Connected car και προσωπικά δεδομένα: τι καταγράφει το αυτοκίνητο και τι μπορείτε πράγματι να ζητήσετε

Το σύγχρονο αυτοκίνητο δεν είναι μόνο ένα μηχανικό μέσο μετακίνησης. Μπορεί να επικοινωνεί με εφαρμογές, να στέλνει δεδομένα στον κατασκευαστή, να καταγράφει διαδρομές, βλάβες, τρόπο οδήγησης ή συμβάντα και να συνεργάζεται με ασφαλιστικές, συνεργεία και παρόχους υπηρεσιών. Το δύσκολο ερώτημα δεν είναι αν παράγονται δεδομένα, αλλά ποια δεδομένα υπάρχουν, ποιος τα λαμβάνει, με ποιον σκοπό και ποια από αυτά μπορείτε πράγματι να ζητήσετε.

Δεν υπάρχει ένας ενιαίος «φάκελος αυτοκινήτου» ούτε γενικός κανόνας ότι όλα τα δεδομένα ανήκουν στον οδηγό. Άλλο είναι ο ιδιοκτήτης ή ο μισθωτής του οχήματος, άλλο το πρόσωπο που αφορά μια πληροφορία, άλλο η εταιρεία που αποφασίζει γιατί και πώς θα χρησιμοποιηθεί. Η σωστή απάντηση προκύπτει από τον συνδυασμό της ευρωπαϊκής Πράξης για τα Δεδομένα, του GDPR, των κανόνων για τις ηλεκτρονικές επικοινωνίες και των συγκεκριμένων συμβάσεων.

1. Πού βρίσκονται τα δεδομένα ενός connected car

Οι πληροφορίες μπορεί να μένουν σε διαφορετικά σημεία και να έχουν διαφορετικό χρόνο διατήρησης. Ένα μέρος βρίσκεται μέσα στο όχημα, ένα άλλο στην εφαρμογή του κινητού και ένα τρίτο σε υποδομές του κατασκευαστή ή συνεργατών του. Για αυτό ένα αίτημα που στέλνεται μόνο στην αντιπροσωπεία δεν είναι βέβαιο ότι καλύπτει όλη την αλυσίδα.

1. Συστήματα του οχήματος: διαγνωστικοί κωδικοί, κατάσταση εξαρτημάτων, ενδείξεις συντήρησης, ρυθμίσεις, συνδεδεμένες συσκευές και, ανάλογα με το μοντέλο, τοπικό ιστορικό διαδρομών.
2. Λογαριασμός και εφαρμογή κατασκευαστή: θέση στάθμευσης, κλείδωμα, φόρτιση, προγραμματισμένες διαδρομές, ειδοποιήσεις και απομακρυσμένες εντολές.
3. Cloud τηλεματικής: τεχνική κατάσταση, κατανάλωση, συμβάντα ασφαλείας, επικοινωνία με υπηρεσίες οδικής βοήθειας και στοιχεία χρήσης.
4. Τρίτοι πάροχοι: ασφαλιστική με πρόγραμμα pay-how-you-drive, εταιρεία leasing ή ενοικίασης, συνεργείο, εφαρμογή φόρτισης, στόλος εργοδότη ή υπηρεσία πλοήγησης.
5. Κινητό τηλέφωνο: επαφές, ιστορικό κλήσεων, μηνύματα, φωνητικές εντολές και προορισμοί που μπορεί να έχουν συγχρονιστεί με το σύστημα πολυμέσων.

Η ύπαρξη αισθητήρα δεν σημαίνει ότι κάθε μέτρηση αποθηκεύεται ή αποστέλλεται. Ζητήστε το εγχειρίδιο απορρήτου του συγκεκριμένου μοντέλου, τις ρυθμίσεις της εφαρμογής και τον κατάλογο ενεργών υπηρεσιών. Το εμπορικό όνομα «connected» από μόνο του δεν απαντά τι πραγματικά συμβαίνει.

2. Ιδιοκτήτης, χρήστης και υποκείμενο δεδομένων δεν είναι το ίδιο

Η Πράξη για τα Δεδομένα, Κανονισμός (ΕΕ) 2023/2854, χρησιμοποιεί την έννοια του «χρήστη» συνδεδεμένου προϊόντος. Χρήστης μπορεί να είναι εκείνος που κατέχει το όχημα ή έχει προσωρινό συμβατικό δικαίωμα χρήσης του, όπως μισθωτής ή πελάτης ενοικίασης. Αυτό δεν σημαίνει ότι κάθε επιβάτης αποκτά αυτομάτως όλα τα δικαιώματα πρόσβασης.

