Duitsland wil geheime diensten toegang geven tot je autodata: zo zit dat bij de AIVD in Nederland

Waar je rijdt, hoe hard je rijdt en hoeveel kilometers je hebt afgelegd. Moderne auto's kunnen een flinke hoeveelheid gegevens genereren. Een deel daarvan blijft uitsluitend in de auto, maar bij connected cars kunnen bepaalde gegevens ook bij de fabrikant of een andere dienstverlener terechtkomen.

Precies die informatie is nu onderwerp van discussie in Duitsland. Bij de hervorming van de Duitse inlichtingendiensten ligt een bepaling op tafel waarmee autofabrikanten en zelfs garages verplicht kunnen worden bepaalde voertuiggegevens af te staan. Dat betekent overigens niet dat de BND straks onbeperkt en live in iedere Duitse auto kan meekijken.

De vraag ligt daardoor ook voor Nederland voor de hand. Want als Duitsland zulke informatie interessant genoeg vindt voor zijn geheime diensten, wat kan de AIVD hier eigenlijk al?

Duitsland kijkt nadrukkelijk naar telemetriedata uit auto's

Duitsland werkt aan een omvangrijke hervorming van de regels voor onder meer de buitenlandse inlichtingendienst BND en het binnenlandse Bundesamt für Verfassungsschutz. Het Duitse kabinet heeft de bredere hervorming inmiddels goedgekeurd, maar het parlement moet er nog mee instemmen.

In de ontwerptekst waarop de Duitse autobranche deze zomer reageerde, worden autofabrikanten en garages expliciet genoemd. Zij zouden verplicht kunnen worden informatie te verstrekken over bepaalde voertuiggegevens.

Het sleutelwoord daarbij is telemetriedata. Wat daar precies onder moet vallen, is nog een belangrijk discussiepunt. De Duitse brancheorganisatie voor autobedrijven vraagt de overheid bijvoorbeeld om veel duidelijker vast te leggen welke gegevens een garage daadwerkelijk moet kunnen verstrekken.

Dat is belangrijk, want het voorstel betekent niet automatisch dat iedere camera, microfoon of sensor in een auto rechtstreeks toegankelijk wordt voor een geheime dienst. Het gaat om gegevens die bij de partij waaraan het verzoek wordt gericht daadwerkelijk beschikbaar zijn en binnen de wettelijke definitie vallen.

Ook vanuit de Duitse auto-industrie klinkt daarom kritiek. Autofabrikanten willen onder meer voorkomen dat de nieuwe regels leiden tot extra bewaarplichten voor gegevens die ze anders helemaal niet zouden opslaan.

Een moderne auto kan verrassend veel gegevens genereren

Welke informatie er überhaupt beschikbaar kan zijn, verschilt sterk per auto, merk en gebruikte online diensten. Europese richtlijnen rond voertuigdata noemen onder andere snelheid, kilometerstand, brandstof- of energieverbruik, batterijniveau, bandenspanning en op GPS gebaseerde locatiegegevens.

Ook ritinformatie, zoals het tijdstip waarop een auto wordt gebruikt, kan als voertuigdata bestaan. Daarnaast beschikken moderne auto's steeds vaker over camera's, microfoons en andere sensoren. Dat betekent alleen niet dat al die informatie automatisch wordt opgeslagen of naar de fabrikant wordt gestuurd.

Dat onderscheid is belangrijk. Een interieurcamera die de bestuurder in de gaten houdt werkt bijvoorbeeld anders dan een verbonden navigatiedienst die locatiegegevens naar een server stuurt.

Bekijk ook

Nieuwe auto’s moeten je vanaf juli in de gaten houden met een interieurcamera, maar hoe zit het met je privacy? | Autobahn

Hetzelfde geldt voor de zwarte doos in moderne auto's. De Event Data Recorder bewaart een kleine hoeveelheid gegevens rond een ongeval lokaal in de auto. Die informatie wordt niet automatisch via een internetverbinding naar een fabrikant gestuurd. Je kunt dus niet alle vormen van 'autodata' op één hoop gooien.

De AIVD mag nu al bij derden om gegevens vragen

Nederland heeft geen aparte bepaling die zegt dat autofabrikanten of garages hun telemetriedata verplicht aan de AIVD moeten geven. Toch begint de Nederlandse situatie niet bij nul.

