OPINIA RZECZNIKA GENERALNEGO
MANUELA CAMPOSA SÁNCHEZA-BORDONY
przedstawiona w dniu 4 maja 2023 r.(1)
Sprawa C‑319/22
Gesamtverband Autoteile-Handel e.V.
przeciwko
Scania CV AB
[wniosek o wydanie orzeczenia w trybie prejudycjalnym złożony przez Landgericht Köln (sąd krajowy w Kolonii, Niemcy)]
Odesłanie prejudycjalne – Rynek usług w zakresie informacji dotyczących naprawy i konserwacji pojazdów silnikowych – Rozporządzenie (UE) 2018/858 – Niezależne podmioty – Informacja dostępna w przystępny sposób w formacie nadającym się do odczytu maszynowego i przetwarzania elektronicznego zbiorów danych – Numer identyfikacyjny pojazdu (VIN) – Ochrona danych osobowych – Rozporządzenie (UE) 2016/679 – Warunki zgodności z prawem przetwarzania danych osobowych – Artykuł 6 ust. 1 lit. c)
1. Prawodawca Unii dąży do zapewnienia na rynku wewnętrznym konkurencji w branży naprawy i konserwacji pojazdów silnikowych, tak aby producenci tych pojazdów nie monopolizowali świadczenia takich usług (sami lub za pośrednictwem swoich autoryzowanych punktów sprzedaży lub stacji obsługi).
2. W tym celu rozporządzenie (UE) 2018/858(2) wymaga od producentów samochodów zapewnienia „niezależnym podmiotom” nieograniczonego, znormalizowanego i niedyskryminującego dostępu do informacji dotyczących określonych systemów, wyposażenia pojazdów i narzędzi do nich oraz odnośnie do ich naprawy i konserwacji.
3. Stosowanie rozporządzenia 2018/858 (lub któregoś z rozporządzeń, które ono nowelizuje) doprowadziło do sporów sądowych między producentami samochodów z jednej strony a niezależnymi podmiotami z drugiej. Kilka z tych postępowań stanowiło podstawę postępowań o wydanie orzeczenia w trybie prejudycjalnym z udziałem podmiotu gospodarczego(3), którego członkowie posiadają 80 % udziału w obrotach niezależnego handlu częściami do pojazdów silnikowych w Niemczech(4).
4. Landgericht Köln (sąd krajowy w Kolonii, Niemcy) przedstawia w niniejszym odesłaniu prejudycjalnym trzy pytania dotyczące kolejno:
– zakresu informacji, które producenci muszą udostępnić niezależnym podmiotom (czy obejmuje on wszystkie informacje dotyczące naprawy i konserwacji w rozumieniu art. 3 pkt 48 rozporządzenia 2018/858, czy tylko informacje o częściach zamiennych?);
– sposobu i formatu, w których producenci powinni udostępniać te informacje;
– obowiązku podawania niezależnym podmiotom numeru identyfikacyjnego pojazdu (zwanego dalej „VIN”)(5) w związku z art. 6 ust. 1 lit. c) rozporządzenia (UE) 2016/679(6).
5. Zgodnie z zaleceniem Trybunału ograniczę zakres mojej opinii do trzeciego z tych pytań.
I. Ramy prawne
A. Rozporządzenie 2018/858
6. Motyw 50 stanowi:
„Nieograniczony dostęp do informacji dotyczących naprawy i konserwacji pojazdów poprzez stosowanie znormalizowanego formatu umożliwiającego wyszukanie informacji technicznych, a także efektywna konkurencja na rynku usług w zakresie dostarczania takich informacji są niezbędne do poprawy funkcjonowania rynku wewnętrznego, szczególnie w odniesieniu do swobodnego przepływu towarów, swobody przedsiębiorczości i swobody świadczenia usług […]”.
