CONCLUSIONES DEL ABOGADO GENERAL
M. CAMPOS SÁNCHEZ-BORDONA
presentadas el 4 de mayo de 2023 (1)
Asunto C‑319/22
Gesamtverband Autoteile-Handel e.V.
contra
Scania CV AB
[Petición de decisión prejudicial planteada por el Landgericht Köln (Tribunal regional de lo civil y penal de Colonia, Alemania)]
«Procedimiento prejudicial — Mercado de servicios de información sobre la reparación y el mantenimiento de vehículos a motor — Reglamento (UE) 2018/858 — Operadores independientes — Información fácilmente accesible en un formato de lectura mecanizada y susceptible de tratamiento electrónico — Número de identificación del vehículo (VIN) — Protección de datos personales — Reglamento (UE) 2016/679 — Condiciones de licitud del tratamiento de datos personales —Artículo 6, apartado 1, letra c)»
1. El legislador de la Unión aspira a que, dentro del mercado interior, se garantice la competencia en el sector de la reparación y el mantenimiento de los vehículos a motor, de manera que los fabricantes de estos vehículos no monopolicen (por sí o a través de sus concesionarios y talleres autorizados) la prestación de tales servicios.
2. Con ese propósito, el Reglamento (UE) 2018/858 (2) exige a los fabricantes de automóviles que faciliten a los «agentes independientes» un acceso sin restricciones, normalizado y no discriminatorio a la información relativa a determinados sistemas, equipos y herramientas de los vehículos, y acerca de su reparación y mantenimiento.
3. La aplicación del Reglamento 2018/858 (o de alguno de los reglamentos que este modifica) ha generado litigios en los que se enfrentan, por un lado, fabricantes de vehículos y, por otro, agentes independientes. Algunas peticiones de decisión prejudicial proceden de procedimientos en cuya tramitación ha intervenido una entidad (3) cuyos miembros gestionan el 80 % del volumen de negocios en el comercio independiente de recambios de vehículos a motor en Alemania. (4)
4. El Landgericht Köln (Tribunal regional de lo civil y penal de Colonia, Alemania) plantea en este reenvío prejudicial tres preguntas que afectan, sucesivamente, a:
— El contenido de la información que los fabricantes han de poner a disposición de los agentes independientes (¿comprende toda la información sobre la reparación y el mantenimiento, en el sentido del artículo 3, punto 48, del Reglamento 2018/858, o solo sobre las piezas de recambio?).
— El modo y el formato en el que los fabricantes deben facilitar esa información.
— La obligación de proporcionar a los agentes independientes el número de identificación de los vehículos (en lo sucesivo, «VIN»), (5) en relación con el artículo 6, apartado 1, letra c), del Reglamento (UE) 2016/679. (6)
5. Por indicación del Tribunal de Justicia, limitaré mis conclusiones a la tercera de esas preguntas.
I. Marco normativo
A. Reglamento 2018/858
6. En el considerando quincuagésimo se lee:
«Para mejorar el funcionamiento del mercado interior, especialmente por lo que se refiere a la libre circulación de mercancías, la libertad de establecimiento y la libre prestación de servicios, son precisos un acceso sin restricciones a la información sobre la reparación y el mantenimiento del vehículo —mediante un formato normalizado que pueda utilizarse para obtener la información técnica— y una competencia efectiva en el mercado de los servicios que ofrezcan tal información […]».
7. Con arreglo al considerando quincuagésimo segundo:
«Con el fin de garantizar una competencia efectiva en el mercado de servicios de información para la reparación y el mantenimiento de vehículos, y de aclarar que la información correspondiente también incluye la información que debe proporcionarse a otros agentes independientes distintos de los talleres de reparación con objeto de garantizar que el mercado de talleres independientes de reparación y mantenimiento de vehículos en su conjunto pueda competir con los concesionarios autorizados, con independencia de que el fabricante del vehículo transmita esa información directamente a los concesionarios autorizados y los talleres de reparación o la emplee él mismo para la reparación y el mantenimiento, se deben precisar los pormenores de la información que ha de proporcionarse a efectos de acceso a la información relativa a la reparación y el mantenimiento de vehículos».
