.      È in questo contesto che il Landgericht Köln (Tribunale del Land, Colonia, Germania) ha deciso di sottoporre alla Corte di giustizia tre questioni pregiudiziali, delle quali esaminerò solo l’ultima, formulata nei seguenti termini:

«Se l’articolo 61, paragrafo 1, del regolamento [2018/858] costituisca per i costruttori di veicoli un obbligo giuridico ai sensi dell’articolo 6, paragrafo 1, lettera c), del RGPD, che giustifica la trasmissione del VIN, o delle informazioni ad esso associate, ad operatori indipendenti in qualità di altri titolari del trattamento ai sensi dell’articolo 4, punto 7, del RGPD».

III. Procedimento dinanzi alla Corte di giustizia

23.      La domanda di pronuncia pregiudiziale è stata depositata presso la Corte l’11 maggio 2022.

24.      Hanno presentato osservazioni scritte il Gesamtverband A.-H., la Scania e la Commissione.

25.      Non è stato ritenuto necessario lo svolgimento di un’udienza.

IV.    Valutazione

26.      Con la sua terza questione pregiudiziale, il giudice del rinvio chiede se l’articolo 61, paragrafo 1, del regolamento 2018/858 imponga ai costruttori di veicoli un obbligo giuridico [ai sensi dell’articolo 6, paragrafo 1, lettera c), del RGPD] che giustifica la trasmissione del VIN, o delle informazioni ad esso associate, agli operatori indipendenti.

27.      La premessa su cui si basa la domanda è che, se un siffatto obbligo esistesse, il suo adempimento renderebbe necessario il trattamento dei dati personali.

28.      La risposta richiede di analizzare, in primo luogo, la natura del VIN e, in secondo luogo, una volta riconosciuta la sua natura di dato personale, di esaminare l’eventuale fondamento della liceità del suo trattamento.

A.      Natura personale del VIN

29.      Il VIN costituisce un dato personale? Se così non fosse, il problema sollevato sarebbe senz’altro risolto, in quanto il RGPD semplicemente non sarebbe applicabile. Il giudice del rinvio ammette, tuttavia, di avere qualche incertezza al riguardo.

30.      Il giudice a quo sintetizza in questi termini le posizioni delle due parti della controversia:

—      secondo il Gesamtverband A.-H., i VIN non costituirebbero dati personali, per il costruttore, nella misura in cui esso non dispone di alcuna possibilità ragionevole, effettiva o legale, di trarre conclusioni su una persona fisica a partire dal VIN. Ciò avviene, in particolare, con la Scania, dal momento che gli acquirenti di veicoli commerciali non sono, di norma, persone fisiche. Nella misura in cui, in alcuni casi, il VIN costituisce un dato personale, la divulgazione delle informazioni da parte della Scania sarebbe comunque lecita ai sensi dell’articolo 6, paragrafo 1, lettera c), del RGPD. L’articolo 61, paragrafo 1, del regolamento 2018/858 costituirebbe una base giuridica adeguata, in quanto obbligherebbe i costruttori a trasmettere le informazioni collegate a un VIN;

—      Secondo la Scania, i VIN sono dati personali e il RGPD vieterebbe la loro divulgazione in assenza di una base giuridica a tal fine. Potrebbe essere considerato come base per un’autorizzazione solo l’articolo 6, paragrafo 1, lettera c), del RGPD. Orbene, l’articolo 61, paragrafo 1, del regolamento 2018/858 non costituirebbe un siffatto obbligo legale. La disposizione non sarebbe sufficientemente precisa, la finalità del trattamento non sarebbe chiaramente definita e il regolamento 2018/858 non si pronuncerebbe sulla protezione dei dati.

31.      Il giudice del rinvio, dopo aver esposto le due tesi, riconosce che vi sono argomenti a sostegno di entrambe:

—      il fatto che il regolamento 2018/858 non menzioni espressamente gli aspetti relativi alla protezione dei dati potrebbe deporre a favore dell’interpretazione della Scania;

—      la tesi del Gesamtverband A.-H. sarebbe corroborata dal fatto che per i costruttori i VIN non costituiscono, di regola, dati personali, per cui il RGPD potrebbe non essere applicabile in tal senso fin dall’inizio. In ogni caso, l’articolo 61, paragrafo 1, del regolamento (UE) 2018/858 stabilisce il necessario «obbligo legale» ai sensi dell’articolo 6, paragrafo 1, lettera c) del RGPD e costituisce la base per il trattamento dei dati ai sensi quest’ultimo.

