Leapmotor krijgt Europees privacykeurmerk: hoe veilig zijn je gegevens?

Leapmotor heeft een Europees privacykeurmerk gekregen voor drie belangrijke bedrijfsprocessen. Daarmee laat het Chinese automerk onafhankelijk controleren hoe het omgaat met klantgegevens, voertuigonderhoud en connected services. Vooral de verwerking van gegevens buiten Europa maakt deze certificering interessant.

Een moderne auto weet veel van zijn bestuurder

Wie tegenwoordig in een nieuwe auto stapt, neemt ongemerkt een behoorlijke hoeveelheid digitale techniek mee. Navigatie, smartphone-apps, online voertuigfuncties en software-updates maken het rijden gemakkelijker, maar zorgen er ook voor dat steeds meer gegevens worden verzameld en verwerkt. Van de locatie van een auto tot technische informatie en persoonlijke instellingen. Dat roept de vraag op hoe fabrikanten met al die gegevens omgaan en wie daar uiteindelijk toegang toe heeft.

Voor Leapmotor is dat een relevant onderwerp. Het Chinese automerk timmert via de samenwerking met Stellantis nadrukkelijk aan de weg in Europa. Daarbij draait het niet alleen om betaalbare elektrische auto’s en een groeiend dealernetwerk, maar ook om het vertrouwen van klanten. Want hoe aantrekkelijk een auto ook is, je wilt wel weten dat er zorgvuldig met je persoonsgegevens wordt omgegaan.

Leapmotor International B.V., de joint venture van Stellantis en Leapmotor, heeft daarom een Europrivacy-certificering laten uitvoeren door DNV. Volgens de fabrikant behoort het bedrijf daarmee tot de eerste ondernemingen in de Europese auto-industrie die dit privacykeurmerk hebben ontvangen. De certificering geldt overigens niet voor het complete bedrijf, maar voor drie duidelijk omschreven bedrijfsprocessen.

Privacy bij Leapmotor: drie processen onder de loep

De onafhankelijke beoordeling richtte zich op marketing en profilering, voertuigonderhoud en connected services. Dat zijn drie onderdelen waarbij Leapmotor persoonsgegevens verwerkt, maar waarbij het soort informatie en het doel van de verwerking behoorlijk verschillen.

Bij marketing gaat het bijvoorbeeld om klantcontact, aanbiedingen en communicatie via digitale kanalen. Onderhoudsdiensten hebben juist te maken met technische voertuiggegevens die nodig kunnen zijn voor reparaties, garantieafhandeling of softwareondersteuning. Bij connected services wordt het interessanter, omdat de auto daarvoor voortdurend of op bepaalde momenten verbinding maakt met digitale systemen.

Denk aan online navigatie, voertuigfuncties die je op afstand via een app bedient en informatie over de technische toestand van de auto. Dergelijke diensten kunnen niet zonder gegevensuitwisseling. De vraag is dus vooral hoe die informatie wordt beveiligd, waar deze terechtkomt en welke partijen toegang krijgen.

Wat gebeurt er met klantgegevens buiten Europa?

Juist vanwege de Chinese achtergrond van Leapmotor is het interessant om te kijken naar de internationale verwerking van gegevens. De fabrikant ontwikkelt zijn auto’s en technologie in China, terwijl de Europese verkoop en dienstverlening via Leapmotor International verlopen.

Het openbare certificeringsregister geeft hierover meer duidelijkheid. Volgens de beoordeling worden gegevens binnen de onderzochte connected services structureel in het voertuig zelf of in Europa verwerkt. Eventuele toegang vanuit landen buiten Europa staat onder controle van de Europese onderneming en is beperkt tot specifieke situaties, zoals het oplossen van softwareproblemen, garantieafhandeling of technische verbeteringen.

Daarbij gaat het volgens de auditors om gegevens die niet direct tot een persoon herleidbaar zijn. Dat betekent overigens niet dat er helemaal geen informatie buiten Europa toegankelijk kan zijn. Wel zijn er afspraken en beveiligingsmaatregelen vastgesteld om die toegang te beperken en te controleren.

Dat is een belangrijk onderscheid. De herkomst van een automerk zegt op zichzelf nog niet waar alle gegevens worden opgeslagen of verwerkt. Voor automobilisten is vooral van belang welke concrete afspraken daarover bestaan en of die onafhankelijk worden getoetst.

Wat houdt het Europese privacykeurmerk precies in?

De certificering die Leapmotor heeft ontvangen, heet Europrivacy en is gebaseerd op artikel 42 van de Algemene Verordening Gegevensbescherming (AVG). Het gaat om een Europees stelsel waarmee organisaties kunnen aantonen dat bepaalde activiteiten op het gebied van persoonsgegevens voldoen aan vastgestelde privacyvereisten.

Anders dan bij een eigen verklaring van een fabrikant beoordeelt een externe certificeringsinstantie hoe de betrokken processen zijn ingericht. In het geval van Leapmotor heeft DNV onder meer gekeken naar de verdeling van verantwoordelijkheden, contractuele afspraken, gegevensstromen, ICT-systemen en cybersecuritymaatregelen.

Ook is onderzocht hoe het bedrijf zijn privacybeleid uitvoert en welke technische en organisatorische maatregelen zijn getroffen. Daarbij hebben de auditors niet alleen de AVG als uitgangspunt genomen, maar ook relevante regels en normen voor de auto-industrie en digitale voertuigsystemen.

Een keurmerk is geen garantie tegen datalekken

Hoewel de certificering een positieve ontwikkeling is, moeten we de betekenis ervan niet groter maken dan die is. Een privacykeurmerk betekent niet dat een bedrijf nooit slachtoffer kan worden van een cyberaanval of dat alle persoonsgegevens onder alle omstandigheden volledig beschermd zijn.

Bovendien is uitsluitend gekeken naar de drie gecertificeerde processen van Leapmotor International. Andere activiteiten binnen het bedrijf of bij afzonderlijke partners vallen daar niet automatisch onder.

De certificaten zijn op 31 augustus 2026 ingegaan en lopen volgens het officiële register tot 30 augustus 2029. Dat neemt niet weg dat Leapmotor ook gedurende die periode zelf verantwoordelijk blijft voor de naleving van de Europese privacywetgeving.

Leapmotor moet ook digitaal vertrouwen verdienen

Leapmotor groeit snel in Europa en probeert met scherp geprijsde elektrische auto’s een plek tussen de gevestigde merken te veroveren. Tijdens onze recente Leapmotor B03X-test zagen we bijvoorbeeld hoeveel elektrische auto het merk tegenwoordig voor relatief weinig geld weet aan te bieden. Maar met een aantrekkelijk prijskaartje alleen bouw je nog geen langdurig vertrouwen op.

De omgang met persoonsgegevens wordt steeds belangrijker nu auto’s meer software en online diensten krijgen. Dat geldt uiteraard niet alleen voor Chinese fabrikanten. Ook Europese, Japanse, Koreaanse en Amerikaanse automerken moeten zorgvuldig omgaan met de gegevens van hun klanten.

Met de Europrivacy-certificering laat Leapmotor in ieder geval zien dat het bereid is een aantal belangrijke processen onafhankelijk te laten beoordelen. Vooral de afspraken over connected services en toegang tot gegevens vanuit het buitenland maken die controle relevant. Het is geen garantie dat er nooit iets misgaat, maar wel een concrete en controleerbare stap op een terrein waar automobilisten doorgaans weinig zicht op hebben.

Tekst: Arjan Hordijk