Czy VIN pojazdu to dane osobowe właściciela? Czy zatem, w ramach umożliwienia konkurencji i dokonywania napraw nieoryginalnymi częściami, producent powinien umożliwić niezależnym podmiotom dostęp do informacji o numerze auta? Na takie — i nie tylko takie — odpowiedział niedawno TSUE.
wyrok Trybunału Sprawiedliwości UE z 9 listopada 2023 r. w/s Gesamtverband Autoteile-Handel eV vs. Scania CV AB (C-319/22)
1) Obowiązek podania informacji, o których mowa w [art. 61 ust. 1 zd. 2 rozporządzenia 2018/858] w przystępny sposób w formacie nadającym się do odczytu maszynowego i przetwarzania elektronicznego zbiorów danych obejmuje wszystkie „informacje dotyczące naprawy i konserwacji pojazdów” (…), a nie wyłącznie informacje dotyczące części zamiennych (…).
2) [Rozporządzenie 2018/858] nie nakłada na producentów pojazdów obowiązku udostępnienia informacji dotyczących naprawy i konserwacji pojazdów poprzez interfejs bazy danych umożliwiający sterowane maszynowo zapytanie z możliwością pobrania wyników, ale nakłada na nich obowiązek udostępnienia tych informacji niezależnym podmiotom w plikach, których format jest przeznaczony do bezpośredniego elektronicznego przetwarzania zawartych w tych plikach zbiorów danych;
— [zatem] nakłada na producentów pojazdów obowiązek stworzenia bazy danych umożliwiającej wyszukiwanie informacji dotyczących wszystkich części pojazdu, w które jest on wyposażony nie tylko w oparciu o numer identyfikacyjny pojazdu (VIN), ale również dodatkowe kryteria (…).
3) [Rozporządzenie] ustanawia „obowiązek prawny” w rozumieniu art. 6 ust. 1 lit. c) RODO, ciążący na producentach pojazdów, polegający na udostępnieniu VIN produkowanych przez nich pojazdów niezależnym podmiotom jako „administratorom” w rozumieniu art. 4 pkt 7 RODO.
Orzeczenie dotyczy sporu — zaistniałego pomiędzy stowarzyszeniem grupującym niezależnych sprzedawców części samochodowych z Niemiec (Gesamtverband Autoteile-Hande) i szwedzkim producentem ciężarówek Scania — o praktyczną realizację prawa do naprawy samochodów poza siecią autoryzowanych stacji obsługi.
W ramach wykonania obowiązków producenta pojazdów Scania zapewnia niezależnym podmiotom manualny dostęp do informacji o pojazdach, ich częściach i diagnostyce OBD. Wyszukiwanie informacji o pojeździe wymaga podania jego ogólnych danych (modelu, silnika, rocznika), albo siedmiu ostatnich cyfr numeru VIN. Użytkownik może wydrukować wyniki wyszukiwania lub zapisać je w postaci pliku PDF, czyli w sposób uniemożliwiający automatyczne przetwarzanie danych (tylko informacje o częściach zamiennych są przedstawiane w formie pliku XML). Scania odmawia jednak niezależnym podmiotom zarówno zautomatyzowanego dostępu do danych, jak też informacji o numerze VIN, uważając, iż stanowi on dane osobowe właściciela.
Zdaniem organizacji taka praktyka jest sprzeczna z przepisami, zatem zażądała zapewnienia dostępu do informacji poprzez interfejs pozwalający na dokonywanie zautomatyzowanych zapytań i pobieranie wyników w formie umożliwiającej ich elektroniczne przetwarzanie.
art. 61 ust. 1-2 rozporządzenia 2018/858 w/s homologacji i nadzoru rynku pojazdów silnikowych i ich przyczep oraz układów, komponentów i oddzielnych zespołów technicznych przeznaczonych do tych pojazdów
1. Producenci zapewniają niezależnym podmiotom nieograniczony, znormalizowany i niedyskryminujący dostęp do informacji z OBD pojazdu, diagnostyki i innych urządzeń i narzędzi, w tym pełne odniesienia i dostępne pliki do pobrania odnośnego oprogramowania i informacji dotyczących naprawy i konserwacji pojazdów. Informacje te podaje się w przystępny sposób w formacie nadającym się do odczytu maszynowego i przetwarzania elektronicznego zbiorów danych. Niezależne podmioty mają dostęp do usług zdalnej diagnostyki, z których korzystają producenci, autoryzowane punkty sprzedaży i stacje obsługi.