Ο GDPR εξετάζει διαφορετικό ερώτημα: αν μια πληροφορία αφορά ταυτοποιημένο ή ταυτοποιήσιμο φυσικό πρόσωπο. Μια διαδρομή, ένα αναγνωριστικό οδηγού, μια συσχετισμένη συσκευή ή ένα προφίλ οδήγησης μπορεί να είναι προσωπικό δεδομένο, ακόμη και αν το όχημα ανήκει σε εταιρεία. Αντίστροφα, καθαρά τεχνικά δεδομένα χωρίς σύνδεση με πρόσωπο μπορεί να εμπίπτουν στην Πράξη για τα Δεδομένα χωρίς να είναι προσωπικά.

Υπεύθυνος επεξεργασίας είναι εκείνος που καθορίζει σκοπό και βασικά μέσα επεξεργασίας. Μπορεί να είναι ο κατασκευαστής για μία υπηρεσία, η ασφαλιστική για άλλη και ο εργοδότης για τη διαχείριση στόλου. Για κάθε σκοπό χρειάζεται ξεχωριστή χαρτογράφηση.

3. Τι δίνει στην πράξη η Data Act και από πότε

Η Πράξη για τα Δεδομένα εφαρμόζεται από τις 12 Σεπτεμβρίου 2025. Στόχος της είναι, μεταξύ άλλων, να μπορεί ο χρήστης ενός συνδεδεμένου προϊόντος να έχει πρόσβαση σε δεδομένα του προϊόντος και της σχετικής υπηρεσίας που είναι άμεσα διαθέσιμα στον κάτοχό τους, και υπό προϋποθέσεις να ζητά τη διαβίβασή τους σε τρίτο.

Η ειδική υποχρέωση σχεδιασμού ώστε τα δεδομένα να είναι άμεσα προσβάσιμα στον χρήστη εφαρμόζεται σε συνδεδεμένα προϊόντα και σχετικές υπηρεσίες που τίθενται στην αγορά μετά τις 12 Σεπτεμβρίου 2026. Δεν αποτελεί γενική υποχρέωση ανακατασκευής κάθε παλαιότερου οχήματος. Η καθοδήγηση της Ευρωπαϊκής Επιτροπής για τα δεδομένα οχημάτων βοηθά στην ερμηνεία, αλλά είναι μη δεσμευτική.

Το αίτημα πρέπει να προσδιορίζει το όχημα, τη σχέση του αιτούντος με αυτό, την περίοδο και τις κατηγορίες δεδομένων. Δεν αρκεί η φράση «δώστε μου ό,τι έχετε». Ο κάτοχος δεδομένων μπορεί να χρειάζεται να ελέγξει ταυτότητα, εξουσιοδότηση, δικαιώματα τρίτων, εμπορικά απόρρητα και τεχνική διαθεσιμότητα.

4. Πότε ενεργοποιείται ο GDPR και τι μπορείτε να ζητήσετε

Όταν τα δεδομένα συνδέονται με εσάς, μπορείτε να ασκήσετε δικαίωμα πρόσβασης σύμφωνα με το άρθρο 15 GDPR. Ζητάτε επιβεβαίωση της επεξεργασίας, αντίγραφο των προσωπικών δεδομένων και πληροφορίες για σκοπούς, κατηγορίες, αποδέκτες, χρόνο διατήρησης, πηγή και τυχόν αυτοματοποιημένη λήψη αποφάσεων. Η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα εξηγεί τη διαδικασία και τα όριά της.

Η απάντηση δίνεται κατ’ αρχήν μέσα σε έναν μήνα, με δυνατότητα παράτασης δύο επιπλέον μηνών όταν το αίτημα είναι πολύπλοκο ή πολυάριθμο, εφόσον ενημερωθείτε εγκαίρως. Η φορητότητα αφορά δεδομένα που δώσατε ή παράγονται από την παρατήρηση της χρήσης σας, όταν η επεξεργασία βασίζεται σε συγκατάθεση ή σύμβαση και γίνεται αυτοματοποιημένα. Δεν καλύπτει γενικά κάθε συμπέρασμα, βαθμολογία ή προφίλ που δημιούργησε η εταιρεία.