7. Zgodnie z motywem 52:
„W celu zapewnienia skutecznej konkurencyjności na rynku obejmującym usługi w zakresie informacji dotyczących naprawy i konserwacji pojazdów oraz w celu wyjaśnienia, że informacje te obejmują informacje, których należy udzielać niezależnym podmiotom innym niż stacje obsługi, aby umożliwić całemu rynkowi niezależnych napraw i konserwacji pojazdów konkurowanie z autoryzowanymi punktami sprzedaży, niezależnie od tego, czy producent pojazdu bezpośrednio udziela takich informacji swoim autoryzowanym punktom sprzedaży i stacjom obsługi, czy sam korzysta z tych informacji do naprawy i konserwacji, należy doprecyzować, jakie informacje mają być przekazywane do celów dostępu do informacji dotyczących naprawy i konserwacji pojazdów”.
8. Zgodnie z brzmieniem motywu 62:
„Ilekroć środki przewidziane w niniejszym rozporządzeniu wiążą się z przetwarzaniem danych osobowych, powinny one być wykonywane zgodnie z [RODO] […]”.
9. Artykuł 3 zawiera następujące definicje:
„[…]
45) »niezależny podmiot« oznacza osobę fizyczną lub prawną, inną niż autoryzowany punkt sprzedaży lub autoryzowana stacja obsługi, bezpośrednio lub pośrednio zajmującą się naprawą i konserwacją pojazdów, w tym stacje obsługi, producentów lub dystrybutorów sprzętu do napraw, narzędzi lub części zamiennych, jak również wydawców informacji technicznych, stowarzyszenia motoryzacyjne, pomoc drogową, stacje kontroli i badania pojazdów oraz ośrodki szkoleniowe dla instalatorów, producentów i mechaników wyposażenia przeznaczonego do pojazdów zasilanych paliwem alternatywnym; oznacza on także autoryzowane stacje obsługi, punkty sprzedaży oraz dystrybutorów w ramach systemu dystrybucji danego producenta pojazdów w zakresie, w jakim świadczą one usługi naprawy i konserwacji pojazdów, w przypadku których nie należą one do sieci dystrybucji producenta;
[…]
48) »informacje dotyczące naprawy i konserwacji pojazdów« oznaczają wszelkie informacje, wraz z ich późniejszymi zmianami i uzupełnieniami, wymagane do przeprowadzenia diagnostyki, obsługi i kontroli pojazdu, przygotowania go do badań zdatności do ruchu drogowego, naprawy, przeprogramowania lub przywrócenia ustawień pojazdu lub wymagane do zdalnego wsparcia diagnostyki pojazdu, a także do montażu w pojeździe części i wyposażenia i które to informacje producent przekazuje autoryzowanym partnerom, punktom sprzedaży i stacjom obsługi lub stosuje do celów naprawy i konserwacji;
49) »informacje z pokładowego układu diagnostycznego (OBD) pojazdu« oznaczają informacje wygenerowane przez układ znajdujący się w pojeździe lub podłączony do silnika, który pozwala wykryć usterki i w stosownych przypadkach jest w stanie zasygnalizować ich wystąpienie za pomocą systemu ostrzegającego lub zidentyfikować przypuszczalne miejsca nieprawidłowego działania za pomocą informacji przechowywanych w pamięci komputera oraz jest w stanie przekazać te informacje poza pojazd;
[…]”.
10. Artykuł 61 („Obowiązki producentów w zakresie dostępu do informacji z OBD pojazdu oraz dotyczących naprawy i konserwacji pojazdów”) stanowi:
„1. Producenci zapewniają niezależnym podmiotom nieograniczony, znormalizowany i niedyskryminujący dostęp do informacji z OBD pojazdu, diagnostyki i innych urządzeń i narzędzi, w tym pełne odniesienia i dostępne pliki do pobrania odnośnego oprogramowania i informacji dotyczących naprawy i konserwacji pojazdów. Informacje te podaje się w przystępny sposób w formacie nadającym się do odczytu maszynowego i przetwarzania elektronicznego zbiorów danych. Niezależne podmioty mają dostęp do usług zdalnej diagnostyki, z których korzystają producenci, autoryzowane punkty sprzedaży i stacje obsługi.