32.      Il dubbio sarebbe stato (relativamente) risolto dalla sentenza della Corte di giustizia del 24 febbraio 2022, Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (10). In essa, l’accesso a taluni VIN, in particolare, così come la messa a disposizione di informazioni sugli annunci pubblicati da un operatore economico su un portale Internet, sono stati qualificati come comunicazioni di «dati personali» (11).

33.      In quella causa, l’avvocato generale Bobek aveva ritenuto che «(…) il numero di telaio delle autovetture [il VIN] costituisce un’“informazione riguardante una persona [fisica] identificata o identificabile”». I VIN potrebbero dunque essere considerati «dati personali ai sensi dell’articolo 4, punto 1, dell’RGDP», nella misura in cui tali «informazioni consentono di identificare i venditori di autovetture e, pertanto, i potenziali soggetti passivi» (12).

34.      Tuttavia, concordo con il giudice del rinvio e con il Gesamtverband A.-H sul fatto che il VIN non è, di per sé e in ogni caso, un dato personale. Quantomeno non lo sarebbe «in generale, (…) per il costruttore [di veicoli]» (13) e certamente non quando il veicolo non appartiene a una persona fisica.

35.      Nella causa Valsts ieņēmumu dienests, i dati controversi, tra i quali figuravano i VIN dei veicoli pubblicati su un portale Internet, erano stati richiesti da un’amministrazione tributaria. In quel contesto, il VIN costituiva chiaramente un «dato personale» nel senso di cui all’articolo 4, punto 1, dell’RGPD; vale a dire un’«informazione riguardante una persona fisica identificata o identificabile».

36.      Nella misura in cui le informazioni controverse nella causa Valsts ieņēmumu dienests sono state richieste da una pubblica amministrazione, i VIN potevano servire a identificare i proprietari dei veicoli identificati da tali numeri. Tra «tutti i mezzi che [potevano] essere ragionevolmente utilizzati» da una pubblica amministrazione ai fini di tale identificazione personale vi è l’accesso al registro (pubblico) dei certificati di immatricolazione.

37.      In linea di principio, come ho già affermato, il VIN è un semplice «codice alfanumerico assegnato ad un veicolo dal costruttore» che serve, in senso stretto, solo per l’identificazione corretta di quest’ultimo. Si potrebbe dire che si tratta di un dato ad rem, non ad personam.

38.      Orbene, conformemente alla giurisprudenza della Corte di giustizia:

—      la definizione di «dato personale», ai sensi dell’articolo 4, punto 1, dell’RGPD, «è applicabile quando, in ragione del loro contenuto, della loro finalità e del loro effetto, le informazioni di cui trattasi sono collegate a una persona determinata» (14);

—      «per determinare se una persona sia identificabile, è opportuno prendere in considerazione l’insieme dei mezzi che possono essere ragionevolmente utilizzati dal responsabile del trattamento o da altri per identificare detta persona». Ne consegue che, «perché un dato possa essere qualificato come “dato personale” (…) non si richiede che tutte le informazioni che consentono di identificare la persona interessata debbano essere in possesso di una sola persona» (15).

39.      Conformemente a tale giurisprudenza, un dato che, in linea di principio, non ha carattere «personale» (poiché, da solo e senza l’intermediazione di altri dati, non contiene informazioni riguardanti una persona fisica identificata o identificabile) acquisisce tale carattere per coloro che hanno ragionevolmente i mezzi che permettono di associarlo ad una determinata persona.

40.      Uno di questi mezzi sono i certificati di immatricolazione, i quali devono necessariamente contenere il VIN e l’identità del proprietario del veicolo (16). Sulla base di tali certificati, associando il VIN al proprietario del veicolo, un soggetto indipendente potrebbe risalire, ad esempio, al processo di distribuzione e vendita di un pezzo di ricambio fino a identificare il proprietario del veicolo in cui tale pezzo è stato incorporato (17).

