～S&K Brusselsブリュッセル便り～「車両識別番号は個人データか？」

～S&K Brusselsブリュッセル便り～

「車両識別番号は個人データか？」

欧州連合司法裁判所（CJEU: Court of Justice of the European Union）は、2023年11月9日、大要、自動車メーカーは独立系事業者に車両識別番号（VIN: Vehicle Identification Number）を公開しなければならないと判示（Judgment of the Court in Case C-319/22 | Gesamtverband Autoteile-Handel (Access to vehicle information)）。車両識別番号がそれによって車両の所有者を特定することが可能となり個人データに該当する場合、自動車メーカーが独立系事業者に車両識別番号を公開しなければならないという義務は、一般データ保護規則（GDPR: General Data Protection Regulation）第6条第1項（c）号の法的義務としてGDPRに適合するとした。

＜背景＞

・EU法は、修理業者、スペアパーツ販売業者、技術情報出版業者を含む独立系事業者が自動車メーカーが製造した自動車の修理やメンテナンスに必要な情報にアクセスできるようにすることを自動車メーカーに義務付けている。

・ドイツの自動車部品の独立系取引業者の事業者団体（Gesamtverband Autoteile-Handel eV）は、大型貨物車メーカーであるScania CV AB（スカニア社）が上記事業者団体の会員に提供した情報の形式も内容も、独立系事業者がスカニア社が製造した自動車の修理やメンテナンスに必要な情報にアクセスできるようにする義務を充たすものではないと考えた。

・上記事業者団体は、上記状況に対処するため、ドイツの裁判所に訴訟を提起。

・同裁判所は、スカニア社の義務の範囲が不明確だったため、スカニア社の義務の範囲という問題をCJEUに付託。

・上記ドイツの裁判所は、特に、車両識別番号が、自動車メーカーに伝達が義務付けられている個人データとみなされるかどうかを知りたい。

＜CJEUの主な判示事項＞

判示事項1：自動車メーカーは全ての車両の修理・整備情報へのアクセスを提供する必要がある。

・当該情報は自動検索と結果のダウンロードを可能にするデータベース・インターフェースによってアクセスできるようにする必要は必ずしもない。

・しかし、当該情報の形式は、電子的に直接利用できるものでなければならない。

・したがって、収集後すぐに関連データを抽出し保持することができなければならない。

判示事項2：自動車メーカーはデータベースを構築する必要があり、当該データベースにスペアパーツに交換可能な部品に関する情報を網羅しなければならない。

・当該データベース内の情報は、車両識別番号や、エンジン出力や車両のトリムレベルなどの他の基準に従って検索できなければならない。

・車両識別番号がデータベースに含まれていなければならない。

・車両識別番号は、そのままでは性質上個人的なものではない。

・しかし、関係者が自然人であることを条件として、車両識別番号にアクセスできる者が車両の所有者を特定する手段を持つ場合には、当該車両識別番号は個人データとなる。

・当該所有者は当該車両識別番号と同様に車両の登録証に記載されている。

・車両識別番号が個人データに分類される場合であっても、GDPRは自動車メーカーが独立系事業者に車両識別番号を利用可能にする義務を負うことを妨げない。

＜ポイント＞

・自動車メーカーは、上記CJEUの判決を受け、①全ての車両の修理・整備情報へのアクセスを提供する義務、および②データベースを構築し当該データベースにスペアパーツに交換可能な部品に関する情報を網羅する義務等への対応の確保をする必要がある。

・2023年11月9日に欧州議会本会議で採択されたEUデータ法は、データ保有者がコネクティッド製品・コネクティッドサービスデータに機械可読形式で容易にアクセスできるようにするという義務を含むものである。

・自動車メーカーがCJEU判決を受けた対応を行っていく際には、EUデータ法のコンプライアンス対応を見据えた取組みが重要となってくる。

「S&K Brusselsブリュッセル便り」は法的助言を目的とするものではなく、個別の案件については当該案件の個別の状況に応じ、弁護士の適切な助言を求めていただく必要があります。また、上記の見解は執筆担当者の個人的見解であり、当事務所または当事務所の依頼者の見解ではありません。