Producenci zapewniają niezależnym stacjom obsługi znormalizowany, bezpieczny oraz zdalny system umożliwiający wykonanie czynności wymagających dostępu do systemu zabezpieczenia pojazdu.
2. Do czasu przyjęcia przez Komisję odpowiedniej normy opracowanej przez Europejski Komitet Normalizacyjny (CEN) lub podobne organy normalizacyjne, informacje z OBD pojazdu oraz informacje dotyczące naprawy i konserwacji pojazdów podaje się w przystępny sposób, umożliwiający ich przetworzenie przez niezależne podmioty bez nadmiernych nakładów.
Informacje z OBD pojazdu oraz informacje dotyczące naprawy i konserwacji pojazdów są udostępniane na stronach internetowych producentów w znormalizowanym formacie lub, jeżeli nie jest to wykonalne ze względu na charakter informacji, w innej odpowiedniej formie. Dla niezależnych podmiotów innych niż stacje obsługi informacje podaje się również w formacie nadającym się do odczytu maszynowego, możliwym do elektronicznego przetwarzania za pomocą ogólnodostępnych narzędzi informatycznych i oprogramowania, co pozwala niezależnym podmiotom realizować działania związane z ich działalnością w łańcuchu dostaw na rynku wtórnym.
[…]
4. Szczegółowe techniczne wymogi w zakresie dostępu do informacji z OBD pojazdu oraz do informacji dotyczących naprawy i konserwacji pojazdów, w szczególności specyfikacje techniczne dotyczące sposobu, w jaki mają być dostarczane informacje z OBD pojazdu i informacje dotyczące naprawy i konserwacji pojazdów, określono w załączniku X.
[…]
11. Komisja jest uprawniona do przyjmowania zgodnie z art. 82 aktów delegowanych, zmieniających załącznik X na potrzeby uwzględnienia postępu technologicznego i zmian regulacyjnych lub w celu zapobiegania nieprawidłowościom poprzez aktualizację wymogów w zakresie dostępu do informacji z OBD pojazdu oraz informacji dotyczących naprawy i konserwacji pojazdów […]”.
11. Punkt 6.1 załącznika X („Dostęp do informacji z OBD pojazdu oraz informacji dotyczących naprawy i konserwacji pojazdu”) stanowi:
„[…]
Informacje o wszystkich częściach pojazdu, w które jest on wyposażony przez producenta pojazdu zgodnie z numerem VIN i wszelkimi dodatkowymi kryteriami, takimi jak rozstaw osi, moc wyjściowa silnika, wyposażenie lub opcje, i które można wymienić na części zamienne oferowane przez producenta pojazdu autoryzowanym stacjom obsługi lub punktom sprzedaży lub osobom trzecim przy pomocy odniesienia do numeru części z oryginalnego wyposażenia, udostępnia się w formie możliwych do maszynowego odczytu i przetworzenia elektronicznego zbiorów danych w bazie danych łatwo dostępnej dla niezależnych podmiotów.
Wspomniana baza danych zawiera numery VIN, numery części z oryginalnego wyposażenia, nazwy części z oryginalnego wyposażenia, informacje na temat okresu ważności (daty ważności: od–do), informacje na temat montażu oraz, w stosownych przypadkach, cechy dotyczące budowy.
[…]”.
B. Rozporządzenie nr 19/2011
12. Artykuł 2 („Definicje”) pkt 2 określa:
„»numer identyfikacyjny pojazdu« (VIN) oznacza alfanumeryczny kod przypisany pojazdowi przez producenta w celu zapewnienia właściwej identyfikacji każdego pojazdu”.
13. W załączniku I („Wymagania techniczne”) część B [„Numer identyfikacyjny pojazdu (VIN)”] pkt 1.2 stanowi:
„VIN jest niepowtarzalny i nieodwołalnie przypisany do danego pojazdu”.
