VIN to unikalny (niepowtarzalny) numer identyfikacyjny pojazdu. Intuicyjnie więc zapewne większość z nas odpowie, że to informacja odnosząca się do rzeczy, a nie osoby fizycznej, stąd nie może stanowić danych osobowych. A jednak… TSUE w jednym z niedawnych orzeczeń rzucił szersze tło na tę sprawę. Orzeczenie to omówione zostało w jednym z ostatnich numerów Biuletynu UODO1.
Skąd wziął się problem?
Sprawa, którą rozpoznawał TSUE dotyczy sporu pomiędzy jednym z europejskich producentów pojazdów, a zrzeszeniem niezależnych od producentów podmiotów zajmujących się obrotem częściami zamiennymi w Niemczech. Spór ten zawisł przed jednym z niemieckich sądów.
Producent zapewnia niezależnym podmiotom dostęp do informacji dotyczących pojazdów, ich napraw i konserwacji oraz systemu ODB za pośrednictwem strony internetowej. Za jej pośrednictwem można uzyskać m. in. informacje odnoszące się do konkretnego pojazdu, należy jednak znać i wpisać w wyszukiwarkę kilka ostatnich cyfr VIN tego pojazdu. Samego numeru VIN producent niezależnym podmiotom nie udostępnia.
Między stronami powstała kontrowersja m. in. co do tego, czy z przepisów regulujących najogólniej rzecz ujmując funkcjonowanie branży motoryzacyjnej, można wywieść obowiązek udostępnienia przez producenta niezależnym podmiotom także wspomnianego wyżej numeru VIN.
Niemiecki sąd powziął wątpliwość, czy VIN oraz powiązane z nim informacje można zaliczyć do danych osobowych.
Analizując ten problem TSUE po raz kolejny odwołał się do kontekstu przetwarzania określonych informacji, jako jednego z czynników warunkujących możliwość uznania je za dane osobowe (czyli „wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej”).
TSUE wskazał, ze określona w RODO definicja danych osobowych ma zastosowanie, gdy ze względu na treść, cel lub skutek dane informacje są powiązane z daną osobą fizyczną.
W celu ustalenia, czy daną osobę fizyczną można bezpośrednio lub pośrednio zidentyfikować, należy wziąć pod uwagę wszystkie sposoby, jakimi może, racjonalnie rzecz biorąc, posłużyć się administrator w rozumieniu art. 4 pkt 7 RODO lub inna osoba w celu zidentyfikowania owej osoby, przy czym nie jest wymagane, by wszystkie informacje umożliwiające identyfikację osoby, której dane dotyczą, musiały znajdować się w rękach tylko jednego podmiotu.
VIN, jako że składa się z ciągu znaków i jest przypisany do konkretnego pojazdu przez producenta nie ma rzecz jasna charakteru osobowego. Takiego charakteru może nabrać dla kogoś, kto dysponuje realnymi możliwościami powiązania ich z konkretną osobą.
Opinia TSUE
VIN powinien znajdować się w dokumencie potwierdzającym rejestrację pojazdu obok danych jego właściciela. W tych okolicznościach, zdaniem TSUE, VIN stanowi dane osobowe w rozumieniu RODO, względem osoby fizycznej wymienionej w tym dokumencie w zakresie, w jakim osoba mająca do niego dostęp mogłaby dysponować środkami umożliwiającymi wykorzystanie go w celu zidentyfikowania właściciela pojazdu.
W kontekście opisanego wyżej sporu, jaki zawisł przed niemieckim sądem, w sytuacji gdy niezależne podmioty mogą dysponować realnymi możliwościami pozwalającymi na powiązanie VIN z osobą fizyczną – VIN stanowi dla tych podmiotów dane osobowe.
Warto mieć zatem na uwadze, że rozumienie przez sądy i regulatorów pojęcia danych osobowych jest bardzo szerokie i często za dane osobowe mogą być uznane informacje, których za takie intuicyjnie nie bierzemy.
