Studie visar hur mycket data moderna bilar skickar till tredje part

En viktig reservation är att studien inte visade att varje datapaket som en bil skickade till tredje part innehöll personuppgifter. Bilarnas nätverkstrafik var krypterad. Forskarna kunde därför se vilka servrar en bil kommunicerade med, men inte alltid vilken information paketen innehöll. För apparna kunde de fastställa innehållet i de överförda uppgifterna betydligt mer exakt.

Tesla kommunicerade med dussintals domäner för spårning och annonsering

Forskarna testade 21 bilar från 19 märken i olika situationer, bland annat när de stod stilla, under körning och när infotainmentsystemet användes. Alla bilar kommunicerade med den egna tillverkarens servrar, vilket är väntat för att en uppkopplad bil ska fungera.

Därutöver kontaktade 19 av bilarna minst en tredje part. Tesla Model 3 och Cybertruck stack ut i testerna. Model 3 kontaktade 34 domäner för annonsering, spårning eller analys, samt ytterligare 37 domäner som användes av appar i bilen. Vissa bilar, som Buick Envista och Mercedes-Benz EQS, uppvisade inte samma mönster i testerna utan kommunicerade främst med den egna tillverkarens tjänster.

Den stora andelen Google-domäner är inte förvånande, eftersom flera tillverkare använder Android Automotive. Forskarna fann dock även anslutