Studie ukazuje, kolik dat moderní auta odesílají třetím stranám

Je důležité zdůraznit, že studie neprokázala, že každý datový paket odeslaný autem třetí straně obsahoval osobní údaje. Síťový provoz vozů byl šifrovaný, takže výzkumníci viděli, s jakými servery vůz komunikuje, ale ne vždy mohli zjistit, jaké informace pakety obsahují. U aplikací dokázali obsah přenášených dat určit mnohem přesněji.

Tesla komunikovala s desítkami sledovacích a reklamních domén

Výzkumníci testovali 21 vozů od 19 značek v různých situacích, mimo jiné při stání, za jízdy a při používání infotainmentu. Všechny vozy komunikovaly se servery svých výrobců, což lze u vozů s internetovým připojením očekávat.

Kromě toho 19 vozů navázalo spojení alespoň s jednou třetí stranou. V testech vynikly Tesla Model 3 a Cybertruck. Model 3 navázal spojení s 34 reklamními, sledovacími nebo analytickými doménami a s dalšími 37 doménami využívanými aplikacemi ve voze. Některé vozy, například Buick Envista a Mercedes-Benz EQS, při testování stejný vzorec chování nevykazovaly a komunikovaly převážně se službami svých výrobců.

Vysoký podíl domén Googlu není překvapivý, protože několik výrobců používá systém Android Automotive. Výzkumníci však zjistili také spojení se službami, jako jsou DoubleClick a Google Syndication, jejichž hlavním účelem je reklama a sledování uživatelů, nikoli provoz vozu.

Mobilní aplikace může sdílet více dat než samotné auto

Ještě zřetelnější rizika pro soukromí se ukázala u aplikací výrobců pro chytré telefony.

Z 30 aplikací jich 28 komunikovalo alespoň s jednou reklamní, analytickou nebo sledovací společností. Některé aplikace zapojily do toku uživatelských dat více než 20 dalších třetích stran. Nejvíce takových spojení výzkumníci zaznamenali u aplikací společností General Motors, Toyota a Nissan.

Podle Northeastern University třetí strany v některých případech získávaly jméno uživatele, e-mailovou adresu, VIN a přesnou polohu. Díky tomu je možné propojit konkrétní vůz a jeho majitele s dalšími profily vytvářenými na internetu a v aplikacích.

Po komunikaci s výzkumníky Honda upravila svůj systém a přestala předávat údaje o přesné poloze alespoň jedné sledovací společnosti.

Souhlas uživatelé dávají, kontrola jim však často chybí

Výrobci automobilů výzkumníkům sdělili, že nakládání s daty se řídí smlouvami a zásadami ochrany osobních údajů. Problém spočívá v tom, že kupující často udělí souhlas pouhým přijetím podmínek používání aplikace nebo připojené služby.

Sedm výrobců uvedlo, že přečíst si podmínky je odpovědností zákazníka. Odmítnutí sdílení dat však může znamenat ztrátu funkcí, které si kupující s vozem fakticky již zaplatil, například dálkového startování, zobrazení polohy nebo jiných připojených služeb.

Možnost volby je tak značně podmíněná: uživatelé mohou sdílení dat omezit, ale musejí se za to vzdát některých funkcí vozu.

GDPR chrání evropské řidiče, problém však přetrvává

Studie se zabývala vozy a aplikacemi na americkém trhu, její zjištění proto nelze přímo vztáhnout na evropský trh. V Evropské unii stanoví GDPR podstatně přísnější požadavky na shromažďování a zpracování osobních údajů a uživatelé mají silnější práva na přístup ke svým údajům, žádost o jejich výmaz či omezení jejich zpracování.

Technický problém však zůstává stejný. Moderní auta mají mobilní datové připojení, GPS, mikrofony, kamery, možnost propojení s telefonem a cloudové služby. Z auta se v podstatě stal počítač na kolech připojený k síti.

Nejdůležitějším závěrem studie tedy není, že „všechna auta špehují“. Přesnější závěr je méně příjemný: velkou část toku dat z připojeného vozu jeho majitel jednoduše nemůže vidět ani ovlivnit.