C. RODO
14. Zgodnie z art. 4 pkt 1 „»dane osobowe« oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (»osobie, której dane dotyczą«); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej”.
15. Artykuł 6 („Zgodność przetwarzania z prawem”) stanowi:
„1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
[…]
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
[…]
3. Podstawa [prawna] przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona:
a) w prawie Unii; lub
b) w prawie państwa członkowskiego, któremu podlega administrator.
Cel przetwarzania musi być określony w tej podstawie prawnej […]. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu.
[…]”.
D. Dyrektywa 1999/37/WE(7)
16. W załączniku I („Część I świadectwa rejestracji”) znajdują się następujące tytuły:
„[…]
II.5. Część I świadectwa rejestracji zawiera również następujące dane, poprzedzone odpowiednimi zharmonizowanymi kodami wspólnotowymi:
[…]
(C) dane osobowe;
(C.1) posiadacz świadectwa rejestracji:
(C.1.1) nazwisko lub nazwa firmy,
[…]
(C.1.3) adres w państwie członkowskim rejestracji w dniu wydania dokumentu;
(C.4) w przypadku gdy dane szczegółowe wymienione w II.6, kod C.2, nie są zawarte w świadectwie rejestracji, odniesienie do faktu, że posiadacz świadectwa rejestracji:
a) jest właścicielem pojazdu,
[…]
(E) numer identyfikacyjny pojazdu;
[…]
II.6. Część I świadectwa rejestracji może również zawierać następujące dane, poprzedzone odpowiednimi zharmonizowanymi kodami wspólnotowymi:
(C) dane osobowe,
(C.2) właściciel pojazdu (podani są wszyscy właściciele),
[…]
(C.3) osoba fizyczna lub prawna, która może użytkować pojazd na podstawie tytułu prawnego innego niż prawo własności […],
[…]”.
II. Okoliczności faktyczne, postępowanie główne i pytania prejudycjalne
17. Scania CV AB (zwana dalej „Scanią”) jest jednym z największych w Europie producentów pojazdów użytkowych, w szczególności samochodów ciężarowych o dużej ładowności. Jako posiadacz homologacji typu WE jest producentem w rozumieniu art. 3 pkt 40 rozporządzenia 2018/858 i powinna udzielać informacji, o których mowa w art. 61 ust. 1 i 2 tego rozporządzenia.
18. Scania zapewnia niezależnym podmiotom (takim jak członkowie Gesamtverband A.-H.) dostęp do informacji dotyczącej pojazdu, jego naprawy i konserwacji, a także systemu ODB za pośrednictwem strony internetowej.
19. W tym trybie Scania umożliwia użytkownikowi poprzez wprowadzenie siedmiu ostatnich cyfr VIN wyszukiwanie informacji o konkretnym pojeździe, czy też na podstawie ogólnych danych o pojazdach, uzyskanie szerszych informacji, nieodnoszących się do konkretnego pojazdu(8).
20. Scania nie udostępnia jednak VIN niezależnym podmiotom. Tylko warsztaty znają VIN serwisowanego lub naprawianego pojazdu, gdyż numer ten widnieje na podwoziu pojazdu powierzonego przez klienta; natomiast producenci i dystrybutorzy części zamiennych nie znają tych indywidualnych numerów, bez których wyszukiwanie na podstawie ogólnych kryteriów prowadzi jedynie do nieprecyzyjnych wyników(9).
21. Gesamtverband A.-H. i Scania prowadzą spór w postępowaniu głównym co do formy, treści i zakresu obowiązków spoczywających na producencie na podstawie art. 61 ust. 1 i 2 rozporządzenia 2018/858.
