1.

Le législateur de l’Union aspire à garantir la concurrence dans le secteur de la réparation et de l’entretien des véhicules à moteur au sein du marché intérieur, de telle manière que les constructeurs de ces véhicules ne disposent pas (par eux-mêmes ou par l’intermédiaire de leurs concessionnaires et réparateurs agréés) d’un monopole sur la fourniture des services en question.

2.

À cette fin, le règlement (UE) 2018/858 ( 2 ) impose aux constructeurs automobiles de fournir aux « opérateurs indépendants » un accès illimité, normalisé et non discriminatoire aux informations relatives à certains systèmes, équipements et outils des véhicules, ainsi que concernant la réparation et l’entretien de ces derniers.

3.

L’application du règlement 2018/858 (ou de l’un des règlements qu’il modifie) a donné lieu à des litiges opposant, d’une part, des constructeurs de véhicules et, d’autre part, des opérateurs indépendants. Plusieurs demandes de décision préjudicielle trouvent leur origine dans des procédures au cours desquelles est intervenue une entité ( 3 ) dont les membres gèrent 80 % du chiffre d’affaires réalisé par le secteur du commerce indépendant de pièces de rechange de véhicules à moteur en Allemagne ( 4 ).

4.

Dans le cadre du présent renvoi préjudiciel, le Landgericht Köln (tribunal régional de Cologne, Allemagne) pose trois questions qui concernent successivement :

5.

Conformément à la demande de la Cour, je limiterai mes conclusions à l’analyse de la troisième question préjudicielle.

6.

Le considérant 50 du règlement 2018/858 indique :

« L’accès libre aux informations sur la réparation et l’entretien des véhicules, dans un format normalisé permettant l’extraction des données techniques, ainsi qu’une concurrence effective sur le marché des services fournissant de telles informations sont nécessaires pour améliorer le fonctionnement du marché intérieur, en particulier en ce qui concerne la libre circulation des marchandises, la liberté d’établissement et la libre prestation de services […] »

7.

Conformément au considérant 52 du règlement 2018/858 :

« Afin de garantir une concurrence effective sur le marché des services d’information sur la réparation et l’entretien des véhicules ainsi que de préciser que les informations concernées couvrent également les informations devant être fournies aux opérateurs indépendants autres que les réparateurs, de sorte que le marché de la réparation et de l’entretien de véhicules par des opérateurs indépendants puisse dans son ensemble concurrencer les concessionnaires agréés, que le constructeur de véhicules transmette ces informations directement à ses concessionnaires et réparateurs agréés ou qu’il les utilise lui-même à des fins de réparation ou d’entretien, il est nécessaire de détailler les informations à fournir aux fins de l’accès aux informations sur la réparation et l’entretien des véhicules. »

8.

Aux termes du considérant 62 du règlement 2018/858 :

« Chaque fois que les mesures prévues dans le présent règlement impliquent le traitement de données à caractère personnel, il convient que ce traitement soit effectué conformément [au RGPD] […] »

9.

Aux termes de l’article 3 du règlement 2018/858, on entend par :

« […]

45. “opérateur indépendant” : une personne physique ou morale, autre qu’un concessionnaire ou réparateur agréé, qui est directement ou indirectement engagée dans la réparation et l’entretien de véhicules, y compris les réparateurs, les fabricants ou les distributeurs d’équipements, d’outils ou de pièces détachées de réparation ainsi que les éditeurs d’informations techniques, les clubs automobiles, les opérateurs de services de dépannage, les opérateurs proposant des services d’inspection et d’essai et les opérateurs proposant une formation pour les installateurs, les fabricants et les réparateurs des équipements des véhicules à carburant alternatif ; sont également désignés par ce terme les réparateurs, concessionnaires et distributeurs agréés au sein du système de distribution d’un constructeur de véhicules donné, dans la mesure où ils fournissent des services de réparation et d’entretien pour des véhicules pour lesquels ils ne font pas partie du système de distribution du constructeur ;

[…]

48. “informations sur la réparation et l’entretien des véhicules” : toutes les informations, y compris tous les changements et compléments ultérieurs apportés à ces informations, qui sont requises pour le diagnostic, l’entretien et l’inspection d’un véhicule, la préparation en vue de la réalisation du contrôle technique, la réparation, la reprogrammation, la réinitialisation d’un véhicule ou qui sont requises pour l’aide au diagnostic à distance d’un véhicule ou pour le montage sur un véhicule des pièces et équipements, et que le constructeur fournit à ses partenaires, concessionnaires et réparateurs agréés ou qu’il utilise à des fins de réparation ou d’entretien ;

49. “informations du système de diagnostic embarqué (OBD) des véhicules” : les informations générées par un système qui est présent à bord d’un véhicule ou qui est connecté à un moteur, et qui est capable de détecter un dysfonctionnement et, le cas échéant, de signaler sa survenance au moyen d’un système d’alerte, d’identifier la localisation probable du dysfonctionnement au moyen d’informations stockées dans une mémoire informatique et de communiquer ces informations à l’extérieur du véhicule ;

[…] »

10.

