Datalekken en EV-diefstal: privacy en aansprakelijkheid

Datalekken in elektrische auto's kunnen leiden tot diefstal doordat criminelen toegang krijgen tot locatiegegevens of startsystemen. De AVG verplicht fabrikanten om datalekken te melden en passende beveiliging te treffen.

Hoe een datalek diefstal mogelijk maakt

Connected cars verzamelen continu data: locatie, gebruikersprofielen, zelfs toegangscodes. Een datalek bij een fabrikant of een zwakke API kan ervoor zorgen dat een aanvaller het voertuig kan lokaliseren en op afstand ontgrendelen. In 2023 bleek uit onderzoek dat bij sommige modellen via eenvoudige trucs met het infotainmentsysteem een 'virtuele sleutel' kon worden aangemaakt.

Niet alleen fabrikanten zijn kwetsbaar; ook apps van derden die aan de auto zijn gekoppeld, kunnen een toegangspoort vormen. Eigenaren die hun inloggegevens delen met een slimme laadpas-app lopen extra risico.

AVG-verplichtingen voor fabrikanten en leveranciers

Onder de Algemene Verordening Gegevensbescherming (AVG) zijn autofabrikanten verwerkingsverantwoordelijken voor de persoonsgegevens in hun voertuigen. Zij moeten 'passende technische en organisatorische maatregelen' nemen om diefstal van data te voorkomen. Bij een datalek dat risico's voor de rechten en vrijheden van personen inhoudt, moeten zij dit binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

Als het datalek leidt tot diefstal van de auto, kan de eigenaar de fabrikant aansprakelijk stellen op grond van de AVG. De eigenaar moet dan wel aantonen dat de beveiliging niet voldeed aan de stand van de techniek. In de praktijk ligt die bewijslast lastig, maar er zijn rechtszaken geweest waarin een tegemoetkoming werd toegekend.

Aansprakelijkheid van de eigenaar

Ook eigenaren hebben verplichtingen. Zij moeten hun accounts en apps goed beveiligen met sterke wachtwoorden en tweestapsverificatie. Als een dief via een gedeeld account toegang krijgt, kan de verzekeraar dekking weigeren wegens grove nalatigheid.

Veelgestelde vragen

Moet ik een datalek bij mijn auto melden bij de Autoriteit Persoonsgegevens?

In de meeste gevallen niet. De fabrikant is verantwoordelijk voor het melden. Als je zelf een app gebruikt en die wordt gehackt, ligt de verantwoordelijkheid bij de app-aanbieder.

Kan ik mijn EV terugkrijgen als deze via een datalek is gestolen?

Als de auto is teruggevonden, wel. De kans is groter als je een trackingsysteem hebt. Civielrechtelijk kun je schade verhalen op de partij die het datalek veroorzaakte.

Zijn verzekeraars op de hoogte van datalekken?

Verzekeraars kunnen bij schade navragen of er sprake is geweest van een datalek. Het is verplicht om dit te melden, anders kan de uitkering worden verminderd.