22. W tym kontekście Landgericht Köln (sąd krajowy w Kolonii, Niemcy) postanowił przedstawić Trybunałowi trzy pytania prejudycjalne, z których odniosę się tylko do ostatniego, sformułowanego w następujący sposób:
„Czy art. 61 ust. 1 rozporządzenia [2018/858] stanowi dla producentów pojazdów obowiązek prawny w rozumieniu art. 6 ust. 1 lit. c) RODO, który uzasadnia ujawnienie VIN lub informacji powiązanych z VIN niezależnym podmiotom jako innym administratorom w rozumieniu art. 4 pkt 7 RODO?”.
III. Postępowanie przed Trybunałem
23. Wniosek o wydanie orzeczenia w trybie prejudycjalnym wpłynął do sekretariatu Trybunału w dniu 11 maja 2022 r.
24. Uwagi na piśmie przedłożyły Gesamtverband A.-H., Scania i Komisja.
25. Nie uznano za konieczne przeprowadzenia rozprawy.
IV. Ocena
26. W ramach trzeciego pytania prejudycjalnego sąd odsyłający zmierza do ustalenia, czy art. 61 ust. 1 rozporządzenia 2018/858 stanowi dla producentów pojazdów obowiązek prawny [w rozumieniu art. 6 ust. 1 lit. c) RODO], który uzasadnia ujawnienie VIN lub informacji powiązanych z tymi numerami niezależnym podmiotom.
27. Pytanie opiera się na założeniu, że gdyby taki obowiązek istniał, jego wypełnienie powodowałoby konieczność przetwarzania danych osobowych.
28. Odpowiedź wymaga przede wszystkim analizy cech numeru VIN, a następnie, po stwierdzeniu, że posiada on charakter danych osobowych, rozważenia ewentualnej podstawy zgodności jego przetwarzania z prawem.
A. Osobisty charakter VIN
29. Czy VIN stanowi dane osobowe? Gdyby tak nie było, przedłożony problem zostałby bezzwłocznie rozstrzygnięty, gdyż RODO po prostu nie miałoby zastosowania. Sąd odsyłający przyznaje jednak, że powziął w tym względzie pewną wątpliwość.
30. Sąd odsyłający w ten sposób podsumowuje stanowiska obu stron sporu:
– zdaniem Gesamtverband A.-H. […] VIN nie stanowią dla producenta danych osobowych, o ile nie dysponuje on realnymi możliwościami, czy to pod względem prawnym, czy faktycznym, pozwalającymi na powiązanie osoby fizycznej z VIN. Dotyczy to w szczególności Scanii, ponieważ nabywcy pojazdów użytkowych zazwyczaj nie są osobami fizycznymi. Gdyby w indywidualnym przypadku VIN stanowił dane osobowe, Scania byłaby upoważniona do jego udostępnienia na podstawie art. 6 ust. 1 lit. c) RODO. Artykuł 61 ust. 1 rozporządzenia 2018/858 stanowi odpowiednią podstawę prawną w tym zakresie, ponieważ zobowiązuje producentów do przekazania informacji związanych z VIN;
– zdaniem Scanii numery VIN są danymi osobowymi, a RODO zakazuje ich przekazywania bez odpowiedniej podstawy prawnej. Jedynie art. 6 ust. 1 lit. c) RODO wchodzi w grę jako okoliczność zezwalająca na takie przekazanie. Artykuł 61 ust. 1 rozporządzenia nie nakłada jednak obowiązku tego rodzaju. Przepis ten nie jest wystarczająco precyzyjny, cel przetwarzania danych nie jest jasno określony, a rozporządzenie 2018/858 nie reguluje kwestii ochrony danych.
31. Sąd odsyłający, po przedstawieniu obu stanowisk, przyznaje, że istnieją argumenty przemawiające za jednym i za drugim stanowiskiem:
– za interpretacją Scanii mógłby przemawiać fakt, że rozporządzenie 2018/858 nie zawiera wprost rozważań dotyczących ochrony danych;
– za poglądem Gesamtverband A.-H. przemawia to, że VIN zasadniczo nie stanowi danych osobowych dla producenta, a zatem RODO od samego początku nie mogłoby mieć zastosowania. W każdym razie art. 61 ust. 1 rozporządzenia 2018/858 ustanawia wymagany „obowiązek prawny” w rozumieniu art. 6 ust. 1 lit. c) RODO i uzasadnia przetwarzanie danych zgodnie z tym ostatnim rozporządzeniem.