2. (…) Informacje z OBD pojazdu oraz informacje dotyczące naprawy i konserwacji pojazdów są udostępniane na stronach internetowych producentów w znormalizowanym formacie lub, jeżeli nie jest to wykonalne ze względu na charakter informacji, w innej odpowiedniej formie. Dla niezależnych podmiotów innych niż stacje obsługi informacje podaje się również w formacie nadającym się do odczytu maszynowego, możliwym do elektronicznego przetwarzania za pomocą ogólnodostępnych narzędzi informatycznych i oprogramowania, co pozwala niezależnym podmiotom realizować działania związane z ich działalnością w łańcuchu dostaw na rynku wtórnym.
W wydanym wczoraj wyroku Trybunał Sprawiedliwości UE stwierdził, iż:
- obowiązek zapewnienia niezależnym podmiotom dostępu do informacji dotyczących naprawy i konserwacji pojazdu, w przystępny sposób, w formacie nadającym się do odczytu maszynowego, literalnie obejmuje wszelkie dane, a nie tylko informacje odnoszące się do części zamiennych;
- producent pojazdu powinien zapewnić wszystkim niezależnym podmiotom dostęp nieograniczony, znormalizowany i niedyskryminacyjny oraz przedstawienia informacji w sposób przystępny, w formacie nadającym się do odczytu maszynowego i przetwarzania elektronicznego zbiorów danych — ale nie ma obowiązku stworzenia interfejsu pozwalającego na zautomatyzowanie zapytań (por. wyrok TSUE z 19 września 2019 r., C‑527/18);
- kwerenda w bazie danych zakresie części zamiennych powinna być możliwa po wszystkich możliwych parametrach auta, takich jak numer VIN, rozstaw osi, moc silnika, wyposażenie i umożliwić ustalenie odpowiedniego numeru oryginalnej części zamiennej; zwrotna informacja powinna być przedstawiona w formacie nadającym się do odczytu maszynowego (tj. „w formacie pliku ustrukturyzowanym tak, aby aplikacje mogły łatwo zidentyfikować, rozpoznać i pozyskać określone dane”) — tymczasem Scania przestawia dane w sposób, który wymusza na odbiorcy dodatkowe przekształcenie pliku PDF;
- VIN samochodu może być traktowany jako dane osobowe właściciela — jeśli dotyczą konkretnej zidentyfikowanej lub możliwej do zidentyfikowania przy użyciu realnie dostępnych środków (np. dostępu do danych z dowodu rejestracyjnego lub bazy takiej jak CEPiK), osoby fizycznej;
Dane takie jak VIN – który jest zdefiniowany (…) jako alfanumeryczny kod przypisany pojazdowi przez producenta w celu zapewnienia właściwej identyfikacji każdego pojazdu i jako taki nie ma charakteru „osobowego” – nabierają tego charakteru dla kogoś, kto dysponuje realnymi środkami powiązania ich z konkretną osobą.
- jeśli więc niezależne podmioty dysponują możliwością powiązania numeru VIN z konkretną osobą — w sporze należy uwzględnić przepisy RODO o przetwarzaniu danych osobowych (bajdełej niemieckie prawo chyba przewiduje nieco łatwiejszy dostęp do Zentrales Fahrzeugregister, niż do naszego CEPiK?);
- przepisem takim jest art. 6 ust. 1 lit. c) RODO, który pozwala na przetwarzanie danych, jeśli jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; obowiązkiem takim jest także konieczność zapewnienia jednoznacznej identyfikacji pojazdu i zapewnienia rzeczywistej konkurencji na rynku napraw pojazdów — przeto Scania nie może odmówić dostępu do VIN mówiąc, że to są dane osobowe właścicieli samochodów.