In een tijd waarin we onze smartphones synchroniseren met onze voertuigen, online zoeken naar de laatste vrije parkeerplek voor onze motor en onze auto opdracht geven om bepaalde instellingen aan te passen als jij instapt, is het moeilijk voor te stellen dat er nog voertuigen zijn die géén persoonsgegevens verwerken. “Connected” vehicles worden steeds meer de norm. Moderne IoT-technologie maakt van elk voertuig een enorme datahub die grote hoeveelheden persoonsgegevens opslaat en doorgeeft. Dit betekent niet alleen dat er steeds meer gegevens worden verwerkt, maar ook dat we met de modernste technologie steeds meer gevoelige informatie kúnnen verzamelen, zoals biometrische gegevens.

Hoe kunnen fabrikanten hun connected vehicles op de markt brengen en tegelijkertijd zorgen dat de persoonsgegevens zorgvuldig worden behandeld volgens de regels van de Algemene Verordening Gegevensbescherming (AVG)? Het zal geen verrassing zijn dat veel bedrijven in de auto-industrie worstelen met de vraag wat ze wel en niet mogen doen binnen de grenzen van de AVG. Om die vraag te beantwoorden, moeten we eerst weten welke persoonsgegevens volgens de AVG jouw specifieke aandacht verdienen. Daarom is het cruciaal om te weten wat de verschillende categorieën persoonsgegevens zijn.

Welke categorieën persoonsgegevens onderscheidt de AVG?

De AVG maakt onderscheid tussen verschillende soorten persoonsgegevens. Het is belangrijk te weten om welke categorieën het hier gaat, omdat de vereiste bescherming en de rechtsgronden voor de verwerking van gegevens per categorie kunnen verschillen. Daarom lichten we eerst de verschillende categorieën toe.

Bijzondere categorieën persoonsgegevens

Hieronder vallen:

• Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken.
• Verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.[1]

De AVG maakt dus een belangrijk onderscheid tussen verwerking van gegevens waaruit iets blijkt en verwerking van daadwerkelijke gegevens. De tot deze categorie behorende ‘bijzondere persoonsgegevens’ worden als zeer gevoelig beschouwd en moeten daarom extra goed worden beschermd. De AVG bepaalt dat de verwerking van deze categorie gegevens verboden is, tenzij jij je kunt beroepen op een van de uitzonderingen die in de AVG worden genoemd.[2]

Strafrechtelijke veroordelingen en strafbare feiten

Volgens de AVG mogen persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten uitsluitend worden verwerkt door officiële instanties, of door anderen indien de wetgeving van de EU of van een lidstaat dit toestaat. Het is duidelijk dat ook de gegevens in deze categorie als gevoelig worden beschouwd, waardoor het belangrijk is om passende beschermingsmaatregelen te nemen.[3]

Nationale identificatienummers

De AVG laat het aan de EU-lidstaten over om te bepalen welke voorwaarden gelden voor de verwerking van nationale identificatienummers. Dit wordt dus geregeld in nationale wetgeving, zodat de regels per land kunnen verschillen. Wees daarom altijd voorzichtig bij het verwerken van nationale identificatienummers.[4]

Gewone persoonsgegevens

Deze categorie persoonsgegevens omvat alle gegevens die niet onder een van de eerder beschreven bijzondere categorieën vallen. Het is altijd verstandig om logisch na te denken en de gevoeligheid van alle verwerkte gewone persoonsgegevens zorgvuldig te beoordelen, zodat je zeker weet dat je de juiste beschermingsmaatregelen neemt. Vergelijk bijvoorbeeld de namen van personen eens met financiële gegevens van personen. Het is duidelijk dat financiële gegevens gevoeliger zijn en dus bij de verwerking ook afdoende moeten worden beschermd.

Welk soort gegevens verdienen extra aandacht als het gaat om connected vehicles?

Voor wat betreft de eerder genoemde meer gevoelige categorieën zijn er drie soorten gegevens die speciale aandacht verdienen bij de gegevensverwerking in connected vehicles: biometrische gegevens, locatiegegevens en gegevens waaruit strafbare feiten of verkeersovertredingen zouden kunnen blijken.

Biometrische gegevens

Biometrische gegevens zijn unieke fysieke of gedragskenmerken die kunnen worden gebruikt om een persoon te identificeren. De AVG verbiedt in principe het verwerken van biometrische gegevens “met het oog op de unieke identificatie van een natuurlijke persoon”[5], tenzij jij je kunt beroepen op een van de uitzonderingen die in de AVG worden genoemd.[6] Daarnaast geeft de AVG aan de Europese lidstaten de mogelijkheid om verdere voorwaarden te stellen aan de verwerking van biometrische gegevens.[7]

Dit soort gegevens verdient extra aandacht, omdat biometrische gegevens in connected vehicles juist worden gebruikt om iemand ‘uniek te identificeren’. Automobilisten kunnen tegenwoordig toegang tot hun voertuig krijgen met hun vingerafdruk of bijvoorbeeld via een opgeslagen bestuurdersprofiel. Biometrische gegevens worden steeds vaker gebruikt.

Als je deze gegevens wilt verwerken volgens de voorschriften van de AVG, is het essentieel dat je hierbij bepaalde uitgangspunten en beschermende maatregelen in acht neemt. Een belangrijke maatregel is dat biometrische sjablonen lokaal en in versleutelde vorm moeten worden opgeslagen, en dus niet via een externe terminal worden gelezen of vergeleken. Een andere goede maatregel is het beperken van het aantal authenticatiepogingen om zo biometrische gegevens beter te beschermen.[8]

Locatiegegevens

Een ander type gegeven dat vaak wordt gebruikt in connected vehicles zijn locatiegegevens. Deze zijn bijzonder gevoelig, omdat hieruit iets kan blijken over de leefgewoonten van personen. Aan de hand van locatiegegevens kun je bijvoorbeeld gemakkelijk afleiden hoe en wanneer iemand naar huis, naar het werk en naar familie of vrienden gaat. Uit locatiegegevens kan zelfs iemands religieuze overtuiging blijken, wanneer iemand bijvoorbeeld een kerk of moskee bezoekt. Dit betekent dat je bijzondere gegevens verwerkt waarvoor specifieke verplichtingen gelden volgens de AVG.

Daarom is het advies om helemaal geen locatiegegevens te verzamelen, maar in plaats daarvan gyroscooptechnologie te gebruiken. Daarmee kun je vaak hetzelfde doel bereiken zonder locatiegegevens te verzamelen. Als het echter toch nodig is om locatiegegevens te verzamelen, moet je rekening houden met bepaalde uitgangspunten. Het moet voor de gebruiker bijvoorbeeld mogelijk zijn om het bijhouden van de locatie op elk moment te deactiveren, of om een beperkte bewaartermijn voor locatiegegevens in te stellen.[9]

Gegevens waaruit strafbare feiten of verkeersovertredingen blijken

Een sensor in een connected vehicle zou onder het rijden kunnen aangeven dat de auto of motor over een doorgetrokken streep of met een te hoge snelheid rijdt. Uit deze gegevens kan dus blijken dat de bestuurder strafbare feiten of verkeersovertredingen heeft begaan. Maar zoals hierboven al is gezegd, mogen gegevens over strafrechtelijke veroordelingen en strafbare feiten uitsluitend worden verwerkt door officiële instanties, of door anderen indien Europese wetgeving of de nationale wetgeving van een EU-lidstaat dit toestaat.[10]

Om te verhinderen dat deze gegevens worden doorgegeven aan onbevoegden, wordt aanbevolen om strenge beveiligingsmaatregelen te nemen. Dit kan bijvoorbeeld door de gebruiker volledige controle te geven over de verwerking van dit soort gegevens.[11] Ook is het mogelijk de gegevensintegriteit te waarborgen door de communicatiekanalen te beveiligen met geavanceerde versleuteling en door voor elk voertuig unieke encryptiesleutels te gebruiken.[12]

Samenvatting

Connected vehicles verzamelen en verwerken steeds meer gevoelige persoonsgegevens. Het is belangrijk dat bedrijven werken volgens beveiligingsniveaus die passend zijn voor de verschillende categorieën persoonsgegevens. In dit artikel hebben we uitgelegd hoe je bepaalt welke categorieën gegevens voor jou van belang zijn en welke om speciale maatregelen vragen. In ons volgende artikel besteden we aandacht aan de rechten van personen (ook wel ‘betrokkenen’ genoemd in de AVG) en de controle die deze personen hebben over hun persoonsgegevens in connected vehicles.

Voor een compleet overzicht van de principes en maatregelen die gelden bij de verwerking van persoonsgegevens in connected vehicles, kun je onze whitepaper “Connected vehicles: waarde creëren én voldoen aan de AVG” downloaden.

[1] Artikel 9 lid 1 AVG.

[2] Artikel 9 lid 2 AVG.

[3] Artikel 10 AVG.

[4] Artikel 87 AVG.

[5] Artikel 9 lid 1 AVG.

[6] Artikel 9 lid 2AVG.

[7] Artikel 9 lid 4 AVG.

[8] Richtsnoeren 01/2020 inzake de verwerking van persoonsgegevens in het kader van connected vehicles en mobiliteitsgerelateerde toepassingen, versie 2.0 van 9 maart 2021, pagina 16-17.

[9] Idem, pagina 15-16.

[10] Artikel 10 AVG.

[11] Richtsnoeren 01/2020 inzake de verwerking van persoonsgegevens in het kader van connected vehicles en mobiliteitsgerelateerde toepassingen, versie 2.0 van 9 maart 2021, pagina 17.

[12] Idem, pagina 23-24.