Dataombudsmannen vid Tietosuojavaltuutetun toimisto (Dataombudsmannens byrå) anser att BMW-återförsäljare Oy BMW Suomi Ab inte behövt lämna ut servicehistoriken för ett begagnat fordon till en ny köpare enligt artikel 15 i dataskyddsförordningen (GDPR) eftersom den innehöll personuppgifter om den tidigare ägaren, inte om den nya ägaren.
Av beslutet framgår att den registrerade köpt en begagnad BMW från 2010. Fordonet hade då färdats totalt 151 000 kilometer. Fel hade omedelbart uppstått i fordonet. Enligt den registrerade fanns tecken på att felet redan upptäckts av den tidigare ägaren och att fordonet tidigare fått service av en auktoriserad BMW-återförsäljare. Den registrerade kontaktade återförsäljaren, som dock inte vidtagit nödvändiga korrigerande åtgärder. Den registrerade begärde också servicehistoriken för fordonet i fråga från återförsäljaren för fordonets hela livscykel. Återförsäljaren vägrade dock att efterkomma den registrerades begäran.
När Dataombudsmannen bedömde återförsäljares svar kontrollerade myndigheten om fordonets servicehistorik var personuppgifter i den mening som avses i artikel 4.1 GDPR. Dataombudsmannen analyserade också om det skulle vara personuppgifter för den nya ägaren, vilket ger denne rätt att få tillgång till denna information enligt artikel 15 GDPR.
Enligt Dataombudsmannen kunde fordonets servicehistorik direkt eller indirekt beskriva aktiviteter hos fordonets ägare eller innehavare. Den kan till exempel berätta hur ägaren använt fordonet, inklusive dess körsträcka och ägarens körstil. Även om servicehistoriken vanligtvis inte anger ägarens namn kan personen dessutom identifieras genom att kombinera information från andra källor, till exempel ett register över kollektivtrafiken. Därför ansåg Dataombudsmannen att informationen om fordonets servicehistorik avser en identifierbar fysisk person och därmed är personuppgifter enligt artikel 4.1 GDPR. Denna information kan dock också innehålla icke-personliga uppgifter som GDPR inte är tillämplig på.
Enligt dataskyddsförordningen har en person rätt att få tillgång till personuppgifter som rör honom eller henne. Eftersom servicehistorik inte är personuppgifter för den nya ägaren av det köpta fordonet, har den nya ägaren inte rätt att få tillgång till dem enligt dataskyddsförordningen. Följaktligen ansåg Dataombudsmannen att den nya fordonsägaren inte har rätt att få tillgång till denna information enligt artikel 15 GDPR när informationen avser en annan person.
Datatillsynsmannen betonar dock att man i beslutet inte tagit ställning till om återförsäljaren kunde tillhandahålla sådan information på någon annan grund än genom rätten till tillgång enligt artikel 15 GDPR. Enligt Datatillsynsmannen hindrar dataskyddsreglerna i princip inte överföring av fordonets servicehistorik till den person som köpt det begagnade fordonet. Detta kan till exempel vara möjligt inom ramen för ett berättigat intresse enligt dataskyddsförordningen. Även om återförsäljaren inte har en skyldighet enligt dataskyddsförordningen att lämna uppgifter om fordonets servicehistorik, finns det således inte något hinder mot utlämnandet.