8. A tenor del considerando sexagésimo segundo:
«Siempre que las medidas previstas en el presente Reglamento conlleven el tratamiento de datos personales, dicho tratamiento debe realizarse de conformidad con [el RGPD] […]».
9. El artículo 3 define:
«[…]
45) “agente independiente”: una persona física o jurídica, distinta de los concesionarios y talleres de reparación autorizados, que participa directa o indirectamente en la reparación y el mantenimiento de vehículos, en especial talleres de reparación, fabricantes o distribuidores de equipos, herramientas o recambios para la reparación, editoriales de información técnica, clubes de automóviles, agentes de asistencia en carretera, agentes que ofrecen servicios de inspección y ensayo, y agentes que imparten formación destinada a instaladores, fabricantes y talleres de reparación de equipos para vehículos que utilizan combustibles alternativos; asimismo, talleres de reparación, concesionarios y distribuidores autorizados incluidos en el sistema de distribución de un fabricante de vehículos determinado, en la medida en que presten servicios de reparación y mantenimiento para vehículos de un fabricante de cuyo sistema de distribución no sean miembros;
[…]
48) “información sobre la reparación y el mantenimiento del vehículo”: toda información, incluidas todas las modificaciones y los suplementos posteriores de dicha información, necesaria para el diagnóstico, revisión e inspección de un vehículo, la preparación para la inspección técnica, el seguimiento periódico, la reparación, la reprogramación, la reinicialización de un vehículo o para la ayuda al diagnóstico a distancia de un vehículo, así como para la instalación en él de piezas o equipos, que los fabricantes ponen a disposición de sus socios, concesionarios y talleres de reparación autorizados;
49) “información del sistema de diagnóstico a bordo (DAB) del vehículo”: la información generada por un sistema que está instalado a bordo del vehículo o conectado a un motor y que es capaz de detectar disfunciones —y, en su caso, indicarlas mediante un sistema de alerta—, de determinar la zona probable de disfunción por medio de la información almacenada en la memoria del ordenador y de comunicar esa información al exterior del vehículo;
[…]».
10. El artículo 61 («Obligación de los fabricantes de facilitar la información relativa al sistema DAB de los vehículos y la información sobre la reparación y el mantenimiento del vehículo») indica:
«1. Los fabricantes facilitarán a los agentes independientes un acceso sin restricciones, normalizado y no discriminatorio a la información relativa al sistema DAB de los vehículos, al equipo de diagnóstico y de otra clase, a las herramientas, incluidas todas las referencias y las descargas disponibles de los programas informáticos aplicables, y a la información sobre la reparación y el mantenimiento de los vehículos. La información se presentará de una manera fácilmente accesible en forma de conjuntos de datos de lectura mecanizada y susceptibles de tratamiento electrónico. Los agentes independientes tendrán acceso a los servicios de diagnóstico a distancia que utilicen los fabricantes y los concesionarios y talleres de reparación autorizados.
Los fabricantes facilitarán un sistema normalizado, seguro y utilizable a distancia que permita a los talleres de reparación independientes efectuar operaciones que impliquen el acceso al sistema de seguridad del vehículo.
2. Hasta que la Comisión adopte la norma pertinente por medio de la labor del Comité Europeo de Normalización (CEN) o de organismos de normalización comparables, la información sobre el sistema DAB del vehículo y la información sobre la reparación y el mantenimiento del vehículo se presentará de una manera fácilmente accesible que los agentes independientes puedan tratar con un esfuerzo razonable.
