Gegevens stromen onopgemerkt
Het is echter vaak onduidelijk welke informatie wanneer naar de fabrikant wordt gestuurd. Gaat het alleen om technische data over het functioneren van de auto, zodat bijvoorbeeld preventief onderhoud geregeld kan worden? Of gebruikt de fabrikant de geaggregeerde data van veel auto’s van hetzelfde type om een betere opvolger van dit type te ontwerpen? Verzamelt de producent misschien ook informatie over het rijgedrag en waarom? Stuurt de auto audio- en videostreams van de camera’s en microfoon ook terug naar de fabriek?
Vermoedelijk staat hierover iets vermeld in de privacyverklaring die voorbij is gekomen bij het ophalen van de nieuwe auto, maar wie spit die langdradige documenten helemaal door? En heb je dan ook iets te zeggen over welke data wel en niet worden verstuurd?
De Europese Data Act moet ervoor zorgen dat gebruikers van verbonden producten en gerelateerde diensten meer controle krijgen over de data die zij door het gebruik van die producten en diensten genereren. Dat geldt niet alleen voor auto’s en andere voertuigen, maar ook voor industriële machines, medische en fitnessapparatuur en andere slimme apparaten, bijvoorbeeld in gebouwen.
Nieuwe verplichting
De invoering van de Data Act gaat stapsgewijs. De Data Act is al sinds 12 september 2025 van toepassing. Vanaf 12 september dit jaar is echter access by design ook werkelijk verplicht voor elk connected apparaat dat onder de verordening valt en na die datum op de markt wordt gebracht. De gebruiksgegevens die onder de Data Act vallen, moeten voor de gebruiker standaard toegankelijk zijn in een bruikbaar, machineleesbaar formaat.
In principe hoort de fabrikant al deze gegevens kosteloos en zonder onnodige vertraging, veilig beschikbaar te stellen. Als eindgebruiker moet je er soms wel om vragen: het is niet zo dat de gegevens altijd automatisch worden aangeboden. Sommige autoproducenten bieden bijvoorbeeld de mogelijkheid om via een privacyportaal van het online gebruikersaccount een export te doen van de gegevens of een verzoek daartoe in te dienen. Het kan dan gaan om een eenmalige data-export, een periodieke download, een API of doorlopende datastroom.
Als eindgebruiker krijg je in een aantal gevallen de mogelijkheid om de datastromen richting de fabrikant uit te zetten, maar zeker niet altijd. In het geval van de auto zijn sommige diensten die zijn gebaseerd op de telemetriedata zelfs wettelijk verplicht, zoals eCall voor incidentinformatie. De Autoriteit Persoonsgegevens stelt echter dat niet-wettelijk verplichte systemen in beginsel standaard uitgeschakeld moeten zijn. Die mogen pas worden ingeschakeld na een actieve keuze van de gebruiker. Denk daarbij aan gepersonaliseerde navigatie in de auto, spraakassistenten, voertuigtracking en systemen die communicatiegegevens verwerken. Als je weigert toestemming te geven voor het versturen van dergelijke data naar de fabrikant, kan dat wel gevolgen hebben voor het goed functioneren van bepaalde apps.
Verschuiving uitgangspunt
Access by design betekent dus niet dat alle apparatuur opeens privacyvriendelijk is. De Data Act zorgt er wel voor dat het uitgangspunt verschuift: als er data worden verzameld, moet de gebruiker die data in beginsel ook kunnen inzien en gebruiken, en als dat gewenst is, ook delen met onafhankelijke derden.
