Wprowadzenie: pojazd stał się jeżdżącym czujnikiem
Kupiłeś samochód. Nie kupiłeś abonamentu na usługę nadzoru — a przynajmniej nie było o tym mowy w broszurze. A jednak między chwilą, gdy rano otwierasz drzwi, a momentem, gdy wieczorem parkujesz, twój pojazd wygenerował kilkaset tysięcy wartości: pozycję GPS w regularnych odstępach, prędkość chwilową, obroty silnika, kąt obrotu kierownicy, ciśnienie w oponach, użycie pasów, zajętość foteli, temperaturę zewnętrzną, stan naładowania, a w wielu nowszych modelach całą książkę telefoniczną ze smartfona, który raz sparowałeś w 2023 roku.
Część tych danych zostaje w sterowniku pojazdu. Inna część trafia — poprzez wbudowaną kartę SIM, którą od czasu wdrożenia eCall w Europie ma niemal każdy nowy model — na serwery producenta. Trzecia może być przekazana podmiotom trzecim: ubezpieczycielowi, wypożyczalni, zarządcy flotą, twórcy aplikacji, a w niektórych przypadkach organom wymiaru sprawiedliwości.
CNIL zajmuje się tym tematem od dawna: jej pakiet zgodności „pojazdy połączone i dane osobowe”, opublikowany w 2017 roku i uzupełniony wytycznymi Europejskiej Rady Ochrony Danych (EROD) z 2021 roku w sprawie pojazdów połączonych i aplikacji związanych z mobilnością, formułuje zasadę prostą i często ignorowaną: dane o geolokalizacji pojazdu są danymi osobowymi, ponieważ pozwalają wywnioskować miejsce zamieszkania, miejsce pracy, nawyki, uczestnictwo w nabożeństwach czy wizyty w placówce medycznej.
Ten przewodnik nie namawia nikogo do powrotu na rower. Wyjaśnia, jakie dane rzeczywiście wypływają z twojego samochodu, jakim kanałem, czego możesz odmówić i jakie konkretne działania realnie obniżają ekspozycję.
Część 1 — Mapa zbierania danych: pięć odrębnych źródeł
Klasyczny błąd polega na mówieniu o „samochodzie” jak o jednym podmiocie. W rzeczywistości pięć systemów zbiera dane równolegle, a administratorzy danych są różni.
Źródło 1 — Producent, przez wbudowaną kartę SIM
Od kwietnia 2018 roku każdy nowy pojazd homologowany w Unii Europejskiej musi być wyposażony w system eCall, który automatycznie uruchamia połączenie alarmowe w razie wypadku. Rozporządzenie UE 2015/758 reguluje to rozwiązanie bardzo rygorystycznie: dane mogą być przekazywane wyłącznie w chwili uruchomienia, a system nie może umożliwiać stałego śledzenia.
Problem polega na tym, że ta sama karta SIM obsługuje często drugi zestaw usług, tym razem komercyjnych: aktualizacje map, diagnostykę zdalną, aplikację mobilną „mój samochód”, stacje ładowania, predykcyjną obsługę serwisową. Te wymagają zgody, a nie wynikają z obowiązku prawnego. W praktyce bywają aktywowane domyślnie przy wydaniu pojazdu, w menu, którego nikt nie czyta.
Źródło 2 — Rejestrator danych o wypadku (EDR)
Nowe pojazdy sprzedawane w Europie od lipca 2022 roku mają rejestrator zdarzeń (Event Data Recorder), narzucony rozporządzeniem UE 2019/2144 w sprawie ogólnego bezpieczeństwa pojazdów. Zapisuje on — w oknie kilku sekund przed i po zderzeniu — prędkość, położenie pedału przyspieszenia, hamowanie, stan pasów, aktywację poduszek powietrznych.