La información sobre el sistema DAB del vehículo y la información sobre la reparación y el mantenimiento del vehículo se facilitará en los sitios web de los fabricantes en un formato normalizado o, si ello no fuera posible debido a la naturaleza de la información, en otro formato apropiado. En el caso de los agentes independientes distintos de los talleres de reparación, dicha información se entregará asimismo en un formato de lectura mecanizada y susceptible de tratamiento electrónico con las herramientas y programas informáticos comúnmente disponibles, de modo que dichos agentes puedan ejercer la actividad propia de su empresa dentro de la cadena de suministro del mercado de repuestos y accesorios.
[…]
4. En el anexo X se establecen los detalles de los requisitos técnicos relativos al acceso a la información sobre el sistema DAB del vehículo y la información sobre la reparación y el mantenimiento del vehículo, en particular las especificaciones técnicas sobre el modo de facilitar dicha información.
[…]
11. La Comisión estará facultada para adoptar actos delegados, con arreglo al artículo 82, por los que se modifique el anexo X, a fin de tener en cuenta la evolución técnica y normativa o de impedir un uso abusivo, mediante la actualización de los requisitos relativos al acceso a la información sobre el sistema DAB del vehículo y la información sobre la reparación y el mantenimiento del vehículo […]».
11. El punto 6.1 del anexo X («Acceso a la información sobre el sistema DAB y a la información sobre la reparación y el mantenimiento del vehículo») prescribe:
«[…]
Deberá facilitarse información en forma de conjuntos de datos de lectura mecanizada y susceptibles de tratamiento electrónico, en una base de datos a la que puedan acceder fácilmente los agentes independientes, sobre todas las piezas con las que el fabricante haya equipado el vehículo, identificado mediante el VIN y todo criterio adicional como la batalla, la potencia del motor, el acabado o las opciones, y que puedan ser sustituidas por piezas de recambio que el fabricante del vehículo ofrezca a sus concesionarios y talleres de reparación autorizados o a terceros mediante referencia al número de las piezas del equipo original.
Esta base de datos incluirá el VIN, el número de las piezas del equipamiento original, la denominación de estas piezas en el equipo original, las indicaciones de validez (fechas de inicio y fin de la validez), las indicaciones de instalación y, cuando proceda, las características estructurales.
[…]».
B. Reglamento n.º 19/2011
12. El artículo 2 («Definiciones»), punto 2, entiende por:
«“número de bastidor del vehículo (‘vehicle identification number’, VIN)”, el código alfanumérico asignado a un vehículo por el fabricante para garantizar la identificación adecuada de cualquier vehículo».
13. En e1 anexo I («Requisitos técnicos»), parte B [«Número de bastidor del vehículo (VIN)»], el punto 1.2 prescribe:
«El número de bastidor (VIN) será único y estará asignado a un vehículo determinado sin posibilidad de error».
C. RGPD
14. Para el artículo 4, punto 1, son «“datos personales”: toda información sobre una persona física identificada o identificable (“el interesado”); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona».
15. El artículo 6 («Licitud del tratamiento») preceptúa:
«1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
[…]
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
[…]
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por:
a) el derecho de la Unión, o
b) el derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica […]. El derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
[…]».
D. Directiva 1999/37/CE (7)
16. En el anexo I («Parte I del permiso de circulación») se hallan estos epígrafes:
«[…]
II.5. La parte I del permiso de circulación incluirá también los datos siguientes precedidos de los códigos comunitarios armonizados correspondientes:
[…]
(C) datos nominativos,
(C.1) titular del permiso de circulación:
(C.1.1) apellido(s) o razón social,
[…]
(C.1.3) dirección en el Estado miembro de matriculación en la fecha de expedición del documento,
(C.4) si no se incluyen en el permiso de circulación los datos del código C.2 del punto II.6, indicación en que se especifique que el titular del permiso de circulación:
a) es el propietario del vehículo,
[…]
(E) número de identificación del vehículo;
[…]
II.6. La parte I del permiso de circulación podrá incluir, además, la información siguiente precedida de los códigos comunitarios armonizados correspondientes:
(C) datos nominativos,
(C.2) propietario del vehículo (repetido el número de veces que corresponda a los propietarios) […]
[…]
(C.3) persona física o jurídica que pueda disponer del vehículo con un carácter jurídico distinto del de propietario […]
[…]».
II. Hechos, litigio y preguntas prejudiciales
17. Scania CV AB (en lo sucesivo, «Scania») es uno de los mayores productores de vehículos comerciales, en particular de camiones pesados, de Europa. Como titular de homologaciones de tipo «CE», tiene la condición de fabricante en el sentido del artículo 3, punto 40, del Reglamento 2018/858 y ha de facilitar la información prevista en el artículo 61, apartados 1 y 2, de ese Reglamento.
18. Scania proporciona a los agentes independientes (como los miembros de la Gesamtverband A.‑H.) acceso a la información relativa al vehículo, a su reparación y mantenimiento, así como al sistema DAB, a través de un sitio web.
19. Con este procedimiento, Scania permite al usuario humano, mediante la introducción de las siete últimas cifras del VIN, buscar información sobre un determinado vehículo, o bien, en función de datos generales de vehículos, obtener información más amplia no referida a ningún vehículo individual. (8)
20. Sin embargo, Scania no pone los VIN a disposición de los agentes independientes. Únicamente los talleres conocen el VIN del vehículo en el que han de realizar labores de mantenimiento o reparación, pues ese número figura en el chasis del que les confía el cliente; en cambio, los fabricantes y distribuidores de piezas de recambio no tienen acceso a los VIN individuales, sin los que una búsqueda por criterios generales da lugar a resultados imprecisos. (9)
21. La Gesamtverband A.‑H. y Scania litigan en el procedimiento de origen sobre la forma, el contenido y el alcance de las obligaciones que incumben al fabricante en virtud del artículo 61, apartados 1 y 2, del Reglamento 2018/858.
22. En este contexto, el Landgericht Köln (Tribunal regional de lo civil y penal de Colonia) ha acordado elevar al Tribunal de Justicia tres preguntas prejudiciales, de las que solo abordaré la última, redactada en estos términos:
«¿Impone el artículo 61, apartado 1, del Reglamento [2018/858] a los fabricantes de vehículos una obligación legal a efectos del artículo 6, apartado 1, letra c), del RGPD que justifique la entrega de los VIN o de la información vinculada a los VIN a agentes independientes, como otros responsables del tratamiento en el sentido del artículo 4, punto 7, del RGPD?»
III. Procedimiento ante el Tribunal de Justicia
23. La petición de decisión prejudicial se registró en el Tribunal de Justicia el 11 de mayo de 2022.
24. Han presentado observaciones escritas la Gesamtverband A.‑H., Scania y la Comisión.
25. No se ha considerado imprescindible la celebración de una vista.
IV. Análisis
26. Con su tercera pregunta prejudicial, el tribunal de reenvío quiere saber si el artículo 61, apartado 1, del Reglamento 2018/858 impone a los fabricantes de vehículos una obligación legal [en el sentido del artículo 6, apartado 1, letra c), del RGPD] que justifique la entrega de los VIN, o de la información vinculada a estos números, a los agentes independientes.
27. La premisa de la que parte la pregunta es que, si esa obligación existiera, su cumplimiento haría necesario el tratamiento de datos personales.
28. La respuesta requiere analizar, ante todo, la naturaleza del VIN y, en un segundo momento, una vez admitido su carácter de dato personal, indagar sobre la eventual base de licitud de su tratamiento.
A. Naturaleza personal del VIN
29. ¿Constituye el VIN un dato de carácter personal? Si no lo fuera, el problema planteado se zanjaría sin más, pues el RGPD, simplemente, no sería de aplicación. El tribunal de reenvío confiesa, sin embargo, abrigar alguna incertidumbre al respecto.
30. El tribunal a quo sintetiza en estos términos las posturas de las dos partes del litigio:
— Según la Gesamtverband A.‑H., los VIN no son datos personales para el fabricante, siempre que este no disponga de una posibilidad razonable, de hecho o de derecho, para determinar a partir del VIN la identidad de una persona física. Así sucede, en particular, con Scania, ya que los compradores de vehículos comerciales generalmente no son personas físicas. Pese a todo, si en algún caso concreto el VIN pudiese constituir un dato personal, Scania estaría autorizada para conceder acceso a él a título del artículo 6, apartado 1, letra c), del RGPD. El artículo 61, apartado 1, del Reglamento 2018/858 ofrece una base jurídica adecuada, ya que obliga a los fabricantes a compartir la información vinculada al VIN.
— Según Scania, los VIN son datos personales y el RGPD prohíbe compartirlos sin la debida base legal. El único supuesto de legitimación posible sería el artículo 6, apartado 1, letra c), del RGPD. Sin embargo, el artículo 61, apartado 1, del Reglamento 2018/858 no impone ninguna obligación de este tipo. La disposición no es suficientemente precisa, el fin del tratamiento no queda claramente definido y el Reglamento 2018/858 no se pronuncia acerca de la protección de datos.
31. El tribunal de reenvío, tras exponer las dos tesis, reconoce que hay argumentos en apoyo de una y de otra:
— A favor de la interpretación de Scania podría alegarse que el Reglamento 2018/858 no contiene expresamente consideraciones en materia de protección de datos.
— A favor de la postura de Gesamtverband A.‑H. abogaría que, por lo general, el VIN no es un dato personal para los fabricantes, de manera que desde un principio el RGPD podría no ser aplicable. De todas maneras, el artículo 61, apartado 1, del Reglamento 2018/858 establece la necesaria «obligación legal» a efectos del artículo 6, apartado 1, letra c), del RGPD y fundamenta un tratamiento de los datos con arreglo a este último.
32. La duda habría quedado (relativamente) resuelta con la sentencia del Tribunal de Justicia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales). (10) En ella se calificó de comunicación de «datos personales» el acceso a determinados VIN, en particular, así como la puesta a disposición de información sobre los anuncios publicados por un operador económico en un portal de internet. (11)
33. En aquel asunto, el abogado general Bobek había sostenido que «[…] el número de bastidor del coche [el VIN] constituye “información sobre una persona [física] identificada o identificable”». Los VIN podían, pues, reputarse «datos personales a efectos del artículo 4, punto 1, del RGPD», en la medida en que tal «información permite identificar a los vendedores de vehículos y, por consiguiente, a los contribuyentes potenciales». (12)
34. Coincido, sin embargo, con el tribunal de reenvío y con la Gesamtverband A.‑H. en que el VIN no es, en sí mismo y en todo caso, un dato personal. Al menos no lo sería «con carácter general, […] para el fabricante [de vehículos]» (13) y, desde luego, no cuando el vehículo no pertenece a una persona física.
35. En el asunto Valsts ieņēmumu dienests, los datos controvertidos, entre los que figuraban los VIN de los vehículos anunciados en un portal de internet, eran reclamados por una Administración tributaria. En aquel contexto, el VIN constituía claramente un «dato personal» en el sentido del artículo 4, punto 1, del RGPD; es decir, una «información sobre una persona física identificada o identificable».
36. En la medida en que quien solicitaba la información controvertida en el asunto Valsts ieņēmumu dienests era una Administración pública, los VIN podían servir para identificar a los propietarios de los vehículos que incorporaban esos números. Entre «el conjunto de los medios que [pudieran] ser razonablemente utilizados» por una Administración pública para esa identificación personal se halla el acceso al registro (público) de los certificados de matriculación.
37. En principio, como ya he avanzado, el VIN es un mero «código alfanumérico asignado a un vehículo por el fabricante» que no sirve, estrictamente, sino a la adecuada identificación de este último. Podría decirse que es un dato ad rem, no ad personam.
38. Ahora bien, con arreglo a la jurisprudencia del Tribunal de Justicia:
— La definición de «dato personal», en el sentido del artículo 4, punto 1, del RGPD «es aplicable cuando, debido a su contenido, finalidad y efectos, la información de que se trate esté relacionada con una persona determinada». (14)
— «Para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona». De lo que resulta que, «para que un dato pueda ser calificado de “dato personal” […] no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona». (15)
39. En aplicación de esta jurisprudencia, un dato que, en principio, carece de carácter «personal» (pues por sí solo y sin la intermediación de otros datos, no contiene información referida a una persona física identificada o identificable) adquiere ese carácter para quien dispone razonablemente de medios que permiten asociarlo con una persona determinada.
40. Uno de esos medios son los certificados de matriculación, en los que han de constar necesariamente el VIN y la identidad del titular del vehículo. (16) A partir de esos certificados, asociando el VIN al titular del vehículo, un agente independiente pudiera rastrear, por ejemplo, el proceso de distribución y venta de una pieza de recambio, hasta identificar al propietario del vehículo al que esa pieza se ha incorporado. (17)
41. Corresponde a la jurisdicción de reenvío determinar si, como parece, los miembros de la Gesamtverbrand A.‑H. pueden disponer razonablemente de medios que permitan vincular un VIN a una persona física identificada o identificable. De ser así, para ellos (e, indirectamente, para el fabricante que pone a su disposición el VIN), el VIN sería un dato personal cuyo tratamiento se sujeta al RGPD.
42. En definitiva, y como conclusión intermedia, considero que el VIN constituye un dato personal, en el sentido del artículo 4, punto 1, del RGPD, en la medida en que quien tenga acceso a él pueda disponer de medios que le permitan razonablemente utilizarlo para identificar al propietario del vehículo al que corresponde. Compete al órgano jurisdiccional de remisión verificar si así sucede en cada caso.
B. Obligación de facilitar el VIN y RGPD
43. En contra de algunas afirmaciones que se reflejan en el auto de reenvío, el Reglamento 2018/858 no excluye la aplicación de la normativa de protección de datos. A tenor de su considerando sexagésimo segundo, «siempre que las medidas previstas en el presente Reglamento conlleven el tratamiento de datos personales, dicho tratamiento debe realizarse de conformidad con [el RGPD]».
44. El artículo 6, apartado 1, del RGPD condiciona la licitud del tratamiento de datos personales a que concurra al menos una de las justificaciones que enuncia. Entre ellas, que el tratamiento sea necesario «para el cumplimiento de una obligación legal aplicable al responsable del tratamiento» [letra c)] (cursiva añadida).
45. Esa obligación legal se encuentra en el artículo 61, apartados 1 y 4, del Reglamento 2018/858, leído en conexión con el punto 6.1 de su anexo X. Con arreglo a este conjunto normativo, los fabricantes de los vehículos a motor han de poner a disposición de los agentes independientes, entre otros datos, explícitamente el VIN.
46. El punto 6.1 del anexo X del Reglamento 2018/858 detalla la información que el fabricante deberá facilitar, en una base de datos a la que puedan acceder fácilmente los agentes independientes. Esa información comprenderá la relativa «[…] a las piezas con las que el fabricante haya equipado el vehículo, identificado mediante el VIN […]». En el mismo punto se añade que la base de datos a cuya creación viene obligado el fabricante «incluirá el VIN».
47. El apartado 4 del artículo 61 del Reglamento 2018/858 es taxativo al disponer que los detalles de los requisitos técnicos relativos al acceso a esas informaciones son los indicados en el anexo X. Como acabo de indicar, el punto 6.1 de ese anexo impone al fabricante la obligación de facilitar la información, «mediante el VIN», sobre el vehículo y las piezas con las que el fabricante lo haya equipado.
48. En consecuencia, todo fabricante de vehículos tiene, inequívocamente, la obligación de facilitar el VIN a los agentes independientes.
49. En la medida en que el VIN constituya un dato personal, (18) la habilitación para su acceso implica un «tratamiento», en el sentido del artículo 4, punto 2, del RGPD.
50. El Tribunal de Justicia ha señalado que todo tratamiento de datos personales ha de atenerse a los principios del artículo 5 del RGPD y a alguna de las condiciones de licitud de su artículo 6. (19)
51. De las condiciones de licitud enumeradas en el artículo 6, apartado 1, del RGPD interesa aquí la contemplada en la letra c). Esa condición se cumple en este asunto, pues, repito, facilitar el acceso al VIN es una «obligación legal» que pesa sobre los fabricantes de vehículos (artículo 61, apartado 1, del Reglamento 2018/858). Si un fabricante no proporcionara el acceso al VIN de sus vehículos a los agentes independientes, estaría incumpliendo esa obligación legal.
52. No basta, sin embargo, con que el tratamiento controvertido sea necesario para cumplir con una obligación legal. Se ha de atener, además, a las condiciones del artículo 6, apartado 3, del RGPD. Considero que así sucede en este asunto, pues:
— La «base del tratamiento» (que ha de estar «establecida por […] el derecho de la Unión, o […] el derecho de los Estados miembros que se aplique al responsable del tratamiento») se halla, justamente, en el Reglamento 2018/858.
— La «finalidad del tratamiento» (que «deberá quedar determinada en dicha base jurídica») aparece consignada en el artículo 61, apartado 1, del Reglamento 2018/858: se persigue promover la competencia en el sector, (20) brindando a los agentes independientes un acceso sin restricciones, normalizado y no discriminatorio a determinadas informaciones relativas al equipamiento de los vehículos y a la reparación y el mantenimiento de estos últimos.
— Concurre el «objetivo de interés público» de la norma del derecho de la Unión que regula esta materia, pues, como ha señalado la Comisión, (21) la obligación impuesta tiende a la mejora del «funcionamiento del mercado interior, especialmente por lo que se refiere a la libre circulación de mercancías, la libertad de establecimiento y la libre prestación de servicios». (22)
— La base normativa resulta «proporcional al fin legítimo perseguido»: se desprende del auto de reenvío que únicamente la búsqueda mediante el VIN permite una identificación exacta de los datos correspondientes a un vehículo en particular. Como también ha destacado la Comisión, (23) el tribunal de remisión no sugiere otro medio de identificación menos incisivo que respete, a la vez, la eficacia de la búsqueda a partir del VIN y permita satisfacer el objetivo de interés público antes expuesto. El legislador europeo ha llevado a cabo por sí mismo ese juicio de proporcionalidad en el Reglamento 2018/858.
53. En suma, considero que se reúnen todas las condiciones requeridas en el artículo 6, apartados 1, letra c), y 3 del RGPD. Añadiré, por último, que el tribunal de reenvío no suscita ninguna duda sobre la aplicación a este asunto de los principios del artículo 5 del RGPD.
V. Conclusión
54. A tenor de lo expuesto, propongo al Tribunal de Justicia responder a la tercera pregunta prejudicial del Landgericht Köln (Tribunal regional de lo civil y penal de Colonia, Alemania) en estos términos:
«El artículo 61, apartados 1 y 4, en relación con el anexo X, punto 6.1, del Reglamento (UE) 2018/858 del Parlamento Europeo y del Consejo, de 30 de mayo de 2018, sobre la homologación y la vigilancia del mercado de los vehículos de motor y sus remolques y de los sistemas, los componentes y las unidades técnicas independientes destinados a dichos vehículos, por el que se modifican los Reglamentos (CE) n.º 715/2007 y (CE) n.º 595/2009 y por el que se deroga la Directiva 2007/46/CE,
debe interpretarse en el sentido de que:
impone a los fabricantes de vehículos a motor, a los efectos del artículo 6, apartados 1, letra c), y 3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), una obligación legal que justifica poner a disposición de los agentes independientes los números de identificación de los vehículos (VIN)».