Onderzoek laat zien hoeveel gegevens moderne auto's met derden delen
Uit een onderzoek van Northeastern University en Consumer Reports blijkt dat 19 van de 21 geteste connected auto's verbinding maakten met ten minste één server van een derde partij. De bijbehorende smartphone-apps lieten een zorgwekkender beeld zien: 28 van de 30 geteste apps communiceerden met advertentie-, analyse- of trackingdiensten. Sommige verstuurden ook het voertuigidentificatienummer (VIN), de naam van de gebruiker of diens exacte locatie.
Een belangrijke kanttekening is dat het onderzoek niet aantoonde dat elk datapakket dat een auto naar een derde partij stuurde persoonsgegevens bevatte. Het netwerkverkeer van de auto's was versleuteld. Daardoor konden de onderzoekers zien met welke servers een auto communiceerde, maar niet altijd welke informatie de pakketten bevatten. Bij de apps konden ze veel nauwkeuriger vaststellen welke gegevens werden verstuurd.
Tesla maakte verbinding met tientallen tracking- en advertentiedomeinen
De onderzoekers testten 21 auto's van 19 merken in uiteenlopende situaties: terwijl de auto stilstond, tijdens het rijden en bij gebruik van het infotainmentsysteem. Alle auto's communiceerden met servers van hun eigen fabrikant, zoals te verwachten is bij een connected auto.
Daarnaast maakten 19 auto's verbinding met ten minste één derde partij. De Tesla Model 3 en Cybertruck vielen daarbij op. De Model 3 maakte verbinding met 34 domeinen voor advertenties, tracking of analyse, en met nog eens 37 domeinen die door apps in de auto werden gebruikt. Sommige auto's, zoals de Buick Envista en Mercedes-Benz EQS, vertoonden tijdens de tests niet hetzelfde patroon en communiceerden voornamelijk met diensten van hun eigen fabrikant.
Het grote aandeel Google-domeinen is niet verrassend, omdat verschillende fabrikanten Android Automotive gebruiken. De onderzoekers zagen echter ook verbindingen met diensten als DoubleClick en Google Syndication, die vooral bedoeld zijn voor advertenties en het volgen van gebruikers, niet voor het functioneren van de auto.
De smartphone-app deelt mogelijk meer gegevens dan de auto zelf
Bij de smartphone-apps van fabrikanten kwamen nog duidelijkere privacyrisico's naar voren.
Van de 30 apps communiceerden er 28 met ten minste één advertentie-, analyse- of trackingbedrijf. Sommige apps voegden meer dan 20 nieuwe derde partijen toe aan de stroom gebruikersgegevens. De onderzoekers vonden de meeste van zulke verbindingen bij apps van General Motors, Toyota en Nissan.
Volgens Northeastern University ontvingen derde partijen in sommige gevallen de naam, het e-mailadres, het VIN en de exacte locatie van de gebruiker. Daardoor is het mogelijk een specifieke auto en de eigenaar ervan te koppelen aan andere profielen die online en in apps zijn opgebouwd.
Na contact met de onderzoekers paste Honda zijn systeem aan en stopte het met het doorsturen van exacte locatiegegevens naar ten minste één trackingbedrijf.
Toestemming wordt gegeven, maar controle ontbreekt vaak
Autofabrikanten vertelden de onderzoekers dat contracten en privacyverklaringen het gebruik van gegevens regelen. Het probleem is dat kopers vaak al toestemming geven door simpelweg de gebruiksvoorwaarden van een app of connected dienst te accepteren.
Zeven fabrikanten zeiden dat het de verantwoordelijkheid van de klant is om de voorwaarden te lezen. Wie weigert gegevens te delen, kan echter functies kwijtraken waarvoor de autokoper in feite al heeft betaald, zoals het op afstand starten van de auto, de weergave van de locatie of andere connected diensten.
Daarmee is de keuze nogal voorwaardelijk: gebruikers kunnen het delen van gegevens beperken, maar moeten daarvoor een deel van de functionaliteit van hun auto opgeven.
De AVG beschermt Europese automobilisten, maar het probleem blijft
Het onderzoek betrof auto's en apps op de Amerikaanse markt. De bevindingen zijn daarom niet rechtstreeks van toepassing op de Europese markt. In de Europese Unie stelt de Algemene verordening gegevensbescherming (AVG) aanzienlijk strengere eisen aan het verzamelen en verwerken van persoonsgegevens. Gebruikers hebben er ook sterkere rechten om hun gegevens in te zien, om verwijdering te verzoeken of om de verwerking ervan te beperken.
Het technische probleem blijft echter hetzelfde. Moderne auto's beschikken over mobiele dataverbindingen, gps, microfoons, camera's, verbindingen met telefoons en clouddiensten. De auto is in feite een computer op wielen die met het netwerk is verbonden.
De belangrijkste conclusie van het onderzoek is dan ook niet dat 'alle auto's spioneren'. De preciezere conclusie is ongemakkelijker: een groot deel van de gegevensstromen van een connected auto blijft voor de eigenaar onzichtbaar of buiten diens controle.
