Spionagerisico Chinese bedrijfsauto’s onder de loep

Spionagecapaciteiten

Expert Eric Schouten van het Nederlandse beveiligingsbedrijf Dyami kan die onrust wel volgen. Het gerenommeerde bedrijf van deze oud-AIVD-man publiceerde twee jaar geleden al een rapport over de spionage­capaciteiten van Chinese importauto’s. Daarbij wees het ook op auto’s van ogenschijnlijk Europese origine, zoals Volvo, Polestar en MG, waarvan de fabrikanten Chinese eigenaren hebben. Daarnaast haalde Dyami als voorbeeld het Amerikaanse Tesla aan, dat in China in de ban is gedaan. China verbood op een zeker moment aan mensen in overheidsdienst om − zowel zakelijk als privé − nog langer in Tesla’s te rijden. De auto’s zouden namelijk kunnen worden ingezet voor spionagedoeleinden. “Als China zich kan voorstellen dat Tesla’s met dat doel kunnen worden ingezet, dan is het niet ondenkbaar dat de Chinese overheid Chinese auto’s gaat gebruiken voor dit soort doeleinden in het buitenland”, aldus het Dyami-rapport.

Feit is dat moderne auto’s vrijwel zonder uitzondering worden voorzien van apparatuur die kunnen worden ingezet voor spionage. Zowel aan de buiten- als binnenkant worden camera’s gebruikt (bijvoorbeeld om te controleren of de bestuurder nog alert is). Daarnaast zijn microfoontjes, gps-systemen, internetverbindingen en telefoons voortdurend verbonden met de buitenwereld. Aan het gebruik ervan zijn in Europa strenge eisen gesteld. Die zijn vervat in de General Data Protection Regulation (GDPR), de Europese wetgeving die persoonsgegevens beschermt. Het Dyami-rapport wijst erop dat, gebruikmakend van die wet, elk te importeren automodel kan worden onderzocht en eventueel in de ban kan worden gedaan. Maar het merkt ook op dat dit een tijdrovende klus is. De aanpassingen kunnen immers exemplarisch zijn.

Data afstaan

De toon van het Dyami-rapport was twee jaar geleden realistisch. “In een tijd waarin niet alleen de Chinese, maar ook alle andere nieuwe (elektrische) auto’s voortdurend verbonden zijn, is het niet de vraag of maar door wie je wordt bespioneerd. Of het nu gaat om overheids- of bedrijfsgeheimen, het is goed je bewust te zijn van wat moderne auto’s allemaal kunnen. Voor overheden is het moeilijk om bepaalde automerken van de markt te weren, waardoor het eenvoudiger is mensen in dienst van de overheid te verbieden in bepaalde automerken te rijden”, stelt Dyami.  

Dat laatste is precies wat het Israëlische leger heeft gedaan. Dyami-directeur Schouten begrijpt die beslissing als we hem spreken. “In alle auto’s − ook de Europese − kan apparatuur zitten die geschikt is voor afluisteren. Maar in China is wetgeving van kracht die zegt dat Chinese bedrijven deel uitmaken van de Chinese inlichtingenmaatschappij. De overheid daar wil gewoon van Chinese fabrikanten hun data hebben, ze zijn verplicht die data af te staan. In Amerika is dat trouwens niet anders; de overheid daar redeneert dat als iemand op de openbare weg rijdt en daar data genereert, die data toebehoren aan de Amerikaanse overheid.” 

Schouten is vooral benieuwd hoe de Nederlandse importeurs van Chinese automerken met de situatie omgaan. “Dat de import van het Chinese BYD onlangs is overgegaan van het Nederlandse Louwman naar BYD Europe, is wat mij betreft veelzeggend.”

Reacties bestelautowereld

Waar op de personenautomarkt het ene na het andere Chinese merk de Nederlandse markt betreedt, begint dat fenomeen ook in de bestelautowereld vorm te krijgen. Pionier was Maxus, dat eerst met een particuliere importeur werkte, daarna het zelf overnam, maar vervolgens toch op de ervaring van de Nederlandse Van Mossel Automotive Group teruggreep. Met bijna negenduizend medewerkers is Van Mossel een van de grootste automotivebedrijven in Europa. Gevraagd naar een reactie op het cyberdossier reageert de importeur in Waalwijk tamelijk nuchter. “Maxus maakt deel uit van SAIC Motor, een van ’s werelds grootste autofabrikanten, en voldoet aan alle Europese wet- en regelgeving op het gebied van dataveiligheid en privacy. Alle voertuigen die wij in Europa leveren, zijn uitgebreid getest en goed­gekeurd volgens de strenge EU-richtlijnen. Klanten kunnen er dus op vertrouwen dat de veiligheid en bescherming van data bij Maxus gewaarborgd zijn”, zegt woordvoerder Maurice de Bekker. 

Een soortgelijke reactie komt van BYD Europe, dat recent de Nederlandse import in eigen hand nam. “Wij nemen de zorgen van onze klanten over gegevensbeveiliging zeer serieus”, meldt woordvoerder Chelsea Pan in een schriftelijke reactie. “Al onze voertuigen die in Europa worden verkocht, voldoen volledig aan de regelgeving van de Europese Unie, inclusief de strenge AVG-wetgeving inzake gegevensbescherming. We beheren de voertuiggegevens in Europa en die worden uitsluitend gebruikt om de veiligheid, het onderhoud en de klantenservice te verbeteren.” 

Nieuwe Chinese speler

Een nog nieuwe speler op de markt is Farizon, onderdeel van het Chinese Geely (waar ook Volvo en MG onder vallen). Farizon betreedt de bestelautomarkt met de volledig elektrische SV, die in verschillende hoogte- en lengtematen wordt geleverd. De import wordt vooralsnog gedaan vanuit België door het gerenommeerde Beherman Motors NV/SA, dat bekend werd door de import van onder andere Saab en Mitsubishi. Namens Beherman zegt woordvoerder Eef Vanrusselt dat de Farizon SV zo is ontworpen dat er geen sprake is van ongecontroleerd data­verkeer of risico op datatransmissie naar derde landen. “Daarmee is de SV in zijn huidige vorm intrinsiek veilig wat cybersecurity betreft. Wanneer er in de toekomst connectiviteitsdiensten worden toegevoegd, zullen die volledig conform de Europese regelgeving (waaronder GDPR) worden opgezet en onafhankelijk worden getest.”