Uno studio rivela quanti dati le auto moderne inviano a soggetti terzi
Uno studio della Northeastern University e di Consumer Reports ha rilevato che 19 delle 21 auto connesse esaminate hanno contattato almeno un server di terze parti. Le app per smartphone delle auto hanno mostrato comportamenti ancora più problematici: 28 delle 30 app esaminate hanno comunicato con servizi pubblicitari, di analisi o di tracciamento e alcune hanno trasmesso anche il numero di identificazione del veicolo (VIN), il nome dell’utente o la sua posizione precisa.
Va precisato che lo studio non ha dimostrato che ogni pacchetto di dati inviato da un’auto a soggetti terzi contenesse dati personali. Il traffico di rete delle auto era cifrato: i ricercatori potevano vedere con quali server comunicava un’auto, ma non sempre quali informazioni contenessero i pacchetti. Nel caso delle app, invece, sono riusciti a identificare con molta più precisione il contenuto dei dati trasmessi.
Tesla ha comunicato con decine di domini pubblicitari e di tracciamento
I ricercatori hanno esaminato 21 auto di 19 marchi in diverse condizioni, tra cui da ferme, durante la guida e durante l’utilizzo del sistema di infotainment. Tutte le auto hanno comunicato con i server dei rispettivi costruttori, come prevedibile per il funzionamento di un’auto connessa.
Inoltre, 19 auto hanno contattato almeno un soggetto terzo. La Tesla Model 3 e il Cybertruck si sono distinti nei test. La Model 3 ha contattato 34 domini pubblicitari, di tracciamento o di analisi, oltre ad altri 37 domini utilizzati dalle app di bordo. Alcune auto, come la Buick Envista e la Mercedes-Benz EQS, non hanno mostrato lo stesso schema nei test e hanno comunicato principalmente con i servizi dei rispettivi costruttori.
L’elevata presenza di domini Google non sorprende, dato che diversi costruttori utilizzano Android Automotive. I ricercatori hanno però rilevato anche connessioni a servizi come DoubleClick e Google Syndication, la cui funzione principale è la pubblicità e il tracciamento degli utenti, non il funzionamento dell’auto.
L’app per smartphone può condividere più dati dell’auto stessa
Dalle app per smartphone dei costruttori sono emersi rischi per la privacy ancora più evidenti.
Delle 30 app, 28 hanno comunicato con almeno un’azienda attiva nella pubblicità, nell’analisi dei dati o nel tracciamento. Alcune app hanno aggiunto più di 20 nuovi soggetti terzi al flusso di dati dell’utente. I ricercatori hanno rilevato il maggior numero di contatti di questo tipo nelle app di General Motors, Toyota e Nissan.
Secondo la Northeastern University, in alcuni casi soggetti terzi hanno ricevuto il nome dell’utente, l’indirizzo email, il VIN e la posizione precisa. Questo rende possibile collegare un’auto specifica e il suo proprietario ad altri profili creati online e nelle app.
Dopo aver comunicato con i ricercatori, Honda ha modificato il proprio sistema e ha smesso di trasmettere dati sulla posizione precisa ad almeno un’azienda di tracciamento.
Il consenso viene dato, ma spesso manca il controllo
I costruttori automobilistici hanno detto ai ricercatori che l’uso dei dati è disciplinato da contratti e informative sulla privacy. Il problema è che spesso gli acquirenti danno il consenso semplicemente accettando le condizioni d’uso di un’app o di un servizio connesso.
Sette costruttori hanno affermato che leggere le condizioni è responsabilità del cliente. Eppure, rifiutare la condivisione dei dati può comportare la perdita di funzioni che l’acquirente ha di fatto già pagato, come l’avviamento da remoto, la visualizzazione della posizione o altri servizi connessi.
La scelta è quindi piuttosto vincolata: gli utenti possono limitare la condivisione dei dati, ma in cambio devono rinunciare ad alcune funzionalità dell’auto.
Il GDPR tutela i conducenti europei, ma il problema resta
Lo studio ha riguardato auto e app del mercato statunitense, quindi i suoi risultati non possono essere applicati direttamente al mercato europeo. Nell’Unione europea, il GDPR impone requisiti molto più stringenti per la raccolta e il trattamento dei dati personali e gli utenti hanno diritti più ampi per accedere ai propri dati, chiederne la cancellazione o limitarne il trattamento.
Il problema tecnico, tuttavia, resta lo stesso. Le auto moderne integrano connettività dati mobile, GPS, microfoni, telecamere, connettività con gli smartphone e servizi cloud. L’auto è diventata, di fatto, un computer connesso su ruote.
La conclusione più importante dello studio, dunque, non è che «tutte le auto ci spiano». La conclusione più precisa è più scomoda: gran parte del flusso di dati di un’auto connessa sfugge semplicemente alla possibilità del proprietario di vederlo o controllarlo.