Η διαγραφή δεν είναι απόλυτη. Μπορεί να αποκλειστεί όταν υπάρχουν νόμιμες υποχρεώσεις, ανάγκη θεμελίωσης αξιώσεων, λόγοι ασφάλειας ή άλλες βάσεις διατήρησης. Επίσης, η συγκατάθεση δεν είναι η μόνη πιθανή νομική βάση, ενώ μια σύμβαση δεν νομιμοποιεί οποιαδήποτε συλλογή. Η επεξεργασία θέσης, επικοινωνιών ή πρόσβασης σε τερματικό εξοπλισμό μπορεί να χρειάζεται και έλεγχο των κανόνων ePrivacy.

5. Άλλο οι μετρήσεις και άλλο τα συμπεράσματα για τον οδηγό

Χρειάζεται να ξεχωρίζουμε τα ακατέργαστα ή προεπεξεργασμένα δεδομένα από τα συμπεράσματα που παράγονται με πρόσθετη ανάλυση. Ταχύτητα, στάθμη μπαταρίας, θερμοκρασία, κωδικός βλάβης ή χρονική σήμανση είναι διαφορετικό πράγμα από μια βαθμολογία «επικίνδυνου οδηγού», μια πρόβλεψη βλάβης ή ένα εμπορικό προφίλ.

Η διάκριση έχει πρακτική σημασία. Η Data Act εστιάζει στα δεδομένα του προϊόντος και της σχετικής υπηρεσίας που είναι άμεσα διαθέσιμα, όχι κατ’ ανάγκη σε κάθε σύνθετο μοντέλο ή εμπορικό συμπέρασμα. Ο GDPR μπορεί να σας δώσει πληροφορίες για προσωπικά προφίλ και αυτοματοποιημένες αποφάσεις, αλλά το ακριβές περιεχόμενο του δικαιώματος εξαρτάται από τη διαδικασία και από το αν το αποτέλεσμα σας αφορά.

Αν μια ασφαλιστική αυξήσει ασφάλιστρο ή απορρίψει αίτημα λόγω score οδήγησης, μη ζητήσετε μόνο τα «δεδομένα GPS». Ζητήστε και τους βασικούς παράγοντες της αξιολόγησης, την πηγή, το χρονικό διάστημα, τον τρόπο σύνδεσης με το πρόσωπό σας και αν υπήρξε ανθρώπινος έλεγχος.

6. GPS, κάμερες και τηλεματική ασφάλισης

Η θέση του οχήματος μπορεί να αποκαλύπτει κατοικία, εργασία, ιατρικές επισκέψεις, θρησκευτικές ή πολιτικές δραστηριότητες και καθημερινές συνήθειες. Για αυτό η συνεχής συλλογή απαιτεί σαφή σκοπό, περιορισμό έκτασης και χρόνου, ασφάλεια και κατανοητή ενημέρωση. Σε εταιρικό στόλο πρέπει να εξετάζεται επιπλέον η αναγκαιότητα απέναντι στους εργαζομένους και η δυνατότητα ιδιωτικής χρήσης.

Οι dashcams δεν είναι εξ ορισμού νόμιμες ή παράνομες. Το οπτικό πεδίο, ο σκοπός, η συνεχής ή συμβαντοκεντρική εγγραφή, ο ήχος, ο χρόνος διατήρησης και η δημοσίευση καθορίζουν τον κίνδυνο. Οι κατευθυντήριες οδηγίες για συσκευές βίντεο απαιτούν αναγκαιότητα και αναλογικότητα· ένα βίντεο που χρειάζεται για αξίωση δεν πρέπει να ανεβαίνει χωρίς σκέψη στα social media.

Σε πρόγραμμα ασφάλισης βάσει χρήσης, διαβάστε ποια συμβάντα επηρεάζουν το ασφάλιστρο, ποιος έχει πρόσβαση, τι συμβαίνει όταν οδηγεί άλλο πρόσωπο και πώς αμφισβητείται λανθασμένη μέτρηση. Απενεργοποίηση συσκευής κατά παράβαση της σύμβασης μπορεί να έχει συνέπειες, αλλά δεν θεραπεύει αδιαφανή ή υπερβολική επεξεργασία.

7. eCall, event data recorder και cloud τηλεματική είναι διαφορετικά

Το δημόσιο 112 eCall ενεργοποιείται σε σοβαρό ατύχημα αυτόματα ή χειροκίνητα και μεταδίδει το ελάχιστο σύνολο δεδομένων που χρειάζεται το κέντρο έκτακτης ανάγκης. Ο Κανονισμός (ΕΕ) 2015/758 απαγορεύει τη συνεχή ιχνηλάτηση από το σύστημα 112 eCall. Οι τελευταίες τρεις θέσεις χρησιμοποιούνται για να προσδιορίζεται θέση και κατεύθυνση όταν συμβεί το περιστατικό.

Ο event data recorder, γνωστός πρόχειρα ως «μαύρο κουτί», καταγράφει παραμέτρους για σύντομο διάστημα λίγο πριν, κατά τη διάρκεια και αμέσως μετά από σύγκρουση. Ο Κανονισμός (ΕΕ) 2019/2144 θέτει απαιτήσεις για αυτή τη λειτουργία. Δεν πρόκειται για πλήρες ημερολόγιο διαδρομών, δεν αποδεικνύει μόνο του υπαιτιότητα και δεν σημαίνει ότι κάθε ιδιώτης έχει άμεσο τεχνικό τρόπο λήψης του αρχείου.

Η εμπορική cloud τηλεματική του κατασκευαστή είναι τρίτη κατηγορία. Μπορεί να λειτουργεί καθημερινά για συντήρηση, εφαρμογές, πλοήγηση ή υπηρεσίες ασφάλειας. Μην χρησιμοποιείτε τον όρο eCall για κάθε αποστολή δεδομένων από το όχημα.

8. Πώς γράφεται ένα χρήσιμο αίτημα πρόσβασης

Ένα συγκεκριμένο αίτημα λαμβάνει συνήθως πιο ουσιαστική απάντηση από ένα γενικό κείμενο. Στείλτε το στο κανάλι απορρήτου ή δεδομένων του πραγματικού υπευθύνου και κρατήστε αποδεικτικό υποβολής.

1. Ταυτοποιήστε όχημα με VIN ή άλλο αναγκαίο στοιχείο, χωρίς να το δημοσιεύετε.
2. Εξηγήστε αν είστε ιδιοκτήτης, μισθωτής, χρήστης υπηρεσίας ή πρόσωπο που αφορά η πληροφορία.
3. Ορίστε συγκεκριμένη περίοδο και υπηρεσία, π.χ. εφαρμογή, τηλεματική, φόρτιση ή ασφαλιστικό πρόγραμμα.
4. Ζητήστε κατηγορίες δεδομένων, σκοπούς, αποδέκτες, χρόνο διατήρησης και διαθέσιμο αντίγραφο.
5. Ζητήστε διευκρίνιση για τυχόν score, προφίλ ή αυτοματοποιημένη απόφαση που σας επηρέασε.
6. Αν ζητάτε διαβίβαση σε συνεργείο ή πάροχο, προσδιορίστε τον αποδέκτη και το νόμιμο αίτημα.
7. Ζητήστε αιτιολόγηση για όποιο μέρος απορρίπτεται, όχι απλώς μια γενική απάντηση περί απορρήτου.

Μην στέλνετε φωτογραφία ταυτότητας αν δεν είναι αναγκαία. Ρωτήστε ποια ελάχιστα στοιχεία χρειάζονται για επαλήθευση και χρησιμοποιήστε το επίσημο, ασφαλές κανάλι. Ένα αίτημα GDPR και ένα αίτημα Data Act μπορούν να συνυπάρχουν, αλλά είναι χρήσιμο να δηλώνεται καθαρά ποια βάση επικαλείστε για κάθε μέρος.

9. Τι κάνετε σε πώληση, ενοικίαση, leasing ή service

Πριν παραδώσετε αυτοκίνητο, αφαιρέστε προφίλ οδηγών, διευθύνσεις, συνδεδεμένα τηλέφωνα, κλειδιά εφαρμογής, κάρτες φόρτισης και εξουσιοδοτημένους χρήστες. Κάντε εργοστασιακή επαναφορά μόνο αφού κρατήσετε νόμιμα ό,τι χρειάζεται για εγγύηση, ατύχημα ή εκκρεμή αξίωση. Η διαγραφή στην οθόνη του οχήματος δεν εγγυάται ότι διαγράφηκαν και τα δεδομένα στο cloud.

Σε ενοικίαση ή leasing, ελέγξτε αν η εταιρεία βλέπει θέση σε πραγματικό χρόνο, πότε επιτρέπεται να τη χρησιμοποιήσει, αν καταγράφεται τρόπος οδήγησης και πότε διαγράφονται τα δεδομένα. Όταν παραδίδετε όχημα σε συνεργείο, δημιουργήστε προσωρινό προφίλ ή valet mode αν υπάρχει και μην αφήνετε περιττή πρόσβαση σε επαφές και μηνύματα.

