Uppkopplade bilar blir allt vanligare vilket innebär en allt mer omfattande behandling av data, inte bara om bilarna utan även om förare och passagerare. En populär funktion som tillhandahålls av flera tillverkare är ett stöldskydd som tillåter en ägare att hitta sin stulna bil genom lokaliseringsuppgifter. Denna artikel analyserar några dataskyddsfrågor som tillverkare behöver tänka på vid tillhandahållandet av en sådan funktion.
Utgångspunkten är biltillverkaren tillhandahåller bilägaren eller annan behörig person en funktion för stöldskydd för bilen. Funktionen gör det möjligt för bilägaren att hitta sin stulna bil genom att få information om den geografiska platsen där bilen befinner sig eller har befunnit sig under den senaste tiden. Användningen av dessa lokaliseringsuppgifter ska vara begränsad till det som är absolut nödvändigt för att utreda stölden av tillverkaren, bilägaren och myndigheter.
Lokaliseringsuppgifter utgör personuppgifter i dataskyddsförordningens (GDPR) mening. De besökta platserna avslöjar inte bara information om vart föraren befinner sig utan även levnadsvanor och, i vissa fall, känsliga personuppgifter eller även brottsuppgifter. För att kunna behandla lokaliseringsuppgifter i samband med stöldskyddet krävs således att det finns en tillämplig rättslig grund för behandling av personuppgifter i enlighet med artikel 6.1 GDPR.
En möjlig rättslig grund för behandlingen av lokaliseringsuppgifterna kan vara förarens samtycke. För att samtycket ska var giltigt måste det dock uppfylla särskilda krav som bland annat att det ska vara frivilligt, specifikt och informerat. Vidare måste samtycket lämnas genom en aktiv handling från föraren, till exempel genom att föraren kryssar en ruta som inte är förkryssad. Att samtycket ska vara frivilligt innebär att föraren ska ha en möjlighet att när som helst återkalla samtycket, något som föraren också måste informeras om.
Även om det är möjligt att uppfylla samtliga krav för att samtycket ska vara giltigt kvarstår problemet att föraren inte kan samtycka för passagerares räkning. En förare kan inte heller samtycka för alla andra förare som potentiellt kan komma att köra bilen.
En annan möjlig rättslig grund kan vara fullgörande av ett avtal. Men även denna rättsliga grund medför praktiska problem. Förutsättningen för att kunna använda den är att avtalet ingås mellan registrerad och personuppgiftsansvarig. Medan den personuppgiftsansvarige (tillverkaren) i många fall bör vara statisk (men inte nödvändigtvis behöver vara det) är den registrerade (ägare, förare och passagerare) vanligtvis dynamiska på så sätt att de ofta kan bytas ut på oförutserbara sätt. Bilens förare och ägare behöver inte vara samma person, och bilen kan köras av olika förare. Bilar transporterar också passagerare.
Som sista utväg kvarstår tillverkarens, den registrerades och tredje parts berättigade intressen som rättslig grund. Användningen av denna rättsliga grund förutsätter dels att det genomförs en intresseavvägning, dels att de registrerades (förare, ägare och passagerare) intressen inte väger tyngre än tillverkarens berättigade intressen. Att genomföra en intresseavvägning är ett större arbete och utfallet av en sådan bör inte föregripas av allmänna generaliseringar, utan intressena måste avvägas i det enskilda fallet med beaktande av alla relevanta omständigheter.
Därutöver krävs även en analys av frågan om det behandlas känsliga personuppgifter eller brottsuppgifter i samband med stöldskyddsfunktionen. I förekommande fall måste tillverkaren identifiera tillämpliga undantag från förbuden att behandla dessa kategorier av personuppgifter.
Analysen av den rättsliga grunden slutar inte här. En uppkopplad bil klassas som terminalutrustning enligt e-Privacy direktivet (direktiv 2002/58/EG, ändrad genom 2009/136/EG). Detta innebär att insamlingen av lokaliseringsuppgifter omfattas av artikel 5.3 i direktivet. Denna bestämmelse kräver ett samtycke för att få lagra information eller för att få tillgång till information som redan finns lagrad i någons terminalutrustning. Med information avses all information, inklusive men inte bara personuppgifter. Det finns emellertid undantag från direktivets samtyckeskrav. Ett möjligt sådant undantag kan vara att klassa stöldskyddet som en av informationssamhällets tjänster som uttryckligen begärs av användaren.
Det finns även andra dataskyddsfrågor att tänka på som bland annat åtgärder för uppgiftsminimering, lagringsminimering och information till de registrerade. Ett lämpligt verktyg för att utreda frågorna på ett strukturerat sätt är att genomföra en konsekvensbedömning avseende dataskydd.
Även om analysen är skriven för stöldskydd av uppkopplade bilar kan den med lätthet tillämpas på andra uppkopplade fordon som bussar, lastbilar, elcyckel och elscooter.