41.      Spetta al giudice del rinvio stabilire se, come sembrerebbe, i membri del Gesamtverbrand A.-H. possano ragionevolmente disporre di mezzi che consentano di collegare un VIN a una persona fisica identificata o identificabile. Se così fosse, per loro (e, indirettamente, per il costruttore che mette a loro disposizione il VIN), il VIN sarebbe un dato personale il cui trattamento è soggetto all’RGPD.

42.      In definitiva, e come conclusione intermedia, ritengo che il VIN costituisca un dato personale, ai sensi dell’articolo 4, punto 1, dell’RGPD, nella misura in cui chi ne abbia accesso abbia a disposizione i mezzi che gli consentono ragionevolmente di utilizzarlo per identificare il proprietario del veicolo al quale appartiene. Spetta al giudice del rinvio verificare quando ciò avviene in ciascun singolo caso.

B.      Obbligo di fornire il VIN e RGPD

43.      Contrariamente ad alcune affermazioni riportate nell’ordinanza di rinvio, il regolamento 2018/858 non esclude l’applicazione della normativa sulla protezione dei dati. Ai sensi del suo considerando 62, «Ogniqualvolta le misure previste dal presente regolamento comportino il trattamento di dati personali, tale trattamento dovrebbe essere effettuato in conformità [dell’RGPD]».

44.      L’articolo 6, paragrafo 1, dell’RGPD subordina la liceità del trattamento dei dati personali ad almeno una delle condizioni da esso enunciate. Tra queste vi è quella secondo la quale il trattamento è necessario «per adempiere un obbligo legale al quale è soggetto il titolare del trattamento» [lettera (c)] (il corsivo è mio).

45.      Questo obbligo legale si trova nell’articolo 61, paragrafi 1 e 4, del regolamento 2018/858, in combinato disposto con il punto 6.1 dell’allegato X dello stesso. In base a questo insieme di norme, i costruttori di veicoli a motore devono mettere a disposizione degli operatori indipendenti, tra gli altri dati, esplicitamente il VIN.

46.      Il punto 6.1 dell’allegato X del regolamento 2018/858 specifica le informazioni che devono essere fornite dal costruttore, in una banca dati facilmente accessibile agli operatori indipendenti. Tali informazioni comprendono «(…) le parti di cui il veicolo — identificato dal VIN (…) è dotato dal costruttore». Nello stesso punto si aggiunge che la banca dati che il costruttore è obbligato a creare «deve comprendere il VIN».

47.      L’articolo 61, paragrafo 4, del regolamento 2018/858 è tassativo nella parte in cui prevede che i dettagli delle prescrizioni tecniche riguardo all’accesso a tali informazioni siano quelli indicati nell’allegato X. Come ho appena indicato, il punto 6.1 di tale allegato impone al costruttore l’obbligo di fornire le informazioni, «dal VIN», sul veicolo e sulle parti di cui il costruttore lo ha dotato.

48.      Di conseguenza, ogni costruttore di veicoli ha, inequivocabilmente, l’obbligo di fornire il VIN agli operatori indipendenti.

49.      Nella misura in cui il VIN costituisce un dato personale (18), la sua messa a disposizione implica un «trattamento» ai sensi dell’articolo 4, punto 2, dell’RGPD.

50.      La Corte di giustizia ha dichiarato che ogni trattamento di dati personali deve essere conforme ai principi dell’articolo 5 dell’RGPD e a una delle condizioni di liceità dell’articolo 6 dello stesso (19).

51.      Tra le condizioni di liceità elencate all’articolo 6, paragrafo 1, dell’RGPD, in questa sede è rilevante quella di cui alla lettera c). Tale condizione è soddisfatta nella presente causa, poiché, ripeto, consentire l’accesso al VIN è un «obbligo legale» che grava sui costruttori di veicoli (articolo 61, paragrafo 1, del regolamento 2018/858). Se un costruttore non fornisse l’accesso al VIN dei propri veicoli agli operatori indipendenti, violerebbe tale obbligo legale.

