Badanie pokazuje, ile danych współczesne samochody przesyłają podmiotom trzecim
Badanie przeprowadzone przez Northeastern University i Consumer Reports wykazało, że 19 z 21 przetestowanych samochodów z funkcjami łączności nawiązało połączenie z co najmniej jednym serwerem podmiotu trzeciego. Powiązane z nimi aplikacje mobilne wypadły pod tym względem jeszcze gorzej: 28 z 30 przetestowanych aplikacji komunikowało się z usługami reklamowymi, analitycznymi lub śledzącymi, a niektóre przesyłały także numer identyfikacyjny pojazdu (VIN), imię użytkownika lub jego dokładną lokalizację.
Ważne zastrzeżenie: badanie nie dowiodło, że każdy pakiet danych wysłany przez samochód do podmiotu trzeciego zawierał dane osobowe. Ruch sieciowy samochodów był szyfrowany, więc badacze mogli ustalić, z którymi serwerami łączył się pojazd, ale nie zawsze mogli sprawdzić, jakie informacje zawierały przesyłane pakiety. W przypadku aplikacji udało im się znacznie dokładniej ustalić zawartość przesyłanych danych.
Tesla łączyła się z dziesiątkami domen służących do śledzenia użytkowników i wyświetlania reklam
Badacze przetestowali 21 samochodów 19 marek w różnych sytuacjach: na postoju, podczas jazdy oraz w trakcie korzystania z systemu multimedialnego. Wszystkie samochody komunikowały się z serwerami swoich producentów, czego można się spodziewać, zważywszy na działanie funkcji łączności.
Ponadto 19 samochodów nawiązało połączenie z co najmniej jednym podmiotem trzecim. W testach wyróżniły się Tesla Model 3 i Cybertruck. Model 3 łączył się z 34 domenami reklamowymi, śledzącymi lub analitycznymi, a także z 37 innymi domenami używanymi przez aplikacje pokładowe. Niektóre samochody, takie jak Buick Envista i Mercedes-Benz EQS, nie wykazywały w testach podobnego wzorca i komunikowały się głównie z usługami własnych producentów.
Duży udział domen Google nie dziwi, ponieważ kilku producentów korzysta z Android Automotive. Badacze wykryli jednak również połączenia z usługami takimi jak DoubleClick i Google Syndication, których główną funkcją jest wyświetlanie reklam i śledzenie użytkowników, a nie obsługa samochodu.
Aplikacja mobilna może udostępniać więcej danych niż sam samochód
Jeszcze wyraźniejsze zagrożenia dla prywatności ujawniły się w aplikacjach producentów na smartfony.
Spośród 30 aplikacji 28 komunikowało się z co najmniej jedną firmą zajmującą się reklamą, analityką lub śledzeniem użytkowników. Niektóre aplikacje włączały do przepływu danych użytkownika ponad 20 dodatkowych podmiotów trzecich. Najwięcej takich połączeń badacze zidentyfikowali w aplikacjach General Motors, Toyoty i Nissana.
Według Northeastern University w niektórych przypadkach do podmiotów trzecich trafiały imię i nazwisko użytkownika, jego adres e-mail, numer VIN oraz dokładna lokalizacja. Umożliwia to powiązanie konkretnego samochodu i jego właściciela z innymi profilami tworzonymi w internecie i aplikacjach.
Po kontakcie z badaczami Honda zmieniła swój system i przestała przesyłać dane o dokładnej lokalizacji do co najmniej jednej firmy śledzącej użytkowników.
Zgoda jest udzielana, ale często brakuje kontroli
Producenci samochodów powiedzieli badaczom, że zasady wykorzystania danych regulują umowy i polityki prywatności. Problem w tym, że kupujący często udzielają zgody po prostu przez zaakceptowanie warunków korzystania z aplikacji lub usługi wymagającej łączności.
Siedmiu producentów stwierdziło, że zapoznanie się z warunkami należy do obowiązków klienta. Odmowa udostępniania danych może jednak pozbawić kupującego funkcji, za które w praktyce już zapłacił, takich jak zdalne uruchamianie, wyświetlanie lokalizacji czy inne usługi wymagające łączności.
Wybór jest więc dość warunkowy: użytkownicy mogą ograniczyć udostępnianie danych, ale w zamian muszą zrezygnować z części funkcji samochodu.
RODO chroni europejskich kierowców, ale problem pozostaje
Badanie objęło samochody i aplikacje na rynku amerykańskim, dlatego jego wyników nie można bezpośrednio odnosić do rynku europejskiego. W Unii Europejskiej RODO nakłada znacznie surowsze wymogi dotyczące gromadzenia i przetwarzania danych osobowych, a użytkownicy mają szersze prawa do dostępu do swoich danych, żądania ich usunięcia lub ograniczenia ich przetwarzania.
Problem techniczny pozostaje jednak taki sam. Współczesne samochody są wyposażone w łączność komórkową, GPS, mikrofony, kamery, możliwość połączenia z telefonem i usługi chmurowe. Samochód stał się w praktyce komputerem na kołach podłączonym do sieci.
Najważniejszy wniosek z badania nie brzmi więc: „wszystkie samochody szpiegują”. Trafniejszy wniosek jest mniej wygodny: właściciel samochodu z funkcjami łączności po prostu nie jest w stanie obserwować ani kontrolować znacznej części przepływu jego danych.
