Par deux arrêts, la Cour de Justice des Communautés Européennes (CJCE) a rappelé aux constructeurs les règles relatives à l’accès aux données techniques pour la réparation indépendante.

Nous vous proposons d’examiner ces arrêts et leurs conséquences : le premier arrêt de la CJCE concerne les restrictions posées par les passerelles Gateway ; le deuxième arrêt concerne l’obligation pour les constructeurs de mettre à disposition le numéro d’identification des véhicules (VIN).

Arrêt de CJCE du 5 octobre 2023 « Carglass & ATU c/ FCA » :  la prise OBD ne doit pas faire l’objet de restrictions d’accès non prévues par le règlement européen

Dans cette affaire, la Cour rappelle le cadre légal du droit d’accès aux données aux opérateurs indépendants et encadre très strictement les Gateway et les procédures d’authentification des réparateurs.

Pourquoi cette procédure ?

A l’origine de cette procédure, la société Carglass (réparation de vitrage de véhicules) et la société ATU (réseau allemand d’ateliers de réparation), contestaient les obstacles techniques que le constructeur FCA (Fiat, Chrysler, désormais intégrés à Stellantis) leur opposait pour accéder aux données de recalibrage des systèmes avancés d’aide à la conduite (ADAS) à l’occasion de changement de pare-brise, et à partir de la prise OBD du véhicule.

Le constructeur FCA équipe ses véhicules du système dit « Secure Gateway ». Ce système impose aussi bien aux opérateurs indépendants qu’aux réparateurs agrées un certain nombre d’opérations de sécurité avant de pouvoir accéder aux données du véhicule (pour procéder à des étalonnages, purger les anomalies, …). Ces opérations de sécurité consistent à s’enregistrer au préalable, s’identifier à l’aide de données de connexion personnelles sur un serveur dédié, utiliser un abonnement payant.

La procédure devant le tribunal de Cologne (Allemagne) qui était en cours depuis 2021, nécessitait une précision concernant l’interprétation de l’article 61 du règlement européen 2018/858.

Quelle était la demande formée auprès de la CJCE ?

La CJCE a été saisie par le tribunal de Cologne afin qu’elle donne son interprétation des dispositions de l’article 61 du règlement européen.

Cette article intitulé « Obligation des constructeurs de fournir les informations du système OBD et les informations sur la réparation et l’entretien des véhicules », dispose :
1. Les constructeurs fournissent aux opérateurs indépendants un accès illimité, normalisé et non discriminatoire aux informations du système OBD des véhicules, aux équipements et outils de diagnostic ou autres, y compris les références complètes et les téléchargements disponibles du logiciel applicable, ainsi qu’aux informations sur la réparation et l’entretien des véhicules. Ces informations sont présentées d’une manière aisément accessible, sous la forme d’ensembles de données lisibles par machine et électroniquement exploitables. […]

Le tribunal a demandé à la CJCE si cet article doit être interprété comme permettant au constructeur FCA d’imposer des conditions d’accès « Secure Gateway » alors que cela n’est pas prévu par le règlement européen. Le constructeur FCA avançait au contraire l’argument selon lequel ces mesures s’imposaient au titre de la cybersécurité.

Quelle est la position de la CJCE

La CJCE répond dans son arrêt du 5 octobre 2023 que le règlement européen s’oppose à de telles restrictions d’accès.

Elle indique ainsi que « L’article 61, paragraphes 1 et 4, du règlement (UE) 2018/858 〈…〉 s’oppose à ce qu’un constructeur automobile subordonne l’accès des opérateurs indépendants aux informations sur la réparation et l’entretien des véhicules ainsi qu’à celles du système de diagnostic embarqué, y compris l’accès en écriture à ces informations, à des conditions autres que celles prévues par ledit règlement ».

D’autre part, lorsque le véhicule n’est pas en mouvement, les opérateurs indépendants doivent bénéficier d’un accès plus étendu qu’un accès en lecture seule aux données.