52.      Non è tuttavia sufficiente che il trattamento controverso sia necessario per adempiere a un obbligo legale. Occorre inoltre che siano rispettate le condizioni di cui all’articolo 6, paragrafo 3, dell’RGPD. Ritengo che ciò si verifichi nella presente causa, in quanto:

—      la «base su cui si fonda il trattamento» (che deve essere «stabilita (…) dal diritto dell’Unione o (…) dal diritto dello Stato membro cui è soggetto il titolare del trattamento») si trova proprio nel regolamento 2018/858;

—      la «finalità del trattamento» (che «è determinata in tale base giuridica») è definita all’articolo 61, paragrafo 1, del regolamento 2018/858: l’obiettivo è promuovere la concorrenza nel settore (20), consentendo agli operatori indipendenti un accesso senza restrizioni, standardizzato e non discriminatorio a determinate informazioni relative alle apparecchiature dei veicoli, alla riparazione e manutenzione dei veicoli;

—      l’«obiettivo di interesse pubblico» della norma del diritto dell’Unione in materia è soddisfatto in quanto, come dichiarato dalla Commissione (21), l’obbligo imposto mira a migliorare «il funzionamento del mercato interno, in particolare per quanto riguarda la libera circolazione delle merci, la libertà di stabilimento e la libera prestazione di servizi» (22);

—      la base normativa è «proporzionata all’obiettivo legittimo perseguito»: dall’ordinanza di rinvio risulta che solo la ricerca mediante VIN consente di identificare con precisione i dati rilevanti per un determinato veicolo. Come sottolineato anche dalla Commissione (23), il giudice del rinvio non suggerisce alcun altro mezzo di identificazione meno incisivo che rispetti simultaneamente l’efficacia della ricerca sulla base del VIN e soddisfi l’obiettivo di interesse pubblico di cui sopra. Il legislatore europeo ha effettuato autonomamente questa valutazione di proporzionalità nel regolamento 2018/858.

53.      In definitiva, ritengo che tutte le condizioni richieste dall’articolo 6, paragrafo 1, lettera c), e paragrafo 3, dell’RGPD siano soddisfatte. Aggiungo, infine, che il giudice del rinvio non lascia adito a dubbi quanto all’applicazione a tale causa dei principi di cui all’articolo 5 dell’RGPD.

V.      Conclusione

54.      Alla luce di quanto precede, propongo alla Corte di giustizia di rispondere al Landgericht Köln (Tribunale del Land, Colonia, Germania) nei seguenti termini:

«L’articolo 61, paragrafi 1 e 4, in combinato disposto con l’allegato X, punto 6.1, del regolamento (UE) 2018/858 del Parlamento europeo e del Consiglio, del 30 maggio 2018, relativo all’omologazione e alla vigilanza del mercato dei veicoli a motore e dei loro rimorchi, nonché dei sistemi, dei componenti e delle entità tecniche indipendenti destinati a tali veicoli, che modifica i regolamenti (CE) n. 715/2007 e (CE) n. 595/2009 e abroga la direttiva 2007/46/CE,

deve essere interpretato nel senso che:

esso impone ai costruttori di veicoli a motore, ai sensi dell’articolo 6, paragrafo 1, lettera c), e paragrafo 3, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), un obbligo legale che giustifica la messa a disposizione degli operatori indipendenti dei numeri di identificazione dei veicoli (VIN)».


1      Lingua originale: lo spagnolo.


2      Regolamento del Parlamento europeo e del Consiglio, del 30 maggio 2018, relativo all’omologazione e alla vigilanza del mercato dei veicoli a motore e dei loro rimorchi, nonché dei sistemi, dei componenti e delle entità tecniche indipendenti destinati a tali veicoli, che modifica i regolamenti (CE) n. 715/2007 e (CE) n. 595/2009 e abroga la direttiva 2007/46/CE (GU 2018, L 151, pag. 1).


3      Il Gesamtverband Autoteile-Handel e. V (in prosieguo: il «Gesamtverband A.-H.»).


4      Sentenze del 19 settembre 2019, Gesamtverband Autoteile-Handel (C‑527/18, EU:C:2019:762) e del 27 ottobre 2022, ADPA e Gesamtverband Autoteile-Handel (C‑390/21, EU:C:2022:837).


