Stel je voor: je zit in je auto onderweg naar je werk. De radio staat aan want het is een saaie rit over de snelweg. Je speelt je favoriete nummers af via een playlist van je telefoon, en dus neurie je lekker mee, terwijl het buiten miezert en de ruitenwissers hun werk doen. Als je optrekt om de wagen voor je in te halen, zie je op het scherm van je dashboard de eerste mailtjes van collega’s via je telefoon binnenkomen.

Je hebt het misschien niet door, maar je bent niet alleen tijdens je rit. Terwijl jij achter het stuur zit, kunnen verzekeraars, gemeenten, opsporingsinstanties en marketingbedrijven stiekem over je schouder meekijken. Je auto heeft namelijk je precieze locatie bijgehouden, je rijstijl gemeten en mogelijk zelfs je hartslag bewaard en al die informatie via een mobiel netwerk naar de autofabrikant doorgestuurd.

'Een auto weet ontzettend veel'

Auto’s zijn smartphones op wielen geworden. En autofabrikanten het nieuwe Google of Facebook. Via honderden sensoren, verstopt in de auto, houden ze alles over je bij. En al die data wordt vanuit de auto met gigabytes tegelijk naar de fabrikant gestuurd en vervolgens voor nog geen twee euro per maand verkocht.

"Een auto produceert 25 gigabyte aan informatie per uur", vertelt Gerard van de Meent van Wizzcar, een consultancybedrijf in de auto-industrie. "En dan vraag je mij, wat weet een auto over de bestuurder? Nou ontzettend veel. Wie je bent, wie je vrienden zijn, wie je familie is. Als je je telefoon synchroniseert leest de auto ook je e-mails en tekstberichten. Een auto heeft gordelspanners waarmee je gewicht wordt geregistreerd. Hij kent je dagelijkse patronen, bij welke restaurants je stopt, hoe hard je rijdt. Maar ook of je vermoeid raakt. In sommige auto’s zitten bijvoorbeeld camera’s die kunnen zien hoe vaak je met je ogen knippert."

Slimme auto’s

Verwacht wordt dat in 2023 bijna alle nieuw verkochte auto’s in de Europese Unie 'connected' zijn, oftewel met een mobiele internetverbinding verbonden met de fabrikant. Wat de fabrikanten precies met de data doen, zijn ze niet heel duidelijk over. Net als bij alle smart-producten (zoals slimme lampen en televisies) wordt bij de verkoop de nadruk vooral op gebruiksgemak gelegd. Ontzettend handig natuurlijk dat je je telefoon op de auto kunt aansluiten en vanaf je dashboard Spotify kunt bedienen, of via een app op je telefoon je route naar de auto kunt sturen voor je vertrekt. En heel fijn dat je ook altijd zo kunt controleren wat de staat van je auto is. Maar waar het autofabrikanten werkelijk om gaat, is de data die ze op die manier verzamelen.

Data is namelijk de nieuwe olie voor de auto-industrie. Een studie van bedrijfsconsultant McKinsey uit 2016 naar de verkoop van autodata schat dat de fabrikanten er in 2030 zo'n 450 tot 750 miljard dollar mee zullen verdienen. Adviesbureau Accenture voorspelt zelfs dat de inkomsten uit autodata in 2050 de inkomsten uit verkoop en onderhoud van auto’s zullen overtreffen.

Data

Zoals gezegd worden via de sensoren in je auto alle technische gegevens over de wagen bijgehouden; van de bandenspanning tot je snelheid en positie. Het infotainmentsysteem houdt bij naar welke muziek je luistert of welke bestemming je hebt ingevoerd, maar haalt ook meteen gegevens van je telefoon en smartwatch zodra je die via usb of bluetooth op de auto aansluit. Je lijst met contacten, foto’s, sms'jes, bellijst en e-mails worden ook naar de harde schijf in de wagen gekopieerd. Download je de app van de fabrikant, en stem je – waarschijnlijk zonder het te lezen – in met de voorwaarden, dan geef je de fabrikant ook toegang tot bijvoorbeeld je adresgegevens, agenda-afspraken, navigatie en berichten. En je geeft de fabrikant zo ook toestemming om je live te volgen.

De autofabrikanten doen geheimzinnig over welke gegevens ze precies opslaan en doorverkopen. De privacyvoorwaarden staan vaak vol etcetera’s, enzovoorts en algemene termen. Zo schrijft Renault dat het gegevens deelt met 'potentiële kopers of investeerders'. En heeft BMW het over 'derden' waarmee verzamelde gegevens kunnen worden gedeeld. Maar wie die derden of kopers zijn, wordt niet duidelijk. Terwijl volgens de richtlijnen van de Autoriteit Persoonsgegevens (AP) gebruikers in de voorwaarden moeten kunnen terugvinden welke data naar welk bedrijf gaat en waarom.

