Studie avdekker hvor mye data moderne biler sender til tredjeparter
En studie fra Northeastern University og Consumer Reports fant at 19 av de 21 tilkoblede bilene som ble testet, kontaktet minst én tredjepartsserver. Bilenes mobilapper ga enda større grunn til bekymring: 28 av de 30 appene som ble testet, kommuniserte med annonse-, analyse- eller sporingstjenester, og noen sendte også bilens identifikasjonsnummer (VIN), brukerens navn eller nøyaktige posisjon.
Et viktig forbehold er at studien ikke påviste at hver datapakke en bil sendte til en tredjepart, inneholdt personopplysninger. Bilenes nettverkstrafikk var kryptert, så forskerne kunne se hvilke servere en bil kommuniserte med, men ikke alltid hvilken informasjon datapakkene inneholdt. For appene kunne de fastslå innholdet i dataene langt mer presist.
Tesla kommuniserte med dusinvis av sporings- og annonsedomener
Forskerne testet 21 biler fra 19 merker i ulike situasjoner, blant annet når bilene sto stille, under kjøring og mens infotainmentsystemet var i bruk. Alle bilene kommuniserte med produsentenes egne servere, slik man ville forvente for at en tilkoblet bil skal fungere.
I tillegg kontaktet 19 av bilene minst én tredjepart. Tesla Model 3 og Cybertruck skilte seg ut i testene. Model 3 kontaktet 34 domener for annonsering, sporing eller analyse, samt ytterligere 37 domener som ble brukt av apper i bilen. Noen biler, som Buick Envista og Mercedes-Benz EQS, viste ikke det samme mønsteret i testene og kommuniserte hovedsakelig med produsentenes egne tjenester.
Den store andelen Google-domener er ikke overraskende, ettersom flere produsenter bruker Android Automotive. Forskerne fant imidlertid også forbindelser til tjenester som DoubleClick og Google Syndication, som først og fremst brukes til annonsering og brukersporing, ikke til å få bilen til å fungere.
Mobilappen kan dele mer enn bilen selv
Enda tydeligere risikoer for personvernet kom frem i bilprodusentenes mobilapper.
Av de 30 appene kommuniserte 28 med minst ett selskap innen annonsering, analyse eller sporing. Noen apper førte mer enn 20 nye tredjeparter inn i brukerens dataflyt. Forskerne fant flest slike kontakter i apper fra General Motors, Toyota og Nissan.
Ifølge Northeastern University mottok tredjeparter i noen tilfeller brukerens navn, e-postadresse, VIN og nøyaktige posisjon. Dette gjør det mulig å knytte en bestemt bil og eieren til andre profiler som er bygget opp på nettet og i apper.
Etter dialog med forskerne endret Honda systemet sitt og sluttet å sende nøyaktige posisjonsdata til minst ett sporingsselskap.
Samtykke gis, men kontrollen mangler ofte
Bilprodusentene sa til forskerne at avtaler og personvernerklæringer regulerer bruken av data. Problemet er at kjøpere ofte gir samtykke ved å godta bruksvilkårene for en app eller en tilkoblet tjeneste.
Sju produsenter sa at det var kundens ansvar å lese vilkårene. Men å nekte å dele data kan føre til at kjøperen mister funksjoner vedkommende i praksis allerede har betalt for, som fjernstart, visning av bilens posisjon eller andre tilkoblede tjenester.
Det gjør valget nokså betinget: Brukerne kan begrense datadelingen, men må til gjengjeld gi avkall på noe av bilens funksjonalitet.
GDPR beskytter europeiske bilførere, men problemet består
Studien omfattet biler og apper på det amerikanske markedet, så funnene kan ikke overføres direkte til det europeiske markedet. I EU stiller GDPR betydelig strengere krav til innsamling og behandling av personopplysninger, og brukerne har sterkere rettigheter til å få innsyn i opplysningene sine, be om at de slettes eller begrense behandlingen av dem.
Det tekniske problemet er likevel det samme. Moderne biler har mobil datatilkobling, GPS, mikrofoner, kameraer, tilkobling til telefoner og skytjenester. Bilen er i praksis blitt en nettverkstilkoblet datamaskin på hjul.
Studiens viktigste konklusjon er derfor ikke at «alle biler spionerer». Den mer presise konklusjonen er mer ubehagelig: Store deler av datastrømmen fra en tilkoblet bil er det rett og slett ikke mulig for eieren å se eller kontrollere.