Artikel 39 van de Wet op de inlichtingen- en veiligheidsdiensten 2017 geeft de AIVD en MIVD een brede mogelijkheid om informatie te verzamelen. De diensten mogen bestuursorganen, ambtenaren en in principe iedereen benaderen die de benodigde informatie zou kunnen verstrekken.

Die formulering is breed genoeg om ook een bedrijf met relevante gegevens te kunnen benaderen. Een informant kan de dienst bovendien geautomatiseerde toegang geven tot gegevens waarover hij beschikt.

Daar zit alleen een belangrijk verschil met het Duitse voorstel. Zo'n verzoek onder artikel 39 is niet automatisch hetzelfde als een wettelijke verplichting om de informatie af te staan.

Dat verschil zie je duidelijk bij telecombedrijven. Voor aanbieders van communicatiediensten bevat de Nederlandse wet aparte bepalingen waarmee de AIVD en MIVD gegevens kunnen vorderen. Zo'n aanbieder is dan daadwerkelijk verplicht om mee te werken en het weigeren van die medewerking kan strafbaar zijn.

Voor autofabrikanten en garages bestaat voor voertuigtelemetrie momenteel geen vergelijkbare, specifiek benoemde verplichting.

Dat betekent niet dat de AIVD nooit bij digitale gegevens kan komen

De Wiv kent ook zwaardere bevoegdheden. De AIVD mag onder voorwaarden bijvoorbeeld een digitaal apparaat of computersysteem hacken.

Daarvoor gelden veel strengere eisen dan voor het simpelweg vragen om bestaande informatie. Hacken mag alleen als het voor een onderzoek noodzakelijk is. Er is toestemming van de minister nodig en vervolgens moet de onafhankelijke Toetsingscommissie Inzet Bevoegdheden instemmen.

Dat betekent dus niet dat de AIVD zonder meer in een verbonden auto mag inbreken om te kijken waar iemand rijdt. De bevoegdheid bestaat, maar het gebruik ervan moet aan wettelijke voorwaarden voldoen en wordt voor een concreet onderzoek getoetst.

Ook daarom is de Duitse discussie interessant. Een wettelijke afgifteplicht voor voertuigdata zou een veel directere route creëren: de geheime dienst hoeft de auto dan niet zelf technisch binnen te dringen als een fabrikant de relevante gegevens al bezit en wettelijk verplicht is die te verstrekken.

Nederland gaat zijn inlichtingenwet opnieuw aanpassen

Daarmee is het verhaal voor Nederland nog niet afgelopen. Het huidige kabinet heeft aangekondigd versneld met een nieuwe en versterkte Wiv te komen.

Opvallend is vooral dat die nieuwe wet techniekneutraal moet worden. Het kabinet wil voorkomen dat nieuwe technologie de AIVD en MIVD juridisch op achterstand zet. Ook wil het meer gebruik kunnen maken van gegevens van private organisaties om dreigingen in kaart te brengen.

Dat maakt voertuigdata als onderwerp relevant. Auto's veranderen steeds verder in verbonden computers en daarmee groeit ook de hoeveelheid informatie die rond een auto beschikbaar kan zijn.

Maar op dit moment gaat één conclusie te ver: er is geen publiek Nederlands voorstel gevonden waarin autofabrikanten en garages, zoals in Duitsland wordt besproken, specifiek worden verplicht telemetriedata aan de AIVD of MIVD te leveren.

De situatie is dus subtieler. De AIVD kan nu al bij derden aankloppen voor gegevens en beschikt voor bepaalde categorieën en onder strikte voorwaarden over verdergaande bevoegdheden. Duitsland wil met de nieuwe wet voor voertuigdata een explicietere afgifteroute creëren.

Of Nederland zo'n bepaling uiteindelijk ook in zijn nieuwe Wiv stopt, is nog onbekend. Voorlopig is het Duitse voorstel daarmee vooral een voorproefje van een discussie die door steeds slimmer en beter verbonden auto's ook hier kan ontstaan.

Bekijk ook

Inlichtingendiensten slaan alarm over privacy: je nieuwe auto luistert actief mee | Autobahn