5      Il VIN (vehicle identification number) o numero di identificazione del veicolo è un codice alfanumerico assegnato ad un veicolo dal costruttore in modo da garantire la sua identificazione. A tale codice fa riferimento il regolamento (UE) n. 19/2011 della Commissione, dell’11 gennaio 2011, relativo ai requisiti dell’omologazione per la targhetta regolamentare del costruttore e per il numero di identificazione dei veicoli a motore e dei loro rimorchi, che attua il regolamento (CE) n. 661/2009, del Parlamento europeo e del Consiglio, sui requisiti dell’omologazione per la sicurezza generale dei veicoli a motore, dei loro rimorchi e sistemi, componenti ed entità tecniche ad essi destinati (GU 2011, L 8, pag. 1), modificato dal regolamento (UE) n. 249/2012 della Commissione, del 21 marzo 2012 (GU 2012, L 82, pag. 1).


6      Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1). In prosieguo: l’«RGPD».


7      Direttiva del Consiglio, del 29 aprile 1999, relativa ai documenti di immatricolazione dei veicoli (GU 1999, L 138, pag. 57), nella versione modificata dalla direttiva 2003/127/CE della Commissione, del 23 dicembre 2003 (GU 2004, L 10, pag. 29).


8      Il risultato della ricerca visualizzato a schermo dall’utente umano dopo l’inserimento di un VIN o di un termine di ricerca generico può solo essere stampato o memorizzato localmente sul computer come file PDF. Il contenuto informativo di tale stampa o del file PDF così generato è di conseguenza limitato a ciò che viene visualizzato nella schermata.


9      Le informazioni sui pezzi di ricambio vengono fornite agli agenti indipendenti nella stessa forma, con la differenza che l’utente ha inoltre la possibilità di salvare localmente sul proprio computer i risultati della ricerca visualizzati sul sito web sotto forma di file XML.


10      Causa C‑175/20 (EU:C:2022:124). In prosieguo: la «sentenza Valsts ieņēmumu dienests».


11      Sentenza Valsts ieņēmumu dienests, punti 36 e 37.


12      Conclusioni dell’avvocato generale Bobek, presentate nella causa Valsts ieņēmumu dienests (Trattamento di dati personali a fini fiscali) (C-175/20, EU:C:2021:690), paragrafo 36. Il corsivo è nell’originale.


13      Pagina 80 dell’originale tedesco dell’ordinanza di rinvio.


14      Sentenza dell’8 dicembre 2022, Inspektor v Inspektorata kam Visshia sadeben savet (Finalità del trattamento dei dati personali — Indagine penale) (C‑180/21, EU:C:2022:967), punto 70, con citazione della sentenza del 20 dicembre 2017, Nowak (C‑434/16, EU:C:2017:994), punto 35.


15      Sentenza del 19 ottobre 2016, Breyer (C‑582/14, EU:C:2016:779), punti 42 e 43.


16      Allegato I, punto II.5, codice E, della direttiva 1999/37.


17      Come ha osservato la Commissione al punto 53 delle sue osservazioni, non si può ignorare la realtà dei veicoli connessi, in grado di fornire informazioni che possono essere collegate a una persona tramite il VIN. V. il punto 29 delle Linee guida 01/2020 sul trattamento dei dati personali nel contesto dei veicoli connessi e delle applicazioni legate alla mobilità (versione 2.0), adottate il 9 marzo 2021 (https://edpb.europa.eu/system/files/2021-08/edpb_guidelines_202001_connected_vehicles_v2.0_adopted_it.pdf).


18      V. supra, paragrafo 42.


19      Sentenze del 16 gennaio 2019, Deutsche Post (C‑496/17, EU:C:2019:26), punto 57, e quelle ivi citate; del 24 settembre 2019, GC e a. (Deindicizzazione di dati sensibili) (C‑136/17, EU:C:2019:773), punto 64; e del 22 giugno 2021, Latvijas Republikas Saeima (Punti di penalità per infrazioni stradali) (C‑439/19, EU:C:2021:504), punti 96, 99, 100 e 102.


20      Conformemente al considerando 52 del regolamento 2018/858, esso mira a «garantire una concorrenza efficace sul mercato dei servizi relativi alle informazioni sulla riparazione e la manutenzione dei veicoli».


21      Paragrafo 65 delle sue osservazioni.


22      È quanto enuncia il considerando 50 del regolamento 2018/858.


23      Paragrafo 67 delle sue osservazioni.