Personvernet i den tilkoblede bilen: – Må bli enklere å forstå, sier Datatilsynet

Dette er den femte og siste saken i Digi.nos serie om den tilkoblede bilen og personvern. Her har vi intervjuet Atle Årnes, fagdirektør på teknologi i Datatilsynet, som er Norges offisielle tilsyns- og ombudsmyndighet når det gjelder personvern og bruk av våre personlige opplysninger.

Vi starter med å spørre Årnes om hvorfor personvern et viktig tema når det gjelder moderne, tilkoblede biler.

– Det skjer en omfattende innsamling av personopplysningene våre når vi nå benytter nyere biler. Én ting er kommunikasjon og dermed identifisering mot internett, men vi må huske at det nå også etableres løsninger for kommunikasjon med veikant og kommunikasjon mellom biler. I tillegg kommer selvfølgelig uthenting av personopplysninger i forbindelse med verkstedbesøk. Alt dette og mer til må brukeren av bilen vite og være sikker på slik at ikke personopplysningene misbrukes, innleder Årnes.

Viktigheten av innebygd personvern

– I sommerutgaven 2022 av medlemsbladet Motor tar NAF opp tematikken knyttet til «bilen som datamaskin». Hva tenker dere generelt om denne utviklingen?

– Vi må ikke miste kontrollen eller overlate kontrollen til bilfabrikantene. Vi skal selv ha kontrollen. Noen få løsninger er pålagt via offentlige regelverk (eCall). Annen innhenting og behandling av personopplysninger er ikke pålagt og krever dermed et annet behandlingsgrunnlag, som for eksempel samtykke. Dette betyr at innhentingen av personopplysningene skal være frivillig, sier Årnes

– Vi ser at bilkundene blir tilbudt løsninger som ikke er basert på samtykke. Løsningene legger heller ikke opp til mulighet til å velge bort behandlingen av personopplysningene. Et viktig punkt i den europeiske personvernforordningen (GDPR) fra 2018 er innebygd personvern. Vi ser at bilfabrikantene generelt sett skulle ha lagt mer til rette for personvern i løsningene sine. Når nå bilfabrikantene legger opp til utvidet bruk av tredjepartsleverandører for programvare som i tillegg har egne interesser i behandlingen av personopplysninger, blir dette en veldig stor utfordring. Det er bilfabrikantene selv som skal påse at de følger europeisk personvernregelverk når de selger biler i Europa.

Ikke mulig å skru av sporing?

– Vil det kunne medføre et samfunn hvor vi i enda større grad gir fra oss data om oss selv og våre bevegelser? Og hvorfor er dette uheldig?

– Det er viktig at man kan ferdes uten at man blir sporet, dette er en menneskerettighet. Det er veldig mange løsninger som sporer folk i dag. Den mest åpenbare er mobiltelefonen. Så lenge mobilen er på, vil man kunne bli sporet av mange aktører, alt ettersom hvilken tjeneste man bruker eller om mobilen er på eller av. Når det gjelder biler, legger noen biler opp til at det samles inn kontinuerlig med lokasjonsdata og andre personopplysninger uten at det er mulig å skru av som på en mobiltelefon. Når det så bringes inn nye tredjeparter for programvare i bilene, vil man ytterligere miste kontrollen over behandlingen av personopplysningen. Man aner ikke lenger hvem som får tilgang til personopplysningene og hva de brukes til, svarer Årnes.

I tidligere artikler i denne serien har vi vist til personvernundersøkelsen Federation Internationale de l'Automobile (FIA) publiserte i fjor. Årnes mener undersøkelsen bekrefter tidligere signaler.

– Resultatene viser det samme som vi så, da vi gjennomførte tilsyn med tre store bilfabrikanter og verksteder for noen år siden. Riktignok ble tilsynene utført etter det personvernregelverket som gjaldt før 2018. Også den gang ble det gitt alt for lite informasjon om hvilke personopplysninger som ble samlet inn og hva formålet var. Det fremsto også som uklart om opplysningene var å anse som personopplysninger. Vi anser at veldig mange opplysninger som behandles, blir personopplysninger siden opplysningene kan kobles til enkeltpersoner. Også den gang ble det i stor grad ikke lagt opp til samtykkebasert og frivillig innsamling, slår Årnes fast.

– Hva bør gjøres konkret for å bedre forholdene og gjøre det enklere for oss forbrukere å finne fram til god informasjon når vi skal kjøpe bil?

– Behandlingen av personopplysningene må frem i lyset. Informasjonen må være klar, forståelig og ærlig. Vi ser ofte at det ikke gis klar informasjon om behandlingen av personopplysninger.

Må kunne velge hvilke løsninger de ønsker

Hvilket ansvar mener dere markedet – produsentene og leverandørene – selv har?