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heeft iedereen het recht om in te zien welke gegevens een bedrijf over je heeft verzameld. Maar als we van twee auto’s bij de fabrikanten zelf opvragen welke informatie de wagens precies over ons hebben opgeslagen en doorgestuurd, worden we niet veel wijzer.

Citroën wil van ons weten waarom we de gegevens willen inzien, om vervolgens aan te geven dat ze geen persoonlijke gegevens hebben opgeslagen (hoewel de auto zelf aangeeft "gegevens en voertuigpositie" te delen). Mercedes-Benz stuurt ons lange brieven in het Engels en Duits met de vraag of we meer informatie willen sturen, om na veel correspondentie vervolgens te melden dat de connected dienst Mercedes Me niet onder Mercedes-Benz Cars Nederland B.V. valt, maar onder Mercedes-Benz AG. En dat we ons inzageverzoek naar het laatste bedrijf moeten sturen. Kortom, we worden van het kastje naar de muur gestuurd. En wat er met onze data gebeurt, blijft een raadsel.

Maar er zijn manieren om er wél achter te komen welke gegevens auto’s precies bijhouden en doorsturen.

Verkopers

De eerste is kijken bij de verkopers. Autofabrikanten gebruiken online platforms als Otonomo, Caruso, Smartcar en High Mobility om de data (soms live) door te verkopen aan bijvoorbeeld overheden, verzekeringsmaatschappijen, marketingbedrijven en andere ondernemingen. Een verzekeringsbedrijf kan met de data bijvoorbeeld zien of je wel netjes rijdt, en daar je polis op aanpassen. Adverteerders gebruiken de gegevens om te zien welke winkels of restaurants je bezoekt, zodat ze je persoonlijke advertenties kunnen toesturen.

De online platforms ontvangen de data van autofabrikanten als BMW, Mini, Mercedes-Benz, Audi, Ford en Volkswagen, maar ook van verhuurbedrijf Avis. Het is een miljoenenindustrie die razendsnel groeit. Het in 2018 opgerichte Israëlische bedrijf Otonomo haalde onlangs nog 82 miljoen dollar binnen van investeerders. "We verzamelen nu 4,1 miljard datapunten per dag, van meer dan 20 miljoen auto’s (wereldwijd, red.)", aldus het bedrijf.

De eigenaar van de auto moet de online platforms wel eerst toestemming geven om de data te verzamelen. Vaak gebeurt dat door de gebruiker een verleidelijke worst voor te houden en hem of haar vervolgens de gebruiksvoorwaarden voor te schotelen. "Als ik je diensten aanbied die voordelig voor je zijn, deel je waarschijnlijk graag je gegevens", legt Ben Volkow, CEO van Otonomo, in een interview uit. "We proberen toegang te krijgen door de klant een voordeel te geven, bijvoorbeeld door een dienst drie maanden gratis aan te bieden. Wanneer er eenmaal op 'ja' is geklikt, kan de data steeds weer opnieuw worden verkocht."

Autofabrikanten kunnen je bijvoorbeeld korting geven op de leasekosten, als jij instemt met het delen van data. Of, zoals bijvoorbeeld Mercedes doet, je verleiden met nieuwe features voor je auto. Wil je gemakkelijk je auto terug kunnen vinden op een parkeerplaats? Dat kan via de Mercedes Me app voor 38 euro per jaar. Heb je de app geïnstalleerd en op 'ja' geklikt, dan geef je Mercedes toestemming om je data te verzamelen en verkopen. Diezelfde data wordt vervolgens gebruikt om jou de parkeerhulp aan te bieden. Je betaalt dus dubbel voor de nieuwe feature, met euro’s en met je privacy.

Data op straatniveau

Bedrijven die geïnteresseerd zijn in de data, zoals verzekeringsmaatschappijen en marketingbedrijven, kunnen simpelweg op een kaart een gebied selecteren - van complete landen tot op straatniveau - en aangeven welke gegevens ze over een bepaalde periode willen kopen. De platforms leveren vervolgens de gegevens voor een paar euro meteen aan (zie hier een voorbeeld).

Bij de online platforms komen we lange lijsten tegen van de informatie die wordt verkocht. Vaak gaat het daarbij om gegevens over de auto: hoeveel brandstof er is, of de binnenverlichting aan staat, wat de exacte locatie en bestemming van het voertuig is. Maar de platforms geven ook aan dat ze de alertheid van een bestuurder of diens hartslag kunnen registreren en verkopen.

