Tutkimus paljastaa, kuinka paljon tietoa nykyautot lähettävät kolmansille osapuolille
Northeastern Universityn ja Consumer Reportsin tutkimuksessa 19 testatusta 21 verkkoon kytketystä autosta otti yhteyttä vähintään yhteen kolmannen osapuolen palvelimeen. Autojen mobiilisovellukset toimivat yksityisyydensuojan kannalta vielä ongelmallisemmin: 28 testatusta 30 sovelluksesta oli yhteydessä mainonta-, analytiikka- tai seurantapalveluihin, ja osa välitti myös auton valmistenumeron (VIN), käyttäjän nimen tai tarkan sijainnin.
Olennainen täsmennys on, ettei tutkimus osoittanut jokaisen auton kolmannelle osapuolelle lähettämän datapaketin sisältäneen henkilötietoja. Autojen verkkoliikenne oli salattua, joten tutkijat näkivät, mihin palvelimiin auto oli yhteydessä, mutta eivät aina sitä, mitä tietoa paketit sisälsivät. Sovellusten lähettämän tiedon sisällön he pystyivät selvittämään paljon tarkemmin.
Tesla oli yhteydessä kymmeniin seuranta- ja mainontaverkkotunnuksiin
Tutkijat testasivat 21:tä autoa 19 merkiltä eri tilanteissa: auton ollessa paikallaan, ajossa ja viihde- ja tietojärjestelmää käytettäessä. Kaikki autot olivat yhteydessä valmistajansa omiin palvelimiin, kuten verkkoon kytketyn auton toiminnan kannalta voi odottaa.
Lisäksi 19 autoa otti yhteyttä vähintään yhteen kolmanteen osapuoleen. Tesla Model 3 ja Cybertruck erottuivat testeissä. Model 3 otti yhteyttä 34:ään mainontaan, seurantaan tai analytiikkaan liittyvään verkkotunnukseen sekä 37 muuhun auton sovellusten käyttämään verkkotunnukseen. Joidenkin autojen, kuten Buick Envistan ja Mercedes-Benz EQS:n, kohdalla testeissä ei havaittu samanlaista yhteydenpitomallia: ne olivat yhteydessä pääasiassa valmistajansa omiin palveluihin.
Google-verkkotunnusten suuri osuus ei ole yllättävä, sillä useat valmistajat käyttävät Android Automotivea. Tutkijat havaitsivat kuitenkin yhteyksiä myös DoubleClickin ja Google Syndicationin kaltaisiin palveluihin, joiden ensisijainen tehtävä on mainonta ja käyttäjien seuranta eikä auton toiminnan mahdollistaminen.
Mobiilisovellus voi jakaa enemmän tietoa kuin auto itse
Valmistajien älypuhelinsovelluksissa ilmeni vielä selvempiä yksityisyydensuojaan liittyviä riskejä.
Kolmestakymmenestä sovelluksesta 28 oli yhteydessä vähintään yhteen mainonta-, analytiikka- tai seurantayritykseen. Joidenkin sovellusten kautta käyttäjän tietoja päätyi yli 20 uudelle kolmannelle osapuolelle. Tutkijat havaitsivat eniten tällaisia yhteyksiä General Motorsin, Toyotan ja Nissanin sovelluksissa.
Northeastern Universityn mukaan kolmannet osapuolet saivat joissakin tapauksissa käyttäjän nimen, sähköpostiosoitteen, auton valmistenumeron (VIN) ja tarkan sijainnin. Näin tietty auto ja sen omistaja voidaan yhdistää muihin verkossa ja sovelluksissa koottuihin profiileihin.
Oltuaan yhteydessä tutkijoihin Honda muutti järjestelmäänsä ja lopetti tarkan sijaintitiedon välittämisen ainakin yhdelle seurantayritykselle.
Suostumus annetaan, mutta mahdollisuudet hallita tietojen jakamista ovat usein puutteelliset
Autonvalmistajat kertoivat tutkijoille, että tietojen käyttöä säätelevät sopimukset ja tietosuojakäytännöt. Ongelmana on, että ostajat antavat usein suostumuksensa pelkästään hyväksymällä sovelluksen tai verkkoon kytketyn palvelun käyttöehdot.
Seitsemän valmistajaa sanoi, että ehtojen lukeminen on asiakkaan vastuulla. Tietojen jakamisesta kieltäytyminen voi kuitenkin poistaa käytöstä ominaisuuksia, joista auton ostaja on käytännössä jo maksanut, kuten etäkäynnistyksen, sijainnin näyttämisen tai muita verkkoon kytkettyjä palveluja.
Valinnanvapaus on siten melko ehdollista: käyttäjät voivat rajoittaa tietojen jakamista, mutta joutuvat vastineeksi luopumaan osasta auton toiminnoista.
GDPR suojaa eurooppalaisia kuljettajia, mutta ongelma ei katoa
Tutkimus koski Yhdysvaltain markkinoilla olevia autoja ja sovelluksia, joten sen tuloksia ei voi suoraan soveltaa Euroopan markkinoihin. Euroopan unionissa GDPR asettaa huomattavasti tiukemmat vaatimukset henkilötietojen keräämiselle ja käsittelylle, ja käyttäjillä on vahvemmat oikeudet saada pääsy tietoihinsa, pyytää niiden poistamista tai rajoittaa niiden käsittelyä.
Tekninen ongelma on silti sama. Nykyautoissa on mobiilidatayhteyksiä, GPS, mikrofoneja, kameroita, puhelinyhteyksiä ja pilvipalveluja. Autosta on käytännössä tullut pyörillä kulkeva verkkoon kytketty tietokone.
Tutkimuksen tärkein johtopäätös ei siis ole, että ”kaikki autot vakoilevat”. Täsmällisempi johtopäätös on epämukavampi: suurta osaa verkkoon kytketyn auton tietoliikenteestä sen omistaja ei yksinkertaisesti pysty näkemään tai hallitsemaan.
