Subject: AKI selgitus ICO juhiste kohta sõidukite isikuandmete kustutamise kohta enne edasimüüki
From: "Privacy Rights" <[email-masked]>
To: "info - AKI" <[email-masked]>
Cc: "Andrea Amico" <[email-masked]>, "Merry Marwig" <[email-masked]>, "Abhishek Bansiwal" <[email-masked]>, "Priya Mishra" <[email-masked]>
Date: Thu, 5 Mar 2026 23:06:55 +0200

Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.

Teie mugavuse huvides automaatselt tõlgitud versioon. Originaaltekst inglise 
keeles on lõpus.

AustatudAndmekaitse Inspektsioon,

Hiljuti avaldas Andmekaitseamet (ICO) juhised selle kohta, kuidas GDPR 
kehtib isikuandmete suhtes, mis on salvestatud sõidukites, mis vahetavad 
omanikku (nt müük, tagasivõtmine, jagamine, täielik kahju), märkides, et:

1. Vastutavad töötlejad (st sõiduki seaduslikud omanikud) peavad sõidukis 
salvestatud andmesubjektide isikuandmed kustutama, kui nad saavad vara 
tagasi oma valdusse. Selle tegemata jätmine on teatamiskohustuslik 
isikuandmete rikkumine.

2. Tuleb rakendada asjakohaseid tehnilisi ja organisatsioonilisi meetmeid. 
Vaja on objektiivset, korratavat ja kontrollitavat andmete kustutamise 
protsessi. Isikuandmete kustutamine üksikute töötajate subjektiivse otsuse 
alusel ei ole GDPR-iga kooskõlas.

Nende teade (välja arvatud isikuandmed) on täielikult esitatud käesoleva 
e-kirja lõpus.

ICO rõhutas, et sõidukites salvestatud isikuandmed kuuluvad selgelt GDPR-i 
reguleerimisalasse ja et sõidukitel ei ole erandit artiklites 5 ja 32 
sätestatud andmete turvalisuse põhireeglite (sh andmete hävitamine) 
järgimisest, mis on tavapärased kasutatud/remonditud elektroonikaseadmete 
hulgimüüjate ja jaemüüjate seas. Vähem kui kaks kuud pärast ICO juhiste 
avaldamist on mitmed tööstusliidud koostöös õigus-, tehnika- ja 
tööstusekspertidega hakanud välja andma juhiseid ja standardeid, mis 
tõstavad andmekaitse nõudeid märkimisväärselt.

Seevastu mitmed organisatsioonid, kes tegelevad teie jurisdiktsioonis suure 
hulga sõidukitega (nt autopargid, autopargi liisinguettevõtjad, laenuandjad, 
kindlustusandjad, rendiettevõtjad, autode müüjad jne), väidavad, et kui teie 
asutus ei avalda konkreetseid juhiseid, nagu tegi ICO, ei näe nad kohustust 
järgida GDPR-i eeskirju ja jätkavad seega teie riigis miljonite 
sõidukikasutajate krüpteerimata andmete rikkumist ja avalikustamist.

Palume teil lugeda läbi Ühendkuningriigi ICO avaldus (lisatud allpool) ja 
jagada oma asutuse seisukoht selles küsimuses. Täpsemalt: kas olete nõus, et 
vastutavad töötlejad on kohustatud kustutama sõidukites salvestatud eelmiste 
kasutajate isikuandmed objektiivsete, korratavate ja kontrollitavate 
meetoditega, kui nad saavad sõiduki tagasi oma valdusse ja enne selle 
edasimüüki?

Arvestades sõidukite kiiret digitaliseerimist ja nende kogutavate ja 
salvestatavate isikuandmete mahu suurenemist, kui neid ei kustutata, on vaja 
teie asutuse selget seisukohta, et tagada nõuete täitmine ja andmesubjektide 
õiguste kaitse.

Täname teid tähelepanu eest ja ootame teie juhiseid.

PS: allpool on toodud ICO e-kiri, mille teie asutus saab üksikasjalikult 
läbi vaadata.

  _____

From: icocasework <[email-masked] <mailto:[email-masked]> >

Date: Mon, Dec 22, 2025 at 9:49 AM

Subject: Your email to the ICO - Case Reference IC-XXXXXXXXXXX

22 December 2025

Our reference: IC-XXXXXXXXXXX

Dear XXXXXXXX

Thank you for your enquiry of 16 December 2025.

Does the ICO agree that data controllers must delete personal data from 
vehicles upon return?

Under UK GDPR, any organisation that determines the purposes and means of 
processing personal data becomes a 
<https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-does-it-mean-if-you-are-a-controller/> 
data controller. When a rental, leasing, or fleet company regains possession 
of a vehicle, it assumes control over any personal data stored in that 
vehicle’s systems.

Continuing to store or disclose that data without identifying a lawful basis 
would breach:

Article 5(1)(a) ( 
<https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-protection-principles/a-guide-to-the-data-protection-principles/lawfulness-fairness-and-transparency/> 
lawfulness, fairness, transparency)
Article 5(1)(c) ( 
<https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-protection-principles/a-guide-to-the-data-protection-principles/data-minimisation/> 
data minimisation)
Article 5(1)(f) and Article 32 ( 
<https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-protection-principles/a-guide-to-the-data-protection-principles/integrity-and-confidentiality-security/> 
security of processing)

We indicated in our previous response that the entity owning or lawfully 
repossessing the vehicle is the data controller and must ensure deletion 
before onward use. Passing the vehicle to another user without erasure of 
the personal data held on its systems could amount to unlawful processing 
and a 
<https://ico.org.uk/for-organisations/report-a-breach/personal-data-breach/personal-data-breaches-a-guide/> 
personal data breach.

Does the ICO agree that relying on staff knowledge alone is insufficient for 
compliance?

UK GDPR requires data controllers to demonstrate compliance Article 5(2) ( 
<https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/data-protection-principles/a-guide-to-the-data-protection-principles/accountability-principle/> 
accountability).

Our guidance stresses that ‘appropriate technical and organisational 
measures’ must be in place. Relying solely on employees’ subjective judgment 
or ‘best endeavours’ is unlikely to meet this standard because:

It is not objective, repeatable, or auditable.
It cannot reliably prevent unauthorised disclosure.
It fails to provide evidence of compliance if challenged.

Documented procedures and/or automated tools that deliver consistent, 
verifiable results are strongly recommended to meet accountability and 
security obligations.

If you would like to discuss this further, please contact me on my direct 
number 0330 XXX XXXX. If you need advice on a new issue you can 
<https://ico.org.uk/global/contact-us/>  contact us via our Helpline on 0303 
123 1113 or through our live chat service. In addition, more information 
about the Information Commissioner’s Office and the legislation we oversee 
is available on our website at <http://www.ico.org.uk/>  www.ico.org.uk.

Yours sincerely

XXXXXXXXXXXXX
Case Officer
Information Commissioner’s Office

Information Commissioner’s Office, Wycliffe House, Water Lane, Wilmslow, 
Cheshire SK9 5AF
T. 0330 414 6016 <https://ico.org.uk/>  ico.org.uk 
<https://twitter.com/iconews>  twitter.com/iconews
Please consider the environment before printing this email

Respectfully,

  <https://ci3.googleusercontent.com/mail-sig/AIorK4zs-OttPK8KAXmeccoJsjQ1XmnqZWOdZvA9yS9a93vxol7o-IXNpMOkIDnUsDe6t5h1dburN6CTnnZX>

Privacy4Cars Privacy Team

 <mailto:[email-masked]> [email-masked]