Undersøgelse viser, hvor store mængder data moderne biler sender til tredjeparter

Et vigtigt forbehold er, at undersøgelsen ikke påviste, at hver datapakke, en bil sendte til en tredjepart, indeholdt personoplysninger. Bilernes netværkstrafik var krypteret, så forskerne kunne se, hvilke servere en bil kommunikerede med, men ikke altid, hvilke oplysninger datapakkerne indeholdt. For appenes vedkommende kunne de identificere dataenes indhold langt mere præcist.

Tesla kommunikerede med snesevis af sporings- og reklamedomæner

Forskerne testede 21 biler fra 19 mærker i forskellige situationer, blandt andet når bilerne holdt stille, under kørsel og ved brug af infotainmentsystemet. Alle bilerne kommunikerede med producenternes egne servere, som man måtte forvente, for at en opkoblet bil kan fungere.

Derudover kontaktede 19 af bilerne mindst én tredjepart. Tesla Model 3 og Cybertruck skilte sig ud i testene. Model 3 kontaktede 34 reklame-, sporings- eller analysedomæner samt yderligere 37 domæner, som apps i bilen benyttede. Nogle biler, herunder Buick Envista og Mercedes-Benz EQS, udviste ikke samme mønster i testene og kommunikerede primært med deres egen producents tjenester.

Den store andel af Google-domæner er ikke overraskende, da flere producenter bruger Android Automotive. Forskerne fandt dog også forbindelser til tjenester som DoubleClick og Google Syndication, hvis primære formål er reklame og sporing af brugere snarere end bilens drift.

Mobilappen kan dele mere end selve bilen

Endnu tydeligere risici for privatlivet viste sig i producenternes smartphoneapps.

Af de 30 apps kommunikerede 28 med mindst én reklame-, analyse- eller sporingsvirksomhed. Nogle apps tilføjede mere end 20 nye tredjeparter til strømmen af data fra brugeren. Forskerne fandt flest sådanne kontakter i apps fra General Motors, Toyota og Nissan.

Ifølge Northeastern University modtog tredjeparter i nogle tilfælde brugerens navn, e-mailadresse, stelnummer (VIN) og præcise position. Det gør det muligt at koble en bestemt bil og dens ejer til andre profiler, der er opbygget på nettet og i apps.

Efter at have været i kontakt med forskerne ændrede Honda sit system og holdt op med at sende præcise positionsdata til mindst én sporingsvirksomhed.

Samtykke bliver givet, men kontrollen mangler ofte

Bilproducenterne oplyste til forskerne, at aftaler og privatlivspolitikker regulerer brugen af data. Problemet er, at købere ofte giver samtykke ved blot at acceptere vilkårene for en app eller en opkoblet tjeneste.

Syv producenter sagde, at det var kundens ansvar at læse vilkårene. Men hvis man afviser at dele data, kan man miste funktioner, som bilkøberen reelt allerede har betalt for, såsom fjernstart, visning af bilens position eller andre opkoblede tjenester.

Det gør valget ret betinget: Brugerne kan begrænse delingen af data, men må til gengæld opgive nogle af bilens funktioner.

GDPR beskytter europæiske bilister, men problemet består

Undersøgelsen omfattede biler og apps på det amerikanske marked, så resultaterne kan ikke uden videre overføres til det europæiske marked. I EU stiller GDPR betydeligt strengere krav til indsamling og behandling af personoplysninger, og brugerne har stærkere rettigheder til at få indsigt i deres oplysninger, anmode om at få dem slettet eller begrænse behandlingen af dem.

Det tekniske problem er ikke desto mindre det samme. Moderne biler har indbygget mobildataforbindelse, GPS, mikrofoner, kameraer, forbindelse til telefoner og cloudtjenester. Bilen er reelt blevet en netværksforbundet computer på hjul.

Undersøgelsens vigtigste konklusion er derfor ikke, at »alle biler spionerer«. Den mere præcise konklusion er mere ubehagelig: En stor del af den opkoblede bils datastrøm ligger ganske enkelt uden for ejerens mulighed for at se eller kontrollere den.