32. Wątpliwość ta mogłaby zostać (względnie) rozstrzygnięta wraz z wyrokiem Trybunału z dnia 24 lutego 2022 r., Valsts ieņēmumu dienests (Przetwarzanie danych osobowych uzyskanych do celów podatkowych)(10). W wyroku tym uznano za przekazanie „danych osobowych” w szczególności dostęp do określonych VIN, a także udostępnienie informacji dotyczących ogłoszeń publikowanych przez podmiot gospodarczy na portalu internetowym(11).
33. W tamtej sprawie rzecznik generalny M. Bobek stanął na stanowisku, że „[…] numer podwozia samochodu [VIN] stanowi »informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby [fizycznej]«”. Numery VIN mogłyby zatem zostać uznane za „dane osobowe w rozumieniu art. 4 ust. 1 RODO” w zakresie, w jakim „informacje te pozwalają […] na identyfikację sprzedawców samochodów, a tym samym potencjalnych podatników”(12).
34. Zgadzam się jednak z sądem odsyłającym i Gesamtverband A.-H. co do tego, że VIN nie jest sam w sobie i w każdym przypadku danymi osobowymi. Przynajmniej nie stanowi danych osobowych „co do zasady […] dla producenta [pojazdów]”(13), a już na pewno nie wtedy, gdy pojazd nie należy do osoby fizycznej.
35. W sprawie Valsts ieņēmumu dienests spornych danych, w tym numerów VIN pojazdów będących przedmiotem ogłoszeń publikowanych na portalu internetowym, zażądał organ podatkowy. W tym kontekście VIN niewątpliwie stanowił „dane osobowe” w rozumieniu art. 4 pkt 1 RODO, czyli „informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”.
36. Ponieważ podmiotem żądającym udostępnienia spornych informacji w sprawie Valsts ieņēmumu dienests był organ administracji publicznej, numery VIN mogły służyć do identyfikacji właścicieli pojazdów oznaczonych tymi numerami. Wśród „wszystki[ch] sposob[ów], jakimi [mógł] posłużyć się” organ administracji publicznej w celu identyfikacji osób, znajduje się dostęp do (publicznego) rejestru świadectw rejestracji.
37. Jak już wskazałem, co do zasady VIN jest to prostu „alfanumeryczny kod przypisany pojazdowi przez producenta”, który nie służy niczemu innemu poza właściwą identyfikacją pojazdu. Można powiedzieć, że są to dane rzeczowe, a nie osobowe.
38. Jednakże zgodnie z orzecznictwem Trybunału:
– definicja „danych osobowych”, w rozumieniu art. 4 pkt 1 RODO „ma zastosowanie, gdy ze względu na ich treść, cel i skutek dane informacje są powiązane z daną osobą”(14);
– „w celu ustalenia, czy daną osobę można zidentyfikować, należy wziąć pod uwagę wszystkie sposoby, jakimi może, racjonalnie rzecz biorąc, posłużyć się administrator danych lub inna osoba w celu zidentyfikowania owej osoby”. Wynika z tego, że „aby dane mogły zostać uznane za »dane osobowe« […], nie jest wymagane, by wszystkie informacje umożliwiające identyfikację osoby, której dane dotyczą, musiały znajdować się w rękach tylko jednej osoby”(15).
39. Zgodnie z tym orzecznictwem dane, które co do zasady nie mają charakteru „osobowego” (ponieważ same z siebie i bez pośrednictwa innych danych nie zawierają informacji dotyczących zidentyfikowanej lub możliwej do zidentyfikowania osoby), nabierają tego charakteru dla tego, kto dysponuje realnymi możliwościami powiązania ich z konkretną osobą.
