Vragen van de leden Schonis en Verhoeven (beiden D66) aan de Minister van Infrastructuur en Waterstaat over het artikel «Autosector voldoet niet aan strenge privacynorm» (ingezonden 3 maart 2020).

Antwoord van Minister Van Nieuwenhuizen Wijbenga (Infrastructuur en Waterstaat) (ontvangen 23 maart 2020).

Vraag 1

Bent u bekend met het artikel «Autosector voldoet niet aan strenge privacynorm»?1

Antwoord 1

Ja.

Vraag 2

Klopt het dat de autosector in veel gevallen niet voldoet aan de Algemene verordening gegevensbescherming (AVG)? Wat is de reden hiervoor?

Antwoord 2

De onderlinge verschillen bij autofabrikanten zijn groot. Er zijn fabrikanten die al enkele jaren data verzamelen en enkele waar dit (nog) niet of nauwelijks gebeurt. Het is belangrijk dat de privacy van gebruikers goed gewaarborgd is bij gebruik van deze nieuwe technieken. Richting de Autoriteit Persoonsgegevens (AP), Autoriteit Consument & Markt (ACM) en de sector wordt hier dan ook op ingezet. Zie ook antwoorden bij vraag drie, zes en acht.

Verschillende onderzoeken, van onder meer de ANWB en zijn Duitse evenknie ADAC, uiten zorgen over privacy bij verschillende automerken.2 Zoals u eerder gemeld is heeft het Ministerie deze ontwikkelingen in juni 2018 aangekaart bij de Autoriteit Persoonsgegevens (AP). De European Data Protection Board (EDPB) was destijds nog in oprichting en dit onderwerp is later aan de prioriteiten toegevoegd.

De AP heeft laten weten op dit moment nog beperkt signalen te ontvangen over «connected vehicles». Zij hebben gekozen voor een pakket aan gerichte maatregelen dat bestaat uit enerzijds het informeren van eigenaren/bestuurders van «connected vehicles» en anderzijds het aanspreken van fabrikanten en dealers.

Om eigenaren/bestuurders van «connected vehicles» te informeren over hun rechten heeft de AP een handleiding opgesteld waarin handvatten worden gegeven om rechten uit te kunnen oefenen.3 Vanuit de AVG kan men in eerste instantie de verwerkingsverantwoordelijke, dus de fabrikant, aanspreken, ook ten aanzien van de onder de AVG vereiste transparantie met betrekking tot verwerkingen. Indien rechten van eigenaren/bestuurders in onvoldoende mate worden ingevuld door fabrikanten/dealers kunnen klachten worden gemeld bij de AP.

Daarnaast spreekt de AP ook fabrikanten en dealers aan die auto’s verkopen. Omdat veel fabrikanten buiten Nederland zijn gevestigd, waarbij de AP geen leidende toezichthouder is, is het noodzakelijk om hierover ook op Europees niveau af te stemmen. Vanuit de EDPB heeft dit geresulteerd in richtlijnen die de AVG concreet maken ten aanzien van «connected vehicles»4. In februari 2020 heeft de AP fabrikanten die in Nederland gevestigd zijn op de hoogte gebracht van deze richtlijnen, en gevraagd om hun verwerkingsregister: het verplichte overzicht van gegevensverwerkingen, met daarin informatie over onder meer de soorten gegevens die de fabrikant verwerkt, de doeleinden van die verwerkingen en de bewaartermijnen van die gegevens.

Vraag 3

Hoe beoordeelt u de effectiviteit van de handhaving van de AVG voor autoproducenten?

Antwoord 3

De AP is de toezichthouder die de bescherming van persoonsgegevens bevordert en bewaakt. Dat betekent aan de ene kant dat de AP een taak heeft in voorlichting van fabrikanten en consumenten. Wat betreft die voorlichting heeft de AP belangrijke stappen gezet met de genoemde EDPB-richtlijn en de genoemde handleiding. Daarnaast is de AP verantwoordelijk voor handhaving van de AVG. De door de AP gestarte inventarisatie onder voertuigfabrikanten én de verwachte stijging van het privacybewustzijn onder consumenten kunnen leiden tot gerichte signalen over overtredingen van de AVG, waarop de AP actie kan ondernemen.