L’article 61 (« Obligation des constructeurs de fournir les informations du système OBD et les informations sur la réparation et l’entretien des véhicules ») du règlement 2018/858 dispose :

« 1. Les constructeurs fournissent aux opérateurs indépendants un accès illimité, normalisé et non discriminatoire aux informations du système OBD des véhicules, aux équipements et outils de diagnostic ou autres, y compris les références complètes et les téléchargements disponibles du logiciel applicable, ainsi qu’aux informations sur la réparation et l’entretien des véhicules. Ces informations sont présentées d’une manière aisément accessible, sous la forme d’ensembles de données lisibles par machine et électroniquement exploitables. Les opérateurs indépendants disposent d’un accès aux services de diagnostic à distance utilisés par les constructeurs et les concessionnaires et réparateurs agréés.

Les constructeurs fournissent un système normalisé, sécurisé et à distance pour permettre aux réparateurs indépendants de réaliser des opérations qui impliquent d’accéder au système de sécurité des véhicules.

2. Jusqu’à l’adoption par la Commission de la norme appropriée via les travaux du Comité européen de normalisation (CEN) ou d’un organisme de normalisation comparable, les informations du système OBD des véhicules et les informations sur la réparation et l’entretien des véhicules sont présentées d’une manière aisément accessible de telle sorte qu’elles puissent être exploitées par les opérateurs indépendants moyennant un effort raisonnable.

Les informations du système OBD des véhicules et les informations sur la réparation et l’entretien des véhicules sont mises à disposition sur les sites internet des constructeurs dans un format normalisé ou, si ce n’est pas réalisable en raison de la nature des informations, dans un autre format approprié. Pour les opérateurs indépendants autres que les réparateurs, les informations sont également fournies dans un format lisible par machine qui peut être exploité électroniquement au moyen d’outils informatiques et de logiciels communément disponibles, ce qui permet aux opérateurs indépendants de mener leurs activités dans la chaîne d’approvisionnement du marché des pièces et des équipements de rechange.

[…]

4. Les prescriptions techniques détaillées concernant l’accès aux informations du système OBD des véhicules et aux informations sur la réparation et l’entretien des véhicules, en particulier les spécifications techniques sur la manière dont ces informations doivent être fournies, sont énoncées à l’annexe X.

[…]

11. La Commission est habilitée à adopter des actes délégués conformément à l’article 82 pour modifier et compléter l’annexe X afin de tenir compte de l’évolution des techniques et de la réglementation ou d’éviter une mauvaise utilisation, en actualisant les prescriptions concernant l’accès aux informations du système OBD des véhicules et aux informations sur la réparation et l’entretien des véhicules […] »

11.

L’annexe X (« Accès aux informations du système OBD des véhicules et aux informations sur la réparation et l’entretien des véhicules »), point 6.1, du règlement 2018/858 prévoit :

« […]

Des informations sur toutes les pièces dont est équipé d’origine le véhicule, tel qu’identifié par le VIN du véhicule et par tout critère supplémentaire comme l’empattement, la puissance du moteur, le type de finition ou les options, et qui peuvent être remplacées par des pièces détachées proposées par le constructeur du véhicule à ses concessionnaires ou réparateurs agréés ou à des tiers au moyen d’une référence au numéro des pièces d’origine, doivent être mises à disposition, sous la forme d’ensembles de données lisibles par machine et électroniquement exploitables, dans une base de données accessible pour les opérateurs indépendants.

Dans cette base de données doivent figurer le numéro VIN, le numéro de la pièce d’origine, la dénomination de la pièce d’origine, les indications de validité (dates de début et de fin de validité), les indications de montage et, le cas échéant, les caractéristiques de structure.

[…] »

12.

L’article 2 (« Définitions »), point 2, du règlement no 19/2011 dispose :

« par “numéro d’identification du véhicule” (VIN) on entend le code alphanumérique attribué au véhicule par le constructeur afin d’assurer l’identification adéquate de chaque véhicule. »

13.