Elle précise en outre que les mesures de sécurité ne doivent pas porter atteinte aux obligations qui s’imposent aux constructeurs. Autrement dit, ces derniers ne peuvent pas invoquer l’argument de la cybersécurité pour verrouiller ou rendre plus difficile les accès à des informations diagnostiques et aux données embarquées pertinentes pour la réparation et l’entretien du véhicule.

La question de la cybersécurité des données du véhicule doit être assurée d’une part, au stade de la conception du véhicule, de la construction et de l’assemblage des véhicules. D’autre part, s’agissant des interventions nécessitant un accès aux caractéristiques de sécurité du véhicule, ou aux opérations de reprogrammation des unités de contrôle (Via le Passthru), la Cour et la Commission Européenne relèvent qu’il s’agit de cas où des conditions d’accès peuvent être prévues par le constructeur. Hormis ces deux cas, les opérateurs indépendants doivent donc bénéficier d’un droit d’accès illimité, direct, embarqué : en lecture et en écriture, notamment pour purger les codes d’anomalie, procéder à des étalonnage, activer les éléments du véhicule …

Enfin la CJCE rappelle également l’objectif de ce règlement européen : permettre une concurrence effective sur le marché des services d’information sur la réparation et l’entretien des véhicules, de sorte que le marché de la réparation et de l’entretien des véhicules par les opérateurs indépendants puisse concurrencer celui des concessionnaires agréés. Elle rappelle ainsi que soumettre l’accès aux informations à des conditions qui ne sont pas prévues par le règlement risquerait de diminuer le nombre de réparateurs indépendants ayant accès à ces informations, avec pour effet potentiel de réduire la concurrence sur le marché des services d’information sur la réparation et l’entretien des véhicules ainsi que, partant, l’offre aux consommateurs.

Ce qu’il faut en retenir

Cette décision confirme que la prise OBD ne peut servir à verrouiller le marché de la réparation indépendante en imposant des contraintes via les passerelles Gateway utilisées par les différents constructeurs.

La FNA a aussitôt saisi l’ensemble des constructeurs afin de leur demander de se mettre en conformité avec le règlement européen. Elle demande ainsi aux constructeurs de supprimer pour l’ensemble de leurs marques, toute obligation de « connexion de l’outil de diagnostic au moyen d’internet à un serveur désigné par le constructeur ou un enregistrement préalable des opérateurs indépendants auprès de vous ». Ces pratiques ont été jugées « non admises par le règlement ».

La FNA a également saisi M. le Ministre de l’Economie et des Finances, pour qu’une véritable prise de conscience des institutions soient engagée afin que des mesures concrètes soient prises pour préserver le modèle de la réparation indépendante et assurer une véritable concurrence sur le marché.

Enfin, la FNA a également saisi la Commission européenne et le Parlement européen d’une demande de cadre juridique précis et de mesures pour l’accès aux informations techniques et données embarquées. Une étude juridique de fond a été remise aux institutions mettant en évidence la pratique des principaux constructeurs et leurs effets sur le marché de la réparation indépendante.

Arrêt CJCE du 9 novembre 2023 « Gesamtverband Autoteile-Handel eV C/ Scania CV AB : les constructeurs doivent communiquer le VIN des véhicules

Dans cette affaire, la Cour rappelle le cadre légal du droit d’accès aux données personnelles des véhicules pour les opérateurs indépendants.

Pourquoi cette procédure ?

Le constructeur suédois de poids lourds Scania accorde aux opérateurs indépendants un accès manuel aux informations sur les véhicules, sur la réparation et l’entretien de ces véhicules et sur le système OBD par l’intermédiaire d’un site Internet. Celui-ci permet d’effectuer des recherches soit à partir d’informations générales sur les véhicules, telles que le modèle, la motorisation ou l’année de construction, soit sur un véhicule donné, en saisissant les sept derniers chiffres du VIN de ce véhicule. Les résultats de ces recherches peuvent uniquement être imprimés ou sauvegardés sur l’ordinateur en tant que fichier PDF, ce qui exclut une exploitation automatisée de données. Les résultats des recherches concernant les informations sur les pièces de rechange peuvent être sauvegardés sous forme d’un fichier XML.