Daarnaast geeft de AP aan tot op heden nog beperkt signalen en klachten uit de praktijk te ontvangen. Hierbij is de internationale component erg belangrijk: de meeste voertuigfabrikanten zijn niet in Nederland gevestigd, maar hebben hun Europese hoofdvestiging in een ander EU-land. Dit betekent dat de AP bij onderzoeken naar fabrikanten vaak zelf niet de leidende toezichthouder zal zijn, maar dat een andere Europese toezichthouder de leiding neemt. Dit vergt goede samenwerking tussen de verantwoordelijke toezichthouders ten aanzien van het overdragen van signalen en klachten.

Vraag 4

Klopt het dat het ook gaat om bijzondere persoonsgegevens? Op welke wijze ziet de Nederlandse overheid toe op een zorgvuldige behandeling van de privacygegevens van de autobestuurder door de autoproducent?

Antwoord 4

Er zijn voorbeelden denkbaar waar het om bijzondere persoonsgegevens zou gaan. Als in de locatiegegevens bijvoorbeeld te zien is hoe vaak iemand naar een ziekenhuis rijdt, zijn dat bijzondere persoonsgegevens. Bijzondere persoonsgegevens genieten extra bescherming, in die mate dat het uitgangspunt is dat verwerking van bijzondere persoonsgegevens verboden is. De AP houdt vanuit de AVG hier toezicht op en reageert bijvoorbeeld op klachten en signalen.

Vraag 5

Wanneer kan de Tweede Kamer de resultaten van het aanvullend onderzoek naar dit onderwerp, dat u in uw antwoord op eerdere schriftelijke vragen van de vraagstellers aangekondigd heeft, verwachten?5

Antwoord 5

De resultaten van het onderzoek stuur ik u bij deze toe.

Vraag 6

Deelt u de mening dat data enkel gedeeld mogen worden na nadrukkelijke toestemming van de gebruiker en niet zoals bij Tesla, middels een afmelding achteraf? Zo nee, waarom niet?

Antwoord 6

Ondanks de potentie die voertuigdata heeft op het gebied van bijvoorbeeld het veiliger maken en beter laten doorstromen van ons verkeer, staat voorop dat de gegevens die worden gebruikt in overeenstemming met geldende wetgeving voor verwerking van persoonsgegevens. In de AVG worden hieraan voorwaarden gesteld. Uitdrukkelijke toestemming vooraf is er daar een van. Dit gaat dus om zogeheten opt in, niet opt-out, zoals in het hierboven beschreven voorbeeld. In de op 28 januari 2020 uitgebrachte richtlijnen van de EDPB is die uitdrukkelijke toestemming vastgelegd als voorwaarde. Het is aan fabrikanten en dealers zelf om te bedenken hoe die toestemming concreet geregeld wordt.

Uit eerder onderzoeken (zie vraag 2) is bekend dat niet alleen de door u aangehaalde fabrikant, maar ook andere fabrikanten persoonsgegevens verwerken, maar dat wellicht nog niet voor iedere eigenaar/bestuurder duidelijk is dat dit gebeurt. Fabrikanten hebben dus mogelijk, voordat er überhaupt sprake kan zijn van het geven van toestemming op een wijze zoals vereist in de AVG, nog werk te verzetten ten aanzien van het geven van transparantie. Eigenaren en bestuurders moeten bijvoorbeeld in ieder geval een geïnformeerde keuze kunnen maken, en ook dient deze keuze vrij te zijn.

Vraag 7

Bent u het ermee eens dat eigenaren van auto’s op elk moment moeten kunnen beslissen of zij data wel of niet willen delen? Bent u bereid hierover in gesprek te gaan met autofabrikanten?

Antwoord 7

Privacy is een belangrijke publieke waarde, en er is voortdurend gesprek met de sector over «connected vehicles» en het veilig benutten van deze technieken. In de AVG is vastgelegd dat burgers het recht hebben eerder gegeven toestemming voor verwerking van persoonsgegevens in te trekken. De AVG en de richtlijnen van de EDPB bieden hiervoor duidelijke kaders voor de autofabrikanten. Toezicht op de naleving van de AVG ligt bij eerdergenoemde instanties.

Vraag 8

Wat adviseert u autobestuurders bij de aankoop van een auto? Begrijpt u dat de Consumentenbond inmiddels haar leden waarschuwt voor de gevolgen van het delen van data aan autoproducenten?

Antwoord 8

De zorgplicht om autobestuurders goed te informeren ligt bij de autofabrikanten en dealers. Voor de consument moet deze informatie beschikbaar en begrijpelijk zijn. Eerdergenoemde handreiking kan helpen om het consumentenbewustzijn hieromtrent te verhogen. Deze zal digitaal beschikbaar komen en via nieuwsberichten worden verspreid.

Vraag 9

Bent u het met de vraagstellers eens dat het een onwenselijke situatie is dat consumentenorganisaties de consument moet waarschuwen voor de datahonger van autoproducenten? Zo nee, waarom niet?

Antwoord 9

Het zou niet nodig moeten zijn dat de consumenten op deze manier worden gewaarschuwd. Privacy en de bescherming omrent persoonsgegevens is uitermate belangrijk. De eerste zet is aan de fabrikant en dealers om invulling te geven aan de eis van transparantie ten aanzien van de verwerkingen die zij doen. Dat zou moeten leiden tot een duidelijk en transparant verhaal.

Mochten er uit de praktijk klachten en signalen komen dat dit in onvoldoende mate gebeurt dan volgt de aanpak van de betreffende toezichthouders.

De complexiteit van voertuigen zowel op datadiensten maar ook op rijhulpsystemen nemen toe. Naast het formele proces start het ministerie op korte termijn een verkenning om te komen tot betere consumenteninformatie over deze functies bij aanschaf van een nieuw of tweedehandsauto. Hierbij wordt samengewerkt met de sector die hierin een grote verantwoordelijkheid heeft.

Vraag 10

Klopt het dat (sommige) dealers bonussen krijgen om klanten over te halen om data te delen? In hoeverre is deze praktijk in overeenstemming met de leidraad «Bescherming online consument» van de Autoriteit Consument & Markt (ACM)? Zo niet, welke stappen neemt u om deze praktijk te stoppen?

Antwoord 10

Navraag bij de sector levert op dat merkorganisaties zgn. «dealerstandards» hanteren, ofwel een set afspraken als onderdeel van het dealercontract waar dealers zich aan hebben te houden als vertegenwoordigers van het merk. Doorgaans maakt ook een bonusstructuur deel uit van de afspraken, die overigens per merk kunnen verschillen. Belangrijke componenten in de bonusstructuur zijn de aantallen verkochte voertuigen in een tijdvak, klanttevredenheid en de wijze waarop de dealer invulling geeft aan de zogenaamde «dealerstandards».

Concrete aanwijzingen dat dealers, of medewerkers, specifiek bonussen krijgen om klanten over te halen hun data te delen is zowel de sector als de AP niet bekend. Op basis van de leidraad «Bescherming van de Online Consument» moeten bedrijven online duidelijk aangeven of en zo ja op welke manier verzamelde data leidt tot een bepaald aanbod voor de klant, zeker als dat aanbod gepersonaliseerd is. Gebeurt dat niet, dan kan dit een misleidende handelspraktijk zijn. Of dat zo is hangt af van de omstandigheden van het geval. Het is niet op voorhand duidelijk dat er in dit voorbeeld sprake is van een dergelijke handelspraktijk.

De AP stelt dat zowel een fabrikant als dealer die zich hieraan schuldig maken in strijd handelen met de AVG. In dat verband wijst de AP erop dat «datahandel» een speerpunt is in de strategie van de AP. Mocht de AP signalen ontvangen dan hebben deze bijzondere aandacht en kan dit leiden tot handhavend optreden.

Naar boven