データの識別可能性におけるGDPRの範囲に光を当てる洞察に富んだ欧州司法省の判決

欧州連合司法裁判所（CJEU）は、C-319/22事件（Gesamtverband Autoteile-Handel v. Scania）において衝撃的な判決を下し、データ保護と車両情報共有の状況を形作ることとなった。

🔑 主な要点

🔸 車両識別番号（VIN）へのアクセス：EU法は、自動車メーカーに対し、修理業者やスペアパーツ販売業者のような独立した事業者に、車体番号を含む必要な情報を提供することを義務付けている。これは、自動車の修理やメンテナンスにとって極めて重要である。

車体番号と個人情報：車体番号自体は個人情報ではないが、車の所有者を特定する能力と結びつくと個人情報になる。この関連は、所有者が自然人である場合に特に関連する。

🔸GDPR コンプライアンス：本判決は、独立した事業者が車体番号を利用できるようにすることが一般データ保護規則（GDPR）に適合することを明確にしている。車体番号が個人データに該当する場合でも、その開示はGDPR第6条1項(c)に基づき正当化される。

🔸 データ保護への影響：本判決は、Nowak事件とBreyer事件の原則を再確認するものである。データは、ある組織にとっては「個人的」であっても、別の組織にとっては「個人的」ではない可能性がある。

データ保護法とEUデータ法への影響：この判決は、データ保護法と、個人データを商業資産として扱うEUデータ法の今後の適用に大きな影響を与えるだろう。

この事件は当初、車両データをめぐる商業的紛争に焦点を当てたものであったが、その後、特に「識別可能性」とGDPRの下で何が「個人データ」に該当するかという点で、データ保護にとって決定的な出来事へと発展した。

この判決は、特にEUデータ法とGDPRとの相互関係において、データ保護当局が同様のケースをどのように捉え、どのように扱うかを形成するものと期待される。