– Markedet har et viktig ansvar for at personvern blir bygget inn i løsningene. Det er avgjørende viktig at det legges opp til at kunden selv frivillig velger hvilke løsninger denne ønsker. I tillegg skal det like lett være mulig å velge bort løsningene igjen gjennom å trekke samtykket. Velger man ikke å samtykke til en løsning hvor personopplysninger behandles, skal markedet legge til rette for at dette ikke vil medføre avgjørende ulemper eller tap av funksjonalitet. Her snakker vi igjen om at det må etableres innebygd personvern, sier Årnes.

Bilprodusentene og -leverandørene vi har vært i kontakt med i forbindelse med denne artikkelserien oppgir at de gjerne deler inn personvernopplysninger som samles inn, i to kategorier: Juridisk pålagte opplysninger, og de som samles inn ved hjelp av samtykke. Førstnevnte er altså opplysninger som de må samle inn etter pålegg fra myndigheter. Den andre kategorien er tidvis veldig stor.

En jungel av ulike datatyper

– Kan du forklare forskjellene på disse typene av data? Og hvor viktig er det at forbrukere forstår hva de samtykker i, der det er tilfellet?

– Juridisk pålagte opplysninger er hjemlet i regelverk. Det er avgjørende viktig at det vises til hvilket konkret regelverk. Det holder ikke bare å slenge ut at det er juridisk pålagt, sier Årnes.

Han nevner eCall ,som ble påbudt i alle biler fra 2018, som et eksempel.

– eCall-forordningen er tatt inn i EØS-avtalen og er regulert i forskrift. Regelverket legger opp til minimum bruk av data. Om man ønsker å behandle mer data enn det som regelverket legger opp til, er dette frivillig og må baseres på samtykke fra den registrerte. For eCall vil dette si at det er samtykkebasert og frivillig dersom det benyttes løsninger som behandler mer enn minstesettet med data. Dette standardiserte minstesettet med data er kjøretøyets posisjon, retning, med videre. De opplysningene som ikke er juridisk pålagte, men som dermed er samtykkebaserte, må faktisk være frivillige. Det er viktig at kunden selv velger hvilke løsninger som den ønsker. Et samtykke er noe den enkelte først gir og selv senere kan trekke tilbake når det er ønskelig, understreker Årnes.

– Hva er det viktig at vi som forbrukere gjør når vi eksempelvis skal kjøpe en tilkoblet bil?

– Utgangspunktet er at det leveres en bil som kun behandler klart lovpålagte personopplysninger. Så kan kunden selv velge å samtykke til den ene løsningen etter den andre etter behov eller ønske. Å bli presentert for et ferdig konfigurert kjøretøy med henvisninger til flere nettsider, vil gjøre det unødvendig vanskelig for kunden. Veldig ofte blir det vist til at leverandører må ha mye informasjon for å bedre produktet og ivareta sikkerhet, men også slik behandling av personopplysninger er frivillig dersom ikke det kan vises til korrekt hjemmel, forklarer Årnes.

Må bli enklere å forstå

– Kan vi forvente at den jevne forbruker selv skal kunne finne fram til slike opplysninger som ligger spredt på ulike sider, og som ofte inneholder begreper som kanskje er ukjent for mange?

– Nei, det kan vi ikke forvente, selv om personvernforordningen krever at slik informasjon skal være i en forståelig og lett tilgjengelig form og på et klart og enkelt språk. Mange aktører er uklare i sin personverninformasjon, sier Årnes med et aldri så lite hjertesukk.

– Er det tiltak det er viktig at myndighetene i Norge gjennomfører, slik at det blir enklere for oss forbrukere å forstå hva vi samtykker i?

– Datatilsynet utarbeidet sammen med Norges bilbransjeforbund en bransjestandard som ble godkjent av Datatilsynet i januar 2017. Den omfattet informasjon om behandling av personopplysninger samlet inn gjennom bilens systemer. Vi ønsket at den fulgte med ved salg av biler. Bruken av bransjestandarden stoppet opp. Den kunne gi et tydeligere bilde av behandlingen av personopplysninger. Det ble blant annet stilt spørsmål som måtte besvares om bilens navigasjonssystem og om opplysningene ble lagret og eventuelt videresendt til tredjeparter. Det ble videre stilt spørsmål om oppkobling og sporing og eventuelle tredjeparter. Det samme når det gjaldt kjøremønster og trafikksikkerhetssystemer. Denne typen klargjørende informasjon ville kunne vært nyttig, mener Årnes.

– Regelverket for behandling av personopplysninger fra 2018 og personvernforordningen GDPR setter klare krav som markedet må følge. Jeg tenker da spesielt på kravene til behandlingens lovlighet, vilkår for samtykke og innebygd personvern. Vi i Datatilsynet i Norge samarbeider med de andre Datatilsynene i Europa. Vi har lagde en veileder for tilkoblede biler – Retningslinjer 1/2020 om behandling av personopplysninger – i forbindelse med oppkoblede kjøretøyer og mobilitetsrelatert bruk. Veilederen gir god informasjon om dataminimering og konkrete caser som eCall, avslutter Årnes.