Αν αγοράζετε μεταχειρισμένο connected car, βεβαιωθείτε ότι ο προηγούμενος κάτοχος αποσυνδέθηκε από την εφαρμογή. Αλλιώς μπορεί να διατηρεί απομακρυσμένη εικόνα θέσης ή λειτουργιών, ακόμη και αν σας παρέδωσε όλα τα φυσικά κλειδιά.

10. Πώς διατηρούνται στοιχεία μετά από ατύχημα ή διαφορά

Μετά από σύγκρουση, κλοπή, πυρκαγιά, αμφισβήτηση χρέωσης ή διαφορά με ασφαλιστική, ο χρόνος έχει σημασία. Ορισμένα logs αντικαθίστανται γρήγορα. Στείλτε έγγραφο αίτημα διατήρησης προς τους πιθανούς κατόχους, χωρίς να υποθέτετε ότι ένας από αυτούς έχει όλα τα δεδομένα.

1. κρατήστε πρωτότυπα αρχεία, πλήρη exports, emails και αποδείξεις υποβολής,
2. καταγράψτε έκδοση εφαρμογής, λογισμικού οχήματος και συνδεδεμένες υπηρεσίες,
3. μην επεξεργάζεστε πρωτότυπα screenshots ή βίντεο και κρατήστε τα metadata,
4. ζητήστε τεχνική εξαγωγή με νόμιμη διαδικασία όταν απαιτείται ειδικός εξοπλισμός,
5. συσχετίστε τις μετρήσεις με άλλα στοιχεία και όχι ως αυτόματη απόδειξη υπαιτιότητας.

Μια ένδειξη ταχύτητας ή θέσης μπορεί να χρειάζεται ερμηνεία, έλεγχο ακρίβειας και συσχέτιση με ώρα, αισθητήρα και έκδοση λογισμικού. Η ακεραιότητα και η αλυσίδα φύλαξης είναι συχνά σημαντικότερες από ένα μεμονωμένο screenshot.

11. Τι γίνεται αν δεν απαντούν ή αν τα δεδομένα χρησιμοποιήθηκαν παράνομα

Αν δεν λάβετε απάντηση σε αίτημα προσωπικών δεδομένων, αν η απάντηση είναι αόριστη ή αν θεωρείτε ότι έγινε παράνομη επεξεργασία, μπορείτε να χρησιμοποιήσετε τη διαδικασία καταγγελίας της ελληνικής Αρχής. Πριν από την καταγγελία, είναι χρήσιμο να έχετε ασκήσει το δικαίωμα στον υπεύθυνο επεξεργασίας και να επισυνάψετε το αίτημα και την απάντηση.

Διαφορά βάσει Data Act μπορεί να ακολουθεί διαφορετικό μηχανισμό, ανάλογα με τον κάτοχο δεδομένων, τη σύμβαση και το αρμόδιο όργανο. Σε ασφαλιστική διαφορά, σε ατύχημα ή σε καταναλωτική σύμβαση μπορεί να χρειάζονται παράλληλες ενέργειες. Μην περιμένετε από μία καταγγελία απορρήτου να λύσει αυτόματα θέμα αποζημίωσης ή συμβατικής ευθύνης.

Η αποζημίωση βάσει GDPR δεν είναι αυτόματη. Απαιτούνται παράβαση, υλική ή μη υλική ζημία και αιτιώδης σύνδεσμος. Η απόφαση του Δικαστηρίου της ΕΕ στην υπόθεση C-300/21 διευκρίνισε ότι η απλή παράβαση δεν αρκεί από μόνη της.

12. Το πρακτικό συμπέρασμα για τον οδηγό

Μην ξεκινάτε από το ερώτημα «σε ποιον ανήκουν όλα τα δεδομένα». Ξεκινήστε από τέσσερα συγκεκριμένα σημεία: ποια υπηρεσία παρήγαγε την πληροφορία, ποιος την κρατά, ποια είναι η σχέση σας με το όχημα και αν η πληροφορία αφορά προσωπικά εσάς. Έπειτα επιλέξτε Data Act, GDPR, σύμβαση ή συνδυασμό τους.

Οι πιο χρήσιμες κινήσεις είναι απλές: ελέγξτε τις ρυθμίσεις πριν προκύψει πρόβλημα, αποσυνδέστε λογαριασμούς σε πώληση ή παράδοση, κρατήστε πλήρη στοιχεία όταν υπάρχει συμβάν και στείλτε στοχευμένο αίτημα στον σωστό αποδέκτη. Το connected car μπορεί να προσφέρει χρήσιμα αποδεικτικά δεδομένα, αλλά μόνο όταν γνωρίζουμε τι ακριβώς μετρά και ποια είναι τα όριά του.