Przepisy przewidują, że dane te nie mogą bezpośrednio identyfikować osoby i są dostępne tylko w określonych ramach — zanonimizowane badania wypadkowe albo postępowanie sądowe. W praktyce ekspert powołany przez sąd lub ubezpieczyciela może odczytać ten moduł po wypadku, a jego zawartość ma duży ciężar w ustalaniu odpowiedzialności.
Źródło 3 — Sparowany smartfon
To najbardziej masowy i najbardziej niedoceniany wyciek. Kiedy podłączasz telefon przez Bluetooth lub przez system projekcji ekranu, pojazd bardzo często prosi o dostęp do książki adresowej, SMS-ów i rejestru połączeń — a wiele systemów kopiuje lokalnie te dane, by wyświetlać kontakty bez połączenia. Pozostają zapisane w pojeździe po odłączeniu telefonu, również po odsprzedaży.
To właśnie sprawia, że samochód z wypożyczalni zwrócony w piątek wieczorem staje się archiwum kontaktów i celów podróży poprzedniego najemcy.
Źródło 4 — Ubezpieczyciel i moduł telematyczny
Oferty typu „pay how you drive” opierają się na module, złączu OBD lub aplikacji, które mierzą przyspieszenia, hamowania, prędkość, godziny jazdy, a czasem korzystanie z telefonu za kierownicą. CNIL wielokrotnie przypominała, że takie rozwiązania muszą opierać się na swobodnie wyrażonej zgodzie, że brak przystąpienia nie może być penalizowany na tyle, by czynić wybór iluzorycznym, oraz że należy unikać surowego zbierania pozycji na rzecz wskaźników zagregowanych.
Źródło 5 — Urządzenia, które dodajesz samodzielnie
Moduł do poboru opłat autostradowych, lokalizator antykradzieżowy, aplikacje nawigacyjne, a przede wszystkim wideorejestrator. Ten ostatni punkt wymaga uwagi: kamera samochodowa filmuje drogę publiczną, a więc tablice rejestracyjne i twarze. Dopóki użytkowanie pozostaje wyłącznie prywatne, CNIL uznaje publikację za prawdziwy punkt przełomowy — udostępnienie w mediach społecznościowych nagrania identyfikującego osobę trzecią naraża cię na odpowiedzialność. Jeśli decydujesz się na taki sprzęt, wybierz wideorejestrator z kartą microSD o wysokiej wytrzymałości i trzymaj pliki offline, bez automatycznej synchronizacji z chmurą.
Część 2 — Kto na tym korzysta, a komu to może zaszkodzić
| Odbiorca | Co uzyskuje | Powoływana podstawa prawna |
|---|---|---|
| Producent | Pozycja, przebieg, diagnostyka, korzystanie z funkcji | Zgoda lub uzasadniony interes (kwestionowany) |
| Dealer / sieć serwisowa | Historia serwisowa, przebieg, alerty | Umowa serwisowa |
| Ubezpieczyciel | Styl jazdy, trasy, godziny | Zgoda (oferta telematyczna) |
| Wypożyczalnia / carsharing | Pozycja w czasie rzeczywistym, opóźnienia, wyjazdy poza strefę | Wykonanie umowy |
| Pracodawca (samochód służbowy) | Trasy, godziny, czasem prędkość | Uzasadniony interes, ściśle ograniczony |
| Wymiar sprawiedliwości / policja | EDR, historia pozycji na żądanie | Postępowanie karne |
Dwa przypadki wymagają rozwinięcia.
Samochód służbowy. CNIL precyzyjnie reguluje geolokalizację pracowników: nie może służyć do stałego nadzoru, musi być wyłączalna poza czasem pracy, nie może być używana do stwierdzania wykroczeń drogowych i wymaga uprzedniego poinformowania indywidualnego oraz zbiorowego. Pracownik, który odkryje niezgłoszony lokalizator w samochodzie służbowym, ma solidne podstawy do roszczeń.