Volgens de platforms gaat het om geanonimiseerde gegevens, die alleen verzameld worden als de eigenaar daar uitdrukkelijk toestemming voor heeft gegeven. Maar bij de verkoop van auto’s wordt daar niet of nauwelijks over gesproken. En in de privacyvoorwaarden wordt slechts beperkt aangegeven om welke data het gaat. Daarnaast is uit de verkochte locatiegegevens veel af te leiden: bijvoorbeeld waar de eigenaar woont en werkt, zijn dagelijkse routine. Maar ook waar hij of zij sport, uit eten gaat of tijdens vakanties verblijft.

Tweedehands

Om zelf te testen welke data auto’s opslaan, kochten we een tweedehands schadeauto waarvan het accupakket miste maar de elektronica nog functioneerde. In het infotainmentsysteem vonden we met een paar drukken op de knop een aantal gebruikersprofielen in de auto met informatie over drie telefoons en de namen van twee eerdere bestuurders: Vianney en Maxime.

Ondanks verwoede pogingen lukte het ons niet te achterhalen welke data door het infotainmentsysteem was verzameld en doorgestuurd. Maar de Duitse autoclub ADAC lukte het na maanden sleutelen wel. De Duitsers namen vier wagens onder handen en ontdekten dat alle auto’s informatie over de GPS-positie en technische informatie (zoals de kilometerstand) naar de fabrikant stuurden.

De ZOE van Renault stuurt bijvoorbeeld elke 30 minuten zo’n datapakket, waar ook het serienummer van de auto in zit. Een woordvoerder van de autofabrikant laat in een reactie weten dat Renault gegevens over de auto en het rijgedrag inderdaad verzamelt. Maar dat ook informatie uit aangesloten mobiele telefoons, zoals de muziek die je afspeelt, wordt geregistreerd. Bestuurders wordt wel eerst om toestemming gevraagd. "Dit gaat ofwel onboard of via een contractueel document voor de ingebruikname van een nieuwe auto."

Wil je de auto verkopen dan moet je er zelf aan denken om alle informatie te wissen. "Het is de verplichting van de klant om al zijn of haar persoonlijke data zelf te verwijderen uit het infotainmentsysteem." Dat mensen daar niet mee bezig zijn, bleek wel uit onze aankoop. De vraag is: wie is de eigenaar van die data?

En die vraag is nog niet gemakkelijk te beantwoorden, weten ze bij de ANWB. De autofabrikanten vinden dat de data hen toebehoort. Maar de bond is het daar niet mee eens. "Uitgangspunt voor ons is dat de autodata voor de eigenaar zou moeten zijn. Maar daar gaat nog veel mis en wetgeving loopt achter de feiten aan", reageert ANWB-woordvoerder Ad Vonk.

Monopolie

De bond is daarom samen met de FIA en andere Europese automobielclubs een campagne begonnen. Samen pleiten ze in Den Haag en Brussel voor regelgeving. "De ANWB vindt het belangrijk dat de privacy van automobilisten goed beschermd wordt", staat op de campagnesite. Maar de club heeft ook een eigen belang. Want als de autofabrikanten de data beheren, kunnen anderen er niet meer bij. "Dan creëer je een soort monopolie en een afhankelijkheidsrelatie. Onafhankelijke garages, of de ANWB, kunnen de auto dan niet meer uitlezen en repareren", zegt Vonk.

Op Europees niveau wordt er hard gestreden om de autodata. "Het is een enorme discussie, waar we niet uitkomen", zegt beleidsadviseur Marly de Blaeij van het Verbond van Verzekeraars. "De autofabrikant die zegt dat het allemaal zijn data is, dat vinden we een gek verhaal. We begrijpen best dat een autofabrikant behoefte heeft aan bepaalde data. Want het is in ons aller belang dat dingen ontwikkeld kunnen worden. Maar om dat voertuig te kunnen ontwikkelen heb je echt niet de data van die telefoon nodig, of waar ik rij en hoe ik rij en of ik mij aan de verkeersregels houd."

Mag een autofabrikant al die informatie zomaar verzamelen? Dat is de vraag zegt De Blaeij. "Wettelijk is er niets vastgelegd. Persoonlijke data is beschermd, maar er is nergens bepaald wat persoonlijke data is."