40. Jedną z takich możliwości są dowody rejestracyjne, które koniecznie muszą zawierać VIN i dane właściciela pojazdu(16). Na podstawie tych dowodów, przyporządkowujących VIN do właściciela pojazdu, niezależny podmiot może na przykład prześledzić proces dystrybucji i sprzedaży części zamiennej, aż do zidentyfikowania właściciela pojazdu, w którym ta część została zamontowana(17).
41. Do sądu odsyłającego należy ustalenie, czy członkowie Gesamtverbrand A.-H. mogą dysponować realnymi możliwościami pozwalającymi im na powiązanie VIN ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną. Gdyby tak było, to dla nich (i pośrednio dla producenta, który udostępnia im VIN) numer ten stanowiłby dane osobowe, których przetwarzanie podlega RODO.
42. Podsumowując, jako wniosek częściowy, uważam, że VIN stanowi dane osobowe w rozumieniu art. 4 pkt 1 RODO w zakresie, w jakim ten, kto ma do niego dostęp, posiada realne możliwości umożliwiające mu identyfikację właściciela pojazdu nim oznaczonego. Do sądu odsyłającego należy sprawdzenie, czy tak jest w każdym przypadku.
B. Obowiązek udostępnienia VIN a RODO
43. W przeciwieństwie do niektórych twierdzeń, które znajdują odzwierciedlenie w postanowieniu odsyłającym, rozporządzenie 2018/858 nie wyklucza stosowania przepisów o ochronie danych. Zgodnie z brzmieniem jego motywu 62, „ilekroć środki przewidziane w niniejszym rozporządzeniu wiążą się z przetwarzaniem danych osobowych, powinny one być wykonywane zgodnie z [RODO]”.
44. Artykuł 6 ust. 1 RODO uzależnia zgodność przetwarzania danych osobowych z prawem od wystąpienia przynajmniej jednej ze wskazanych w nim podstaw. Między innymi tej, żeby przetwarzanie było niezbędne „wypełnienia obowiązku prawnego ciążącego na administratorze” [lit. c)] (wyróżnienie moje).
45. Ten obowiązek prawny wynika z art. 61 ust. 1 i 4 rozporządzenia 2018/858 w związku z pkt 6.1 jego załącznika X. Zgodnie z tym zestawem przepisów producenci pojazdów silnikowych muszą udostępnić niezależnym podmiotom, między innymi danymi, VIN.
46. Punkt 6.1 załącznika X do rozporządzenia 2018/858 wyszczególnia informacje, które producent musi udostępnić w bazie danych łatwo dostępnej dla niezależnych podmiotów. Muszą one obejmować informacje o „[…] wszystkich częściach pojazdu, w które jest on wyposażony przez producenta pojazdu zgodnie z […] VIN […]”. W tym samym punkcie dodano, że baza danych, której stworzenie jest obowiązkiem producenta, „zawiera […] VIN”.
47. Artykuł 61 ust. 4 rozporządzenia 2018/858 w sposób enumeratywny stanowi, że szczegółowe techniczne wymogi w zakresie dostępu do tych informacji określono w załączniku X. Jak już wskazałem, pkt 6.1 tego załącznika nakłada na producenta obowiązek udostępnienia informacji „zgodnie z […] VIN” o pojeździe i częściach, w które jest on wyposażony przez producenta.
48. W związku z tym każdy producent ma wyraźny obowiązek udostępnienia VIN niezależnym podmiotom.
49. W zakresie, w jakim VIN stanowi dane osobowe(18), umożliwienie dostępu do niego oznacza „przetwarzanie” w rozumieniu art. 4 pkt 2 RODO.
50. Trybunał podniósł, że każda operacja przetwarzania danych osobowych musi być zgodna z zasadami wyrażonymi w art. 5 RODO i z jednym z kryteriów legalności przetwarzania danych wymienionych w jego art. 6(19).
