Rozhodnutí Soudního dvora EU: Identifikační čísla vozidel a GDPR
Soudní dvůr EU rozhodl, že identifikační čísla vozidel (VIN) jako taková nejsou osobní povahy. Osobním údajem se však stávají v okamžiku, kdy někdo (fyzická osoba), kdo k nim má přístup, má možnost identifikovat vlastníka vozidla.
Scania, evropský výrobce těžkých nákladních vozidel, poskytuje opravnám automobilů přístup k informacím o opravách a údržbě prostřednictvím webových stránek. Tyto webové stránky umožňují vyhledávání buď na základě obecných informací o vozidle, jako je model, motor nebo rok výroby, nebo na základě zadání posledních sedmi čísel identifikačního čísla vozidla (VIN) daného vozidla. Čísla VIN jsou v tomto kontextu sériová čísla a neměla by být zaměňována s poznávacími značkami.
Gesamtverband, konkurent společnosti Scania, tvrdil, že informace poskytované společností Scania opravnám jsou v rozporu s pravidly hospodářské soutěže. Požadoval, aby soud nařídil společnosti Scania umožnit přístup k výše uvedeným informacím i nezávislým provozovatelům (nikoli pouze opravnám). Poskytnutí těchto informací nezávislým provozovatelům by zajistilo účinnou hospodářskou soutěž na trhu informačních služeb v oblasti oprav a údržby vozidel, neboť by zajistilo, že nezávislý trh oprav a údržby vozidel jako celek by mohl konkurovat autorizovaným prodejcům.
Vedle dalších otázek se příslušný soud (ačkoli zastával názor, že VIN zpravidla nepředstavuje osobní údaj) ptal, zda musí být článek 61 nařízení 2018/858 vykládán v tom smyslu, že ukládá výrobcům vozidel právní povinnost zpracovávat údaje ve smyslu čl. 6 odst. 1 písm. c) obecného nařízení o ochraně osobních údajů.
Stanovisko
Soudní dvůr EU neformálně rozdělil otázku na dvě témata. Za prvé, zda lze VIN považovat za osobní údaj. Zadruhé, pokud je VIN osobním údajem, je povinnost poskytnout VIN slučitelná s GDPR?
V prvním bodě SDEU rozhodl, že VIN představuje osobní údaj ve smyslu čl. 4 odst. 1 GDPR, pokud fyzická osoba, která má přístup k VIN, může mít prostředky, které jí přiměřeně umožňují použít VIN k identifikaci vlastníka vozidla, k němuž se vztahuje. Předkládajícímu soudu přísluší přezkoumat, zda k tomu v každém jednotlivém případě dochází. Aby dospěl k tomuto rozhodnutí, odkázal soud na čl. 4 odst. 1 GDPR, který stanoví, že osobním údajem je "jakákoliv informace týkající se identifikované nebo identifikovatelné fyzické osoby", a na body 42 a 43 rozsudku Breyer (C 582/14, EU:C:2016:779). Souhlasili rovněž s AG Bobekem, který v bodech 34 a 41 svého stanoviska uvedl, že VIN jsou osobními údaji pro nezávislé provozovatele, "pokud [mohou] rozumně disponovat prostředky, které jim umožňují spojit VIN s identifikovanou nebo identifikovatelnou fyzickou osobou".
V druhém bodě soud rozhodl, že i když je VIN klasifikován jako osobní údaj, GDPR nebrání tomu, aby byli výrobci automobilů povinni je zpřístupnit nezávislým provozovatelům. Nařízení 2018/858[1] tedy nevylučuje použití právních předpisů o ochraně údajů. Článek 61 odst. 1 nařízení 2018/858[2] musí být vykládán v tom smyslu, že stanoví "právní povinnost" ve smyslu čl. 6 odst. 1 písm. c) GDPR pro výrobce automobilů zpřístupnit VIN vozidel, která vyrábějí, nezávislým provozovatelům jakožto "správcům údajů" ve smyslu čl. 4 odst. 7 GDPR.