Rozstanie małżeńskie. Lokalizatory i aplikacje do namierzania wspólnego pojazdu stają się w takim kontekście narzędziem kontroli. Przydatne przypomnienie: geolokalizowanie osoby bez jej zgody jest we Francji karalne, a ustawa z 24 grudnia 2020 roku wzmocniła przepisy przeciwko narzędziom cyberinwigilacji w związkach.
Część 3 — Czego możesz się domagać, z przepisami w ręku
RODO stosuje się w pełni. Konkretnie:
- Prawo dostępu (art. 15). Możesz zażądać od producenta kopii danych powiązanych z twoim pojazdem i kontem. Odpowiedź powinna przyjść w ciągu miesiąca, z możliwością wydłużenia do trzech w razie złożoności sprawy. Niemal wszyscy producenci mają dedykowany formularz, często ukryty w polityce prywatności aplikacji mobilnej.
- Prawo sprzeciwu i wycofania zgody (art. 7 i 21). Nieobowiązkowe usługi połączone muszą dać się wyłączyć bez utraty funkcji bezpieczeństwa. Samego eCall nie da się wyłączyć: jest narzucony rozporządzeniem, ale nie może śledzić w sposób ciągły.
- Prawo do usunięcia danych (art. 17). Szczególnie istotne przy odsprzedaży: możesz zażądać usunięcia swojego konta i danych powiązanych z numerem VIN za okres, w którym byłeś właścicielem.
- Prawo do przenoszenia danych (art. 20). Przydatne, by odzyskać historię serwisową przed zmianą sieci warsztatowej.
- Skarga do CNIL. Bezpłatna, składana online i wyjątkowo skuteczna, gdy producent ignoruje wniosek o dostęp.
Uwaga: europejskie rozporządzenie o danych (Data Act), obowiązujące od września 2025 roku, wzmacnia dostęp użytkownika do danych generowanych przez urządzenia połączone, w tym pojazdy, i ułatwia ich przekazywanie niezależnemu warsztatowi. To nowa dźwignia wobec sieci producentów.
Część 4 — Konkretne działania, sytuacja po sytuacji
Gdy odbierasz nowy samochód
- Otwórz menu „prywatność” lub „udostępnianie danych” systemu pokładowego przed opuszczeniem salonu i wyłącz wszystko, co nie dotyczy bezpieczeństwa.
- Odmów automatycznej aktywacji aplikacji mobilnej, jeśli nie będziesz z niej korzystać. Nieużywane konto u producenta nadal pozostaje bazą danych na twój temat.
- Poproś na piśmie o politykę prywatności i okres przechowywania danych. Sprzedawca nie będzie umiał odpowiedzieć: pytanie pójdzie wyżej, a to właśnie jest zamierzony efekt.
Gdy parujesz telefon
- Odmów synchronizacji kontaktów i wiadomości. Nawigacja i rozmowy przez zestaw głośnomówiący działają i bez tego.
- Wybieraj doraźną projekcję przewodową zamiast trwałego parowania — z wzmocnionym kablem USB-C raczej niż z zapamiętanym połączeniem Bluetooth.
- Jeśli korzystasz z aplikacji nawigacyjnej, ustaw automatyczne usuwanie historii i wyłącz „często odwiedzane miejsca”.
Gdy wypożyczasz samochód lub dzielisz się nim
- Przed zwrotem pojazdu: usuń swój telefon z listy sparowanych urządzeń, wyczyść historię nawigacji i zapisane adresy, wyloguj się ze wszystkich kont streamingowych i asystenta głosowego.
- W większości systemów istnieje funkcja „przywrócenia ustawień fabrycznych” modułu multimedialnego. Zajmuje dwie minuty i rozwiązuje problem od razu.
- Na wrażliwe trasy stara metoda pozostaje najlepsza: uchwyt samochodowy na smartfon i nawigacja na urządzeniu, którego ustawienia kontrolujesz, zamiast ekranu wypożyczalni.
Gdy odsprzedajesz pojazd
- Przywróć ustawienia fabryczne systemu multimedialnego, usuń pojazd ze swojego konta u producenta, skasuj wirtualne klucze i udostępnione dostępy.
- Odbierz urządzenia do poboru opłat drogowych i wypowiedz abonament powiązany z tablicą rejestracyjną.
- Pomyśl o schowku: kserokopia dowodu rejestracyjnego, bilet parkingowy, w połowie wypełniony druk oświadczenia o kolizji mówią bardzo wiele. Organizer do bagażnika z przegrodami pomaga nie zapomnieć o niczym w dniu przekazania.
Gdy po prostu chcesz mniej sygnału
- Ubezpieczeniowy moduł OBD można odłączyć, gdy nie jest wymagany umownie — najpierw sprawdź swoją umowę.
- Etui blokujące sygnał kluczy bezstykowych nie chronią prywatności w ścisłym sensie, ale blokują ataki przekaźnikowe, co wpisuje się w tę samą ogólną higienę.
- Dla pogłębienia tematu dobra książka o ochronie danych osobowych daje więcej niż godzina na forach: mechanizmy prawne są stabilniejsze niż menu producentów.
Część 5 — Ograniczenia, które trzeba przyjąć
Bądźmy szczerzy: nowoczesnego samochodu nie da się uciszyć.
- eCall się nie wyłącza. To wymóg homologacyjny, a jego cel — wezwanie pomocy, gdy jesteś nieprzytomny — w pełni uzasadnia jego istnienie.
- Sterownik i tak zapisuje. Parametry silnika i EDR nie są opcją.
- Opłaty drogowe, fotoradary, automatyczne odczytywanie tablic to systemy publiczne regulowane odrębnymi przepisami, a nie twoimi ustawieniami. Okres przechowywania danych z odczytu tablic jest zresztą jednym z tematów regularnie badanych przez CNIL.
- Twój telefon, położony na fotelu pasażera, śledzi lepiej niż samochód. Praca nad ustawieniami pojazdu bez tknięcia ustawień telefonu to zamykanie okna przy otwartych drzwiach.
Rozsądnym celem nie jest niewidzialność. Chodzi o to, by zmniejszyć liczbę podmiotów posiadających historię twoich przemieszczeń i zadbać, by żaden nie przechowywał jej dłużej, niż to konieczne.
Aby pójść dalej
- CNIL — pakiet zgodności „pojazdy połączone”, poradniki o geolokalizacji pracowników i o wideorejestratorach.
- EROD — wytyczne 01/2020 w sprawie przetwarzania danych osobowych w kontekście pojazdów połączonych.
- Rozporządzenie UE 2015/758 (eCall) i rozporządzenie UE 2019/2144 (ogólne bezpieczeństwo pojazdów, EDR).
- Rozporządzenie UE 2023/2854 (Data Act), obowiązujące od września 2025 roku.
- Service-public.fr — procedury zmiany właściciela w dowodzie rejestracyjnym, przydatne, by czysto zakończyć abonamenty powiązane z tablicą.
Podsumowanie: jeździć bez zgłaszania wszystkiego
Samochód nie jest już mechanicznym przedmiotem stojącym przed domem. To połączony z siecią terminal, któremu trzydzieści lub czterdzieści razy w tygodniu powierzasz najbardziej odkrywczą informację o życiu człowieka: gdzie jedziesz, kiedy i jak długo tam zostajesz.
Dobra wiadomość jest taka, że większość tego zbierania danych jest opcjonalna, wyłączalna i możliwa do zakwestionowania. Kwadrans w menu pojazdu, wyraźna odmowa synchronizacji książki adresowej, konsekwentne przywracanie ustawień fabrycznych przed każdym zwrotem oraz wniosek o dostęp wysyłany raz w roku do producenta wystarczają, by odzyskać znaczną część kontroli.
Reszta wynika z prostej zasady, obowiązującej daleko poza motoryzacją: ilekroć jakaś usługa proponuje, że „lepiej cię pozna”, zapytaj siebie, kto w rzeczywistości czegoś się dowiaduje.