51. Spośród warunków zgodności z prawem wymienionych w art. 6 ust. 1 RODO znaczenie dla niniejszej sprawy ma warunek określony w lit. c). Warunek ten jest w niniejszej sprawie spełniony, gdyż, pragnę powtórzyć, udzielenie dostępu do VIN jest „obowiązkiem prawnym” ciążącym na producentach pojazdów (art. 61 ust. 1 rozporządzenia 2018/858). Gdyby producent nie zapewnił niezależnym podmiotom dostępu do VIN swoich pojazdów, naruszyłby ten obowiązek prawny.
52. Nie wystarczy jednak, aby sporne przetwarzanie było niezbędne do wypełnienia obowiązku prawnego. Muszą być również spełnione warunki z art. 6 ust. 3 RODO. Uważam, że tak jest w niniejszej sprawie, ponieważ:
– „podstawa prawna przetwarzania” (która musi być „określona w […] prawie Unii; lub […] w prawie państwa członkowskiego, któremu podlega administrator”) znajduje się właśnie w rozporządzeniu 2018/858;
– „cel przetwarzania” (który „musi być określony w tej podstawie prawnej”) widnieje w art. 61 ust. 1 rozporządzenia 2018/858: celem jest wspieranie konkurencyjności w branży(20), zapewnienie niezależnym podmiotom nieograniczonego, znormalizowanego i niedyskryminującego dostępu do określonych informacji dotyczących wyposażenia pojazdów i ich naprawy i konserwacji;
– występuje „cel leżący w interesie publicznym” przepisu prawa Unii regulującego tę materię, gdyż, jak wskazała Komisja(21), nałożony obowiązek zmierza do poprawy „funkcjonowania rynku wewnętrznego, szczególnie w odniesieniu do swobodnego przepływu towarów, swobody przedsiębiorczości i swobody świadczenia usług”(22).
– podstawa prawna jest „proporcjonalna do wyznaczonego, prawnie uzasadnionego celu”: z postanowienia odsyłającego wynika, że jedynie wyszukiwanie poprzez VIN umożliwia dokładną identyfikację danych dotyczących konkretnego pojazdu. Jak wskazała również Komisja(23), sąd odsyłający nie proponuje innego, łagodniejszego środka identyfikacji, który jednocześnie zachowałby skuteczność wyszukiwania za pomocą numeru VIN i umożliwiałby realizację wspomnianego celu leżącego w interesie publicznym. Prawodawca europejski sam przeprowadził tę próbę proporcjonalności w rozporządzeniu 2018/858.
53. Podsumowując, uważam że spełnione są wszystkie warunki wymagane przez art. 6 ust. 1 lit. c) i art. 6 ust. 3 RODO. Na koniec pragnę dodać, że sąd odsyłający nie powziął wątpliwości odnośnie do zastosowania w niniejszej sprawie zasad wyrażonych w art. 5 RODO.
V. Wnioski
54. W świetle powyższego proponuję Trybunałowi, by na pytanie trzecie przedstawione przez Landgericht Köln (sąd krajowy w Kolonii, Niemcy) odpowiedział następująco:
Artykuł 61 ust. 1 i 4 w związku z załącznikiem X pkt 6.1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/858 z dnia 30 maja 2018 r. w sprawie homologacji i nadzoru rynku pojazdów silnikowych i ich przyczep oraz układów, komponentów i oddzielnych zespołów technicznych przeznaczonych do tych pojazdów, zmieniającego rozporządzenie (WE) nr 715/2007 i (WE) nr 595/2009 oraz uchylającego dyrektywę 2007/46/WE,
należy interpretować w ten sposób, że:
stanowi, dla producentów pojazdów, obowiązek prawny w rozumieniu art. 6 ust. 1 lit. c) i art. 6 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych), który uzasadnia ujawnienie niezależnym podmiotom numerów identyfikacyjnych pojazdów (VIN).