Door Anoniem: Beste Allemaal!
Voor mijn afstudeeropdracht doe ik onderzoek naar de eigenaarschap van voertuigdata. Dit gaat om de data die in het voertuig zit maar ook over de data die via internet toegezonden wordt naar de fabrikant.
Op internet kom ik verschillende berichtgeving hiervan tegen. Hierdoor is het mij niet duidelijk of de eigenaarschap van deze data bij de fabrikant zit, bij de eigenaar van de auto of bij iemand anders.
Wel zie ik dat er wordt verwezen naar de GPDR en de ePrivacy wetgeving. Echter gaat dit alleen om data waaruit een gebruiker verwezen wordt.
Kan iemand mij helpen bij dit vraagstuk?
Bij voertuigen in eigendom is de data vanzelfsprekend (voor de eigenaar) van de eigenaar. Echter, sommige leveranciers stellen contracten op die dat beperken. Dat kan denk ik niet zo maar. Met name als het gaat om persoonsgegevens.
Alle gebruiksdata zijn persoonsgegevens. Dat is dus niet alleen de locatie, maar ook hoe het voertuig is bestuurd, met o.a. welke snelheid. En ook wanneer. Data vormt al snel persoonsgegevens als het gaat om het vastleggen van gedrag van de eigenaar.
In mijn visie betekent dat dat de verkoper wel toestemming kan vragen om deze data te verwerken maar die niet kan eisen. In de praktijk wordt dat vaak niet zo gedaan. De bouwer/importeur/verkoper meent vaak dat de data nodig is, dat het dus redelijk zou zijn dat zonder die data ze niet zouden kunnen. Ik denk dat dat onzin is. Alles over een kam schereven is te kort door de bocht.
Een auto kan prima tijd registreren vanaf het begin van een rit, zonder kalenderdatum en -tijd. Bijvoorbeeld een GPS hoeft niet per se alles te loggen om GPS te gebruiken.
Daarnaast zijn er nog aantal andere privacylekken: bijvoorbeeld de data die uitgewisseld wordt via telefoons. Het uitzenden van radiosignalen (bijvoorbeeld Bluetooth) stuurt identificatienummers mee die gebruikt kunnen worden om auto's en dus ook mensen te volgen. Dit wordt al geruime tijd actief gebruikt langs de Nederlandse wegen. Feitelijk mag dit niet, want er is geen sprake van noodzaak of toestemming.
Een privacyvriendelijke auto:
1. heeft geen op afstand te openen deur
2. heeft geen automatische contactloze starter op basis van de een transponder
3. heeft geen zenders zoals Bluetooth, WiFi
4. slaat geen locatiegegevens op
5. slaat geen kalenderdatum en -tijdgegevens op
6. stuurt geen verzamelde gegevens door zonder expliciete en onafhankelijke toestemming
1 t/m 5 mag ook in- of uitschakelbaar zijn.
Het gaat dus niet zozeer over de datatransmissiemethode, maar vooral om het beteugelen van het dataverzamelen onafhankelijk van hoe die data wordt verzameld. Een auto kan worden uitgelezen bij de garage. Het gaat over het uitlezen.*
Hier hoeft niet heel moeilijk over gedaan te worden, je kunt een probleem zien en vastleggen zonder de overige gegevens. Data moet niet als een pot nat worden beschouwd. Ze passen duidelijk geen
privacy by design toe, wat wel de bedoeling is van de GDPR/AVG.
* Vergelijk met een digitale energiemeter: die slaat vele meterstanden per tijdseenheid (15 minuten bijvoorbeeld) op die ook kunnen worden uitgelezen door een meteruitlezer die langs komt. Dat zijn dezelfde gegevens als bij een 'slimme' digitale meter. Een slimme meter weigeren en een digital accepteren is dus niet voldoende om te privacy te waarborgen. Netbeheerders moeten een digitale meter leveren die cumulatieve standen logt per jaar of eens per 6 maanden en niet vaker.