Dat onderschrijft datajurist en onderzoeker Wouter van Haaften (Leibniz Centre for Law). "In theorie is het helder: de gegevens over de auto, zoals de werking van de remmen, zijn eigendom van de fabrikant. Die data mag hij gebruiken en doorverkopen. Voor persoonlijke gegevens ligt dat anders, daar moet eerst toestemming voor worden gegeven", zegt hij. Maar in de praktijk is niet duidelijk wat precies persoonlijke data is. "Hoe hard je op de remmen trapt of door de bochten stuurt, de staat van de auto die jij nog wil doorverkopen: is die data van de eigenaar of de fabrikant? Daar bestaat allemaal nog veel onduidelijkheid over", zegt Van Haaften.

'Fabrikanten houden de deur dicht'

Samen met Tom van Engers van de Universiteit van Amsterdam deed Van Haaften onderzoek naar autodata. Er zijn op dat gebied nog veel juridische onzekerheden, concluderen de twee. "Fabrikanten houden de deur dicht, we weten niet precies wat ze verzamelen."

Om te kunnen controleren wat de fabrikanten aan informatie bijhouden zou de data eerst gestandaardiseerd moeten worden, zodat ook andere partijen de gegevens kunnen lezen, zeggen de onderzoekers. "Maar daar hebben ze geen zin in, want dan geven ze hun monopoliepositie weg. De politieke response is: we maken een nieuwe wet. Maar met alleen wetgeving kom je er niet. Er moet ook controle komen en handhaving."

Pak papier

Volgens de fabrikanten is alles goed geregeld. Consumenten kunnen zelf bepalen of ze de data willen delen of niet, reageren ze. Daarnaast besteden de automakers juist "bijzondere aandacht" aan het informeren van auto-eigenaren over de verwerking van data en wordt de privacy "uiterst serieus genomen", menen ze.

Er ligt wat dat betreft misschien ook een taak bij de consument: let op waar je toestemming voor geeft. "We drukken veel te makkelijk op 'ok' op zo'n scherm", zegt Carlo van de Weijer, hoogleraar smart mobility aan de Technische Universiteit Eindhoven. Achter het stuurwiel zijn we te naïef, vindt hij. "Zo'n auto weet gewoon alles van je, wat je doet, waar je werkt, waar je minnaar of minnares woont. Daar wordt wat mij betreft veel te makkelijk overheen gestapt."

Desondanks kun je niet te veel verwachten van consumenten, denkt Van de Weijer. "Als je bij de dealer zit en je krijgt een pak papier voor je neus, dan teken je gewoon. Ik ben nog vrij goed ingelezen op het onderwerp, maar zelfs ik lees die privacyvoorwaarden niet. En als je het wel leest, kun je het niet begrijpen, zo juridisch dichtgetimmerd zit het."

Volgen

Bijna 80 procent van de eigenaren van een 'connected' auto zegt niet te weten welke data fabrikanten verzamelen en wat ze ermee doen. En dat bewustzijn moet omhoog, meent de Autoriteit Persoonsgegevens.

"Veel mensen weten niet dat de autofabrikant je continu kan volgen", zegt woordvoerder Quinten Snijders. "Als je de keus hebt, zou jij er dan mee akkoord gaan dat wordt bijgehouden dat je naar een verslavingskliniek gaat of een ziekenhuis waar een bepaalde ziekte wordt behandeld? En dat de fabrikant het feit dat jij parkeert bij een IVF-kliniek doorverkoopt aan een drogist? Handig voor de marketing van die drogist. Maar wil je dat?"

Eigenlijk zouden autofabrikanten transparant moeten zijn en je bij de aankoop van een auto meteen op een laagdrempelige manier duidelijk moeten maken welke data ze verzamelen, vindt Snijders. "De fabrikant moet jou vragen: vind jij het goed als wij jou de hele dag volgen? En de informatie over de plekken die jij bezoekt doorverkopen?"

Maar in werkelijkheid zijn de autofabrikanten niet zo helder en dus moeten consumenten vooral zelf goed opletten als ze een moderne auto kopen of huren, adviseert de Autoriteit Persoonsgegevens (zie kader). Wees je kortom bewust van welke gegevens een auto allemaal opslaat en wat de autofabrikant daarmee doet.

En wil je je daar niet mee bezighouden, dan is er voorlopig nog één andere mogelijkheid: koop een oudere wagen zonder infotainment- of noodoproepsysteem.

Dit artikel is in samenwerking met onderzoeksplatform Investico en kwam tot stand met steun van het Fonds Bijzondere Journalistieke Projecten, fondsbjp.nl . Met dank aan Sijmen Ruwhof en Fox-it.