Datatilsynets fokus på data i forbundne biler
Moderne, internetforbundne biler indsamler store mængder personoplysninger om førere og passagerer. Datatilsynet advarer om uklare samtykker, omfattende sporing og risiko for brug af data til blandt andet målrettet markedsføring. Efter GDPR skal behandlingen være lovlig, gennemsigtig og nødvendig i forhold til formålet.
Indsamlingen kan omfatte kørevaner, lokation, hastighed, biometriske parametre samt interaktioner via infotainment og tilknyttede apps. Samtykke skal være frivilligt, specifikt og informeret; afvisning må ikke fratage adgang til bilens basale funktioner. Brugere har krav på oplysning om, hvilke data der indsamles, hvem der modtager dem, og hvor længe de opbevares. Læs Datatilsynets vejledning via den officielle kilde: datatilsynet.dk.
Implikationer for offentlige myndigheder
Når kommuner og andre myndigheder anskaffer forbundne biler, udløser det forvaltnings- og databeskyttelsesretlige krav. Myndigheden er typisk dataansvarlig og skal sikre gyldigt behandlingsgrundlag, dataminimering, passende sikkerhedsforanstaltninger samt kontrol med eventuelle databehandlere og underdatabehandlere.
Særligt skal der fokuseres på tredjelandsoverførsler, leverandørers adgang til rå data og transparens over for borgere og medarbejdere. I mange tilfælde vil en konsekvensanalyse (DPIA) være påkrævet, fordi systematisk sporing og profilering kan indebære høj risiko.
Som minimum bør følgende kontroller gennemføres før indkøb og ibrugtagning:
- Udfør DPIA og kortlæg datastreams, herunder V2X, apps og supportadgang.
- Afklar roller og indgå nødvendige databehandleraftaler samt vurder underdatabehandlere.
- Vurder lovligt grundlag og nødvendighed pr. funktion; deaktiver ikke-nødvendige telematiske tjenester.
- Afdæk tredjelandsoverførsler og etabler passende garantier eller undlad overførsel.
Råd til private brugere
Gennemgå fabriksindstillinger, fravælg deling der ikke er nødvendig for drift, og hold software opdateret. Undersøg app-tilladelser, begræns lokations- og biometrisk indsamling, og nulstil konti ved salg eller udlån af bilen.
Bed forhandleren om klar information om datatyper, formål og modtagere. Brug retten til indsigt, sletning eller indsigelse, hvor det er relevant, så brugen af bilens data forbliver proportional og lovlig.
