Trybunał Sprawiedliwości Unii Europejskiej („TSUE”) w sprawie C-319/22 orzekł, że numer identyfikacyjny pojazdu („VIN”) sam w sobie, jako kod alfanumeryczny przypisany pojazdowi przez jego producenta w celu zapewnienia prawidłowej identyfikacji pojazdu i który jako taki nie jest daną osobową. Jednakże w może się nią stać w sytuacji, w której Administrator posiada środki („reasonably has means”) pozwalające na powiązanie nr VIN z osobą fizyczną.
Jak zwykle, to zależy… Racjonalnie rzecz ujmując, VIN jest daną osobową bardziej niż nie jest
Narzędzia pozwalające na powiązanie nr VIN z kierowcą lub właścicielem samochodu, oczywiście posiada każdy sprzedawca samochodów, ubezpieczyciel, urzędy wydające dowody rejestracyjne, a także wszystkie inne podmioty który do takich dowodów rejestracyjnych mają dostęp.
Oznacza to, że numer VIN staje się także daną osobową np. w firmie transportowej, ponieważ możliwe jest na podstawie numeru VIN ustalenie personaliów osoby, której w danym momencie wydano pojazd do dyspozycji. Zgodnie z taką interpretacją do przetwarzania danych osobowych w związku z posiadaniem numerów VIN może dojść w warsztatach samochodowych, którym właściciel pojazdu udostępnia dowód rejestracyjny w celu wskazania numeru VIN. Ponadto warsztaty samochodowe posiadają środki („reasonably has means”) do powiązania zamawianej na podstawie numeru VIN części do samochodu klienta wraz z dokumentem jego sprzedaży i tu także można przyjąć, że stanowi to przetwarzanie danych osobowych.
Powyższe interpretacje wyroku C-319/22 są dość „kontrowersyjne”. TSUE podkreśla oczywiście, że ocena czy informacja (w naszym rozważaniu VIN) stanowi dane osobowe wymaga oceny konkretnych okoliczności. Jednakże z drugiej strony nie precyzuje jednoznacznie kwestii praktycznych, zwłaszcza dotyczących tego, kiedy posiadane przez Administratora środki należy ocenić jako wystarczające do zidentyfikowania tożsamości osoby na podstawie nr VIN (por. Motyw 26 RODO).
Moim zdaniem, temat granic pojęcia danych osobowych jest dość ciekawy i ważny, jednak z każdym kolejnym wyrokiem pozostaje wiele otwartych pytań dotyczących tego zagadnienia.
Wyrok TSUE w sprawie VIN
Trybunał Sprawiedliwości Unii Europejskiej („TSUE”) w sprawie C-319/22 orzekł, że numer identyfikacyjny pojazdu („VIN”) sam w sobie, jako kod alfanumeryczny przypisany pojazdowi przez jego producenta w celu zapewnienia prawidłowej identyfikacji pojazdu i który jako taki nie jest daną osobową. Jednakże w może się nią stać w sytuacji, w której Administrator posiada środki („reasonably has means”) pozwalające na powiązanie nr VIN z osobą fizyczną.
Jak zwykle, to zależy… Racjonalnie rzecz ujmując, VIN jest daną osobową bardziej niż nie jest
Narzędzia pozwalające na powiązanie nr VIN z kierowcą lub właścicielem samochodu, oczywiście posiada każdy sprzedawca samochodów, ubezpieczyciel, urzędy wydające dowody rejestracyjne, a także wszystkie inne podmioty który do takich dowodów rejestracyjnych mają dostęp.
Oznacza to, że numer VIN staje się także daną osobową np. w firmie transportowej, ponieważ możliwe jest na podstawie numeru VIN ustalenie personaliów osoby, której w danym momencie wydano pojazd do dyspozycji. Zgodnie z taką interpretacją do przetwarzania danych osobowych w związku z posiadaniem numerów VIN może dojść w warsztatach samochodowych, którym właściciel pojazdu udostępnia dowód rejestracyjny w celu wskazania numeru VIN. Ponadto warsztaty samochodowe posiadają środki („reasonably has means”) do powiązania zamawianej na podstawie numeru VIN części do samochodu klienta wraz z dokumentem jego sprzedaży i tu także można przyjąć, że stanowi to przetwarzanie danych osobowych.
Powyższe interpretacje wyroku C-319/22 są dość „kontrowersyjne”. TSUE podkreśla oczywiście, że ocena czy informacja (w naszym rozważaniu VIN) stanowi dane osobowe wymaga oceny konkretnych okoliczności. Jednakże z drugiej strony nie precyzuje jednoznacznie kwestii praktycznych, zwłaszcza dotyczących tego, kiedy posiadane przez Administratora środki należy ocenić jako wystarczające do zidentyfikowania tożsamości osoby na podstawie nr VIN (por. Motyw 26 RODO).
Moim zdaniem, temat granic pojęcia danych osobowych jest dość ciekawy i ważny, jednak z każdym kolejnym wyrokiem pozostaje wiele otwartych pytań dotyczących tego zagadnienia.
Ostatnie wpisy
O mnie
Michał Cupiał
Kategorie