Numer VIN, czyli numer identyfikacyjny pojazdu zawiera w sobie takie informacje jak marka i model pojazdu, numer seryjny, data produkcji oraz kraj pochodzenia pojazdu. Zasadniczą kwestią jest ustalenie, czy numer VIN pojazdu może zostać uznany za dane osobowe, a w konsekwencji, czy podlega ochronie danych osobowych.
Dane osobowe według RODO
Wedle art. 4 pkt 1 RODO, dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba to osoba, którą można bezpośrednio lub pośrednio zidentyfikować w szczególności na podstawie imienia, nazwiska, numeru identyfikacyjnego, danych o lokalizacji.
Z kolei zgodnie z art. 66 ust. 3a ustawy – Prawo o ruchu drogowym, każdy pojazd uczestniczący w ruchu powinien posiadać nadane przez producenta cechy identyfikacyjne, takie jak numer VIN albo numer nadwozia, podwozia lub ramy.
Ważny wyrok TSUE
9 listopada 2023 r. zapadł wyrok Trybunału Sprawiedliwości Unii Europejskiej w sprawie C-319/22 Gesamtverband Autotelite-Handel, w którym orzeczono, iż numer identyfikacyjny pojazdu stanowi dane osobowe, ponieważ jest powiązany z konkretną osobą. Dodatkowo numer ten jest ujawniany w dowodzie rejestracyjnym pojazdu wraz z nazwiskiem oraz adresem właściciela samochodu, a w konsekwencji stanowi on danę osobową w rozumieniu RODO. Wyrok ten został wydany w oparciu o stan faktyczny, w którym kwestią sporną pozostawała adekwatność dostarczanych przez firmę Scania danych o pojazdach.
Ponadto TSUE wskazał, iż jeżeli numer VIN może zostać użyty do zidentyfikowania właściciela pojazdu lub osoby posiadającej tytuł prawny do pojazdu, wówczas podlega on przetwarzaniu zgodnie z wymogami RODO.
Przesłanki legalizacyjne RODO
Zgodnie ze wskazanym wcześniej orzeczeniem, numer VIN może stanowić dane osobowe, a w konsekwencji jego przetwarzanie może być dopuszczalne w sytuacji, gdy zostanie spełniony co najmniej jeden z warunków określonych w art. 6 RODO, czyli m. in. wtedy, kiedy:
- osoba, której dane dotyczą wyraziła zgodę na ich przetwarzanie,
- jest to niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy,
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
- przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, za wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, a wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą jest dzieckiem.
Podstawa prawna:
- art. 4 ust. 1, art. 6 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L z 2016 r., 119.1)
- art. 66 ust. 3a ustawy z 20 czerwca 1997 roku – Prawo o ruchu drogowym (tekst jedn. Dz.U. z 2023 r., poz. 1047)