Or, Scania ne met pas les VIN à la disposition des opérateurs indépendants, tels que les vendeurs de pièces détachées. Seuls les réparateurs ont accès à ces données, grâce aux documents d’immatriculation ou à l’indication qui figure sur le châssis du véhicule confié par le client pour l’entretien ou la réparation de celui-ci.

Une association professionnelle du commerce indépendant de pièces détachées allemande (Gesamtverband) estime que ni la forme ni le contenu des informations fournies par le constructeur Scania à ses membres ne répondent  à l’obligation de mettre à disposition les informations sur les données techniques du véhicule, estimant que le numéro VIN en fait partie.

Gesamtverband estime que l’accès aux informations accordé par Scania reste en deçà de ce que lui impose le règlement européen (article 61, paragraphes 1 et 2, du règlement 2018/858) et a demandé au tribunal régional de Cologne de condamner Scania à permettre aux opérateurs indépendants autres que les réparateurs, un accès aux informations portant sur la réparation et l’entretien des véhicules, par l’intermédiaire d’une interface de base de données, permettant de procéder à des interrogations automatisées et de télécharger les résultats sous forme d’ensembles de données destinés à une exploitation électronique.

Quelle était la demande formée auprès de la CJCE ?

La CJCE a été saisie par le tribunal régional de Cologne afin qu’elle donne son interprétation des dispositions de l’article 61 du règlement européen 2018/858.

L’article 61, paragraphe 1, première phrase, du règlement impose aux constructeurs automobiles de fournir aux opérateurs indépendants un accès illimité, normalisé et non discriminatoire, notamment, aux « informations sur la réparation et l’entretien des véhicules ». Toutes ces informations doivent être présentées d’une manière aisément accessible, sous la forme d’ensembles de données lisibles par machine et électroniquement exploitables.

Le tribunal souhaitait savoir, entre autres, si le numéro d’identification des véhicules (VIN) doit être considéré comme une donnée à caractère personnel que les constructeurs sont tenus de communiquer à tout opérateur.

Quelle est la position de la CJCE

En réponse, la Cour juge que les constructeurs automobiles sont tenus de donner l’accès à l’ensemble des informations sur la réparation et l’entretien des véhicules.

Ces informations ne doivent pas nécessairement être rendues accessibles par une interface de base de données permettant une interrogation automatisée avec téléchargement de résultats. Néanmoins, leur format doit se prêter à l’exploitation électronique directe. Ainsi, il doit permettre d’extraire les données pertinentes et de les conserver immédiatement après leur collecte. La Cour juge, en outre, que les constructeurs automobiles sont obligés de constituer une base de données, laquelle doit couvrir les informations sur les pièces pouvant être remplacées par des pièces détachées. La recherche des informations dans cette base de données doit être possible en fonction des numéros d’identification des véhicules et d’autres critères, comme la puissance du moteur ou le type de finition du véhicule.

La Cour souligne ainsi que les numéros d’identification des véhicules (VIN) doivent figurer dans la base de données. 

Ce qu’il faut en retenir

Par cette décision, la CJUE garantit aux opérateurs indépendants un accès électronique direct à toutes les informations nécessaires pour la réparation et l’entretien des véhicules. Cette mesure inclut le numéro d’identification du véhicule (VIN), améliorant ainsi la précision des catalogues de pièces détachées et simplifiant le processus d’identification des pièces.

La CJCE pose le principe selon lequel le VIN ne s’analyse pas en une donnée personnelle qui devraient être protégée par le règlement général sur la protection des données (RGPD). Même lorsqu’il est combiné avec des informations sur le propriétaire du véhicule, la CJUE affirme que le RGPD ne s’oppose pas à la mise à disposition des VIN par les fabricants aux opérateurs indépendants.

Cette reconnaissance souligne le rôle crucial du VIN dans la fourniture d’informations techniques essentielles à la réparation.

Vous trouverez en bas de page, dans la rubrique « Liens utiles » les arrêts complets de la CJCE dans ces deux affaires.