L’annexe I (« Prescriptions techniques »), partie B [« Numéro d’identification du véhicule (VIN) »], point 1.2, du règlement no 19/2011 prévoit :

« Le VIN est unique et attribué sans équivoque à un véhicule déterminé. »

14.

En vertu de l’article 4, point 1, du RGPD, on entend par « “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

15.

L’article 6 (« Licéité du traitement ») du RGPD prévoit :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[…]

[…]

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

Les finalités du traitement sont définies dans cette base juridique […]. Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi.

[…] »

16.

L’annexe I (« Partie I du certificat d’immatriculation ») de la directive 1999/37/CE ( 7 ) comporte les indications suivantes :

« […]

II.5. La partie I du certificat d’immatriculation contient également les données ci-après, précédées des codes communautaires harmonisés correspondants :

[…]

[…]

[…]

[…] »

17.

Scania CV AB (ci-après « Scania ») est l’un des plus grands producteurs de véhicules utilitaires, notamment de poids lourds, en Europe. En tant que titulaire de réceptions CE par type, Scania a la qualité de constructeur au sens de l’article 3, point 40, du règlement 2018/858 et doit fournir les informations visées à l’article 61, paragraphes 1 et 2, de ce règlement.

18.

Par l’intermédiaire d’un site Internet, Scania accorde aux opérateurs indépendants (tels que les membres du Gesamtverband A.-H.) un accès aux informations concernant le véhicule, la réparation et l’entretien de celui-ci, ainsi que le système OBD.

19.

Par cette procédure, Scania permet à l’utilisateur humain, en saisissant les sept derniers chiffres du VIN, de rechercher des informations sur un véhicule donné, ou, sur la base d’informations générales sur les véhicules, d’obtenir des informations plus larges qui ne se rapportent pas à un quelconque véhicule individuel ( 8 ).

20.

Cependant, Scania ne met pas les VIN à la disposition des opérateurs indépendants. Seuls les réparateurs connaissent le VIN du véhicule sur lequel ils sont appelés à effectuer des travaux d’entretien ou de réparation, ce numéro figurant sur le châssis du véhicule qui leur est confié par le client ; les fabricants et les distributeurs de pièces de rechange, quant à eux, n’ont pas accès aux VIN individuels, sans lesquels une recherche effectuée au moyen de critères généraux donne des résultats imprécis ( 9 ).

21.

Le Gesamtverband A.-H. et Scania s’opposent dans la procédure au principal sur la forme, le contenu et la portée des obligations qui incombent au constructeur en vertu de l’article 61, paragraphes 1 et 2, du règlement 2018/858.

22.

Dans ce contexte, le Landgericht Köln (tribunal régional de Cologne) a décidé de surseoir à statuer et de poser à la Cour trois questions préjudicielles, parmi lesquelles je n’aborderai que la dernière, qui est rédigée de la manière suivante :

« L’article 61, paragraphe 1, du règlement 2018/858 constitue-t-il, pour les constructeurs automobiles, une obligation légale au sens de l’article 6, paragraphe 1, sous c), du RGPD qui justifie la communication de VIN ou d’informations rattachées à ceux-ci à des opérateurs indépendants en tant qu’autres responsables du traitement au sens de l’article 4, point 7, [du RGPD] ? »

23.

La demande de décision préjudicielle a été enregistrée au greffe de la Cour le 11 mai 2022.

24.

Des observations écrites ont été déposées par le Gesamtverband A.-H., Scania ainsi que par la Commission européenne.

25.

La tenue d’une audience n’a pas été jugée nécessaire.

26.

Par sa troisième question préjudicielle, la juridiction de renvoi souhaite savoir si l’article 61, paragraphe 1, du règlement 2018/858 constitue, pour les constructeurs de véhicules, une obligation légale [au sens de l’article 6, paragraphe 1, sous c), du RGPD] qui justifie la communication de VIN ou d’informations rattachées à ces numéros aux opérateurs indépendants.

27.

Cette question a pour prémisse que le respect d’une telle obligation, si elle devait exister, exigerait de procéder à un traitement de données à caractère personnel.

28.

Pour répondre à cette question, il convient, tout d’abord, d’examiner la nature du VIN, puis, une fois sa qualité de donnée à caractère personnel admise, de rechercher l’éventuel fondement de la licéité de son traitement.

29.

Le VIN constitue-t-il une donnée à caractère personnel ? Si ce n’était pas le cas, le problème soulevé serait résolu sans davantage d’explications, puisque le RGPD ne serait tout simplement pas applicable. Cependant, la juridiction de renvoi admet nourrir un certain doute à cet égard.

30.

Elle résume en ces termes les positions des deux parties au litige :

31.

Après avoir exposé les deux thèses, la juridiction de renvoi reconnaît qu’il existe des arguments à l’appui de l’une et de l’autre :

32.

Le doute aurait été (quelque peu) levé par l’arrêt de la Cour du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données à caractère personnel à des fins fiscales) ( 10 ). Dans cet arrêt, la Cour a qualifié de communication de « données à caractère personnel » l’accès à certains VIN, notamment, ainsi que la mise à disposition d’informations sur les annonces publiées par un opérateur économique sur un portail Internet ( 11 ).

33.

Dans cette affaire, l’avocat général Bobek avait soutenu que « […] le numéro de châssis des véhicules [le VIN] […] constitu[ait] [une] “informatio[n] se rapportant à une personne physique identifiée ou identifiable” ». Les VIN pouvaient donc être considérés comme des « données à caractère personnel au sens de l’article 4, point 1, du RGPD », dans la mesure où de telles « informations permettent d’identifier les vendeurs de voitures et, donc, les contribuables éventuels » ( 12 ).

34.

Je partage cependant l’avis de la juridiction de renvoi et du Gesamtverband A.-H. selon lequel le VIN n’est pas, en soi et dans tous les cas, une donnée à caractère personnel. À tout le moins, il ne le serait pas « en règle générale […] pour les constructeurs [de véhicules] » ( 13 ), et certainement pas lorsque le véhicule n’appartient pas à une personne physique.

35.

Dans l’affaire Valsts ieņēmumu dienests, les données litigieuses, parmi lesquelles figuraient les VIN des véhicules faisant l’objet d’une annonce publiée sur un portail Internet, étaient demandées par une administration fiscale. Dans ce contexte, le VIN constituait clairement une « donnée à caractère personnel » au sens de l’article 4, point 1, du RGPD, c’est-à-dire une « information se rapportant à une personne physique identifiée ou identifiable ».

36.

Dans la mesure où la personne qui demandait les informations litigieuses dans l’affaire Valsts ieņēmumu dienests était une administration publique, les VIN pouvaient servir à identifier les propriétaires des véhicules auxquels se rapportaient ces numéros. Parmi « l’ensemble des moyens [qui seraient] susceptibles d’être raisonnablement mis en œuvre » par une administration publique aux fins de cette identification personnelle, on trouve l’accès au registre (public) des certificats d’immatriculation.

37.

En principe, comme je l’ai déjà indiqué dans les présentes conclusions, le VIN est un simple « code alphanumérique attribué au véhicule par le constructeur » qui n’est strictement utile qu’aux fins de son identification adéquate. On pourrait affirmer qu’il s’agit d’une donnée ad rem, et non ad personam.

38.

Or, conformément à la jurisprudence de la Cour :

39.

En application de cette jurisprudence, une donnée qui est, en principe, dépourvue de caractère « personnel » (car, à elle seule et sans l’intermédiation d’autres données, elle ne renferme pas d’informations se rapportant à une personne physique identifiée ou identifiable) acquiert ce caractère pour celui qui dispose raisonnablement de moyens permettant de l’associer à une personne déterminée.

40.

Les certificats d’immatriculation, sur lesquels doivent nécessairement figurer le VIN et l’identité du détenteur du véhicule ( 16 ), constituent un de ces moyens. À partir de ces certificats, en associant le VIN au détenteur du véhicule, un opérateur indépendant pourrait retracer, par exemple, le processus de distribution et de vente d’une pièce de rechange jusqu’à identifier le propriétaire du véhicule dans lequel cette pièce a été incorporée ( 17 ).

41.

Il appartient à la juridiction de renvoi de déterminer si, comme cela semble être le cas, les membres du Gesamtverbrand A.-H. peuvent raisonnablement disposer de moyens permettant de rattacher un VIN à une personne physique identifiée ou identifiable. S’il en est ainsi, le VIN constitue pour eux (et, indirectement, pour le constructeur qui met le VIN à leur disposition) une donnée à caractère personnel dont le traitement est soumis au RGPD.

42.

En définitive, et à titre de conclusion intermédiaire, j’estime que le VIN constitue une donnée à caractère personnel, au sens de l’article 4, point 1, du RGPD, dans la mesure où celui qui y a accès peut disposer de moyens lui permettant raisonnablement de l’utiliser pour identifier le propriétaire du véhicule auquel il se rapporte. Il appartient à la juridiction de renvoi de vérifier si tel est le cas dans chaque situation.

43.

Contrairement à certaines affirmations figurant dans la décision de renvoi, le règlement 2018/858 n’exclut pas l’application de la réglementation relative à la protection des données. Aux termes de son considérant 62, « [c]haque fois que les mesures prévues dans le présent règlement impliquent le traitement de données à caractère personnel, il convient que ce traitement soit effectué conformément [au RGPD] ».

44.

L’article 6, paragraphe 1, du RGPD conditionne la licéité du traitement de données à caractère personnel à l’existence d’au moins une des justifications qu’il énonce. L’une d’elles exige que le traitement soit nécessaire « au respect d’une obligation légale à laquelle le responsable du traitement est soumis » [point c)] (mise en italique par mes soins).

45.

Une telle obligation légale ressort de l’article 61, paragraphes 1 et 4, du règlement 2018/858, lu en combinaison avec le point 6.1 de l’annexe X de ce règlement. En vertu de cet ensemble normatif, les constructeurs des véhicules à moteur doivent mettre à la disposition des opérateurs indépendants, entre autres données, le VIN, qui est explicitement mentionné.

46.

Le point 6.1 de l’annexe X du règlement 2018/858 détaille les informations que le constructeur devra fournir, dans une base de données aisément accessible pour les opérateurs indépendants. Les informations relatives aux « […] pièces dont est équipé d’origine le véhicule, tel qu’identifié par le VIN du véhicule […] », en font partie. Au même point de cette annexe, il est ajouté que « le numéro VIN [doit figurer] » dans la base de données que le constructeur est tenu de créer.

47.

L’article 61, paragraphe 4, du règlement 2018/858 prévoit de manière impérative que les indications relatives aux prescriptions techniques détaillées concernant l’accès à ces informations sont celles énoncées à l’annexe X de ce règlement. Comme je viens de le signaler au point précédent des présentes conclusions, le point 6.1 de cette annexe impose au constructeur l’obligation de fournir les informations, « par le VIN du véhicule », sur le véhicule et les pièces dont celui-ci est équipé d’origine.

48.

En conséquence, tout constructeur de véhicules est, sans équivoque, tenu de fournir le VIN aux opérateurs indépendants.

49.

Dans la mesure où le VIN constituerait une donnée à caractère personnel ( 18 ), l’habilitation pour y accéder impliquerait un « traitement », au sens de l’article 4, point 2, du RGPD.

50.

La Cour a relevé que tout traitement de données à caractère personnel doit respecter les principes énoncés à l’article 5 du RGPD ainsi que l’une des conditions de licéité visées à l’article 6 de ce règlement ( 19 ).

51.

Parmi les conditions de licéité énumérées à l’article 6, paragraphe 1, du RGPD, celle visée au point c) est ici pertinente. Cette condition est en l’espèce remplie, car, je le répète, fournir l’accès au VIN est une « obligation légale » qui incombe aux constructeurs de véhicules (article 61, paragraphe 1, du règlement 2018/858). Si un constructeur n’accorde pas l’accès au VIN de ses véhicules aux opérateurs indépendants, il enfreint cette obligation légale.

52.

Il ne suffit toutefois pas que le traitement litigieux soit nécessaire au respect d’une obligation légale. Il faut, en outre, que les conditions de l’article 6, paragraphe 3, du RGPD soient remplies. J’estime que tel est le cas en l’espèce, car :

53.

En somme, j’estime que toutes les conditions requises à l’article 6, paragraphe 1, sous c), et paragraphe 3, du RGPD sont réunies. J’ajoute, enfin, que la juridiction de renvoi ne fait part d’aucun doute concernant l’application des principes de l’article 5 du RGPD dans la présente affaire.

54.

Eu égard aux considérations qui précèdent, je propose à la Cour de répondre comme suit à la troisième question préjudicielle du Landgericht Köln (tribunal régional de Cologne, Allemagne) :

Les dispositions combinées de l’article 61, paragraphes 1 et 4, et de l’annexe X, point 6.1, du règlement (UE) 2018/858 du Parlement européen et du Conseil, du 30 mai 2018, relatif à la réception et à la surveillance du marché des véhicules à moteur et de leurs remorques, ainsi que des systèmes, composants et entités techniques distinctes destinés à ces véhicules, modifiant les règlements (CE) no 715/2007 et (CE) no 595/2009 et abrogeant la directive 2007/46/CE,

doivent être interprétées en ce sens que :

elles imposent aux constructeurs de véhicules à moteur, aux fins de l’article 6, paragraphe 1, sous c), et paragraphe 3, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), une obligation légale qui justifie de mettre à la disposition des opérateurs indépendants les numéros d’identification des véhicules (VIN).