车辆识别号码 (VIN) 作为个人数据？

fabiha01

从数据保护的角度来看，欧洲法院（ECJ）于 2023 年 11 月 9 日就事实序列号何时属于或成为个人数据的解释做出了一项重要决定（参见案件 C-319/22 ）。以下博客文章简要描述了最初的案例和决策本身，以及对实践的可能影响。

初始案例：拒绝传输车辆识别号码（VIN）
请求初步裁决的触发因素是科隆地区法院 (LG) 的以下案件：一家汽车制造商 ( Scania CV AB ) 按照欧盟法规 2018/858 第 61(1) 条的规定，在其网站上向独立零部件经销商和其他“独立经济运营商”提供维修和保养信息。他最初并没有发布 FIN。

原告（Gesamtverband Autoteile-Handel e. V.）认为，在本案中，由于缺少车辆识别号码（VIN），汽车制造商未能适当履行欧盟法规 2018/858 第 61(1) 条规定的法律义务。该汽车制造商否认了这一点，理由是 VIN 属于个人数据，未经 GDPR 或特殊国家法律的适当授权不得透露给第三方。

随后，以下问题被提交至欧洲法院：

根据欧盟法规 2018/858 第 61(1) 和 (2) 条，汽车制造商必须遵守哪些有关形式、内容和范围的具体义务？
欧盟条例 2018/858 第 61(1) 条是否构成 GDPR 第 6(1)(c) 条规定下的汽车制造商的法定义务，从而证明有理由向作为 GDPR 第 4(7) 条规定下其他控制者的独立经济运营商披露 VIN 或与 VIN 相关的信息？
FIN – 个人数据？
根据第19/2011号条例第2(2)条的规定， VIN代表车辆的车辆识别号码。因此，巴西商业传真列表 它是“制造商为确保每辆车都能被清楚识别而分配给车辆的字母数字代码”。

该字母数字代码包含有关制造商代码、系列、车型年份和车辆编号等信息，换句话说，包含所有相关数据以清楚地识别车辆。如果仅从这些方面来看 FIN，则 FIN 并不 代表个人日期，而仅代表事实日期。根据 GDPR 第 4 条第 (1) 款，个人数据是指“与可识别的自然人（以下称为“数据主体”）有关的任何信息”；如果可以直接或间接地识别自然人，特别是通过姓名、身份证号码、位置数据、在线标识符或特定于该自然人的心理、生理、遗传、经济、文化或社会身份的一个或多个特定因素，则该自然人被视为可识别的。相反，事实数据是无法识别个人身份但仅与对象相关的数据。

但是，VIN 与车主的姓名和地址一起存储在登记证书中 。车主的姓名和地址不可避免地属于个人数据。 S. d.艺术。 4 第 1 条 GDPR。通过将 FIN 与注册证书中包含的数据相结合，现在可以提供个人参考，因此 FIN 成为个人数据，并因此属于 GDPR 的适用范围（GDPR 第 2 条第 1 款）。

欧洲法院的裁决
关于第三个问题，欧洲法院的结论是，车辆识别号码 (VIN)本身并不是独立的个人数据，只有通过使用其他合适的方式（例如注册证书）才成为个人数据。该决定基于 GDPR 第 4 条第 1 款的定义，根据该定义，个人数据是“与已识别或可识别的自然人有关的任何信息”。欧洲法院在其判决（2023 年 11 月 9 日，案件 C-319/22）中将人员可识别性的概念定义为，当考虑到控制者根据 GDPR 第 4(7) 条或第三方为识别该人而合理使用的所有手段时，该人是可识别的，但识别该人所需的所有信息不必掌握在单个实体手中。（欧洲法院 2023 年 11 月 9 日判决，案件 C-319/22，第 45 段；欧洲法院 2016 年 10 月 19 日判决，案件 C-582/14，第 42 和 43 段）

因此，在上述法律纠纷的情况下，必须明确零配件经销商或其他独立行为者是否有能力和附加信息来建立与车辆识别号码 (VIN) 相关的个人联系。如果不是这样，FIN 就不是个人数据。然而，在这一具体案件中，欧洲法院明确表示，汽车制造商还必须披露车辆识别号码 (VIN)，因为根据《车辆批准条例》(欧盟条例 2018/858) 第 61(1) 条，他们有义务这样做。因此，根据第 14 条传输 FIN 具有法律依据。 GDPR 第 6 (1) (c) 条规定，如果处理对于履行法律义务是必要的，则数据传输是合法的。

结论
最后需要注意的是，FIN本身并不构成个人数据，但根据上下文的不同，可以成为个人数据。这一判断也适用于任何其他类型的身份证号码或序列号，如果不使用更多信息就无法识别自然人。必须始终根据具体情况进行审查，以确定该机构是否拥有必要的资源和附加信息，以便能够建立对纯事实数据项的个人参考。