Estudo revela a quantidade de dados que os automóveis modernos enviam a terceiros
Um estudo da Northeastern University e da Consumer Reports concluiu que 19 dos 21 automóveis conectados testados contactaram pelo menos um servidor de terceiros. As aplicações móveis dos automóveis revelaram um comportamento ainda mais problemático: 28 das 30 aplicações testadas comunicaram com serviços de publicidade, análise de dados ou rastreamento, e algumas transmitiram também o número de identificação do veículo (VIN), o nome do utilizador ou a sua localização exata.
Há uma ressalva importante: o estudo não demonstrou que todos os pacotes de dados enviados por um automóvel a terceiros continham dados pessoais. O tráfego de rede dos automóveis estava encriptado, pelo que os investigadores conseguiam identificar os servidores com que cada veículo comunicava, mas nem sempre conseguiam ver que informação continham os pacotes. No caso das aplicações, conseguiram identificar o conteúdo dos dados com muito mais precisão.
Tesla comunicou com dezenas de domínios de rastreamento e publicidade
Os investigadores testaram 21 automóveis de 19 marcas em várias situações, incluindo com o veículo parado, em andamento e durante a utilização do sistema de infoentretenimento. Todos comunicaram com os servidores dos respetivos fabricantes, como seria de esperar para o funcionamento de um automóvel conectado.
Além disso, 19 dos automóveis contactaram pelo menos um terceiro. O Tesla Model 3 e o Cybertruck destacaram-se nos testes. O Model 3 contactou 34 domínios de publicidade, rastreamento ou análise de dados, além de outros 37 domínios utilizados por aplicações a bordo. Alguns automóveis, como o Buick Envista e o Mercedes-Benz EQS, não apresentaram o mesmo padrão nos testes e comunicaram sobretudo com os serviços dos respetivos fabricantes.
A elevada proporção de domínios da Google não surpreende, uma vez que vários fabricantes utilizam o Android Automotive. No entanto, os investigadores também detetaram ligações a serviços como DoubleClick e Google Syndication, cuja função principal é a publicidade e o rastreamento de utilizadores, e não o funcionamento do automóvel.
A aplicação móvel pode partilhar mais dados do que o próprio automóvel
As aplicações dos fabricantes para smartphones revelaram riscos ainda mais claros para a privacidade.
Das 30 aplicações, 28 comunicaram com pelo menos uma empresa de publicidade, análise de dados ou rastreamento. Algumas aplicações acrescentaram mais de 20 novos terceiros ao fluxo de dados do utilizador. Os investigadores identificaram o maior número desses contactos nas aplicações da General Motors, Toyota e Nissan.
Segundo a Northeastern University, em alguns casos os terceiros receberam o nome e o endereço de correio eletrónico do utilizador, o VIN e a localização exata. Isto permite associar um automóvel específico e o seu proprietário a outros perfis criados na Internet e em aplicações.
Após comunicar com os investigadores, a Honda alterou o seu sistema e deixou de transmitir dados de localização exata a pelo menos uma empresa de rastreamento.
Há consentimento, mas muitas vezes falta controlo
Os fabricantes de automóveis disseram aos investigadores que a utilização dos dados é regulada por contratos e políticas de privacidade. O problema é que, muitas vezes, os compradores dão o seu consentimento simplesmente ao aceitarem os termos de utilização de uma aplicação ou de um serviço conectado.
Sete fabricantes afirmaram que cabe ao cliente ler os termos. Contudo, recusar a partilha de dados pode implicar a perda de funcionalidades pelas quais o comprador do automóvel, na prática, já pagou, como o arranque à distância, a apresentação da localização ou outros serviços conectados.
Isto torna a escolha bastante condicionada: os utilizadores podem limitar a partilha de dados, mas, em contrapartida, têm de abdicar de algumas funcionalidades do automóvel.
O RGPD protege os condutores europeus, mas o problema mantém-se
O estudo abrangeu automóveis e aplicações no mercado dos Estados Unidos, pelo que as suas conclusões não podem ser aplicadas diretamente ao mercado europeu. Na União Europeia, o Regulamento Geral sobre a Proteção de Dados (RGPD) impõe requisitos consideravelmente mais rigorosos à recolha e ao tratamento de dados pessoais, e os utilizadores têm direitos mais amplos: podem aceder aos seus dados, solicitar a sua eliminação ou restringir o seu tratamento.
O problema técnico, contudo, mantém-se. Os automóveis modernos integram ligação a redes de dados móveis, GPS, microfones, câmaras, ligação ao telemóvel e serviços na nuvem. Na prática, o automóvel tornou-se um computador sobre rodas ligado à rede.
A conclusão mais importante do estudo não é, portanto, que «todos os automóveis espiam». A conclusão mais precisa é mais incómoda: grande parte do fluxo de dados de um automóvel conectado está simplesmente fora do alcance da observação ou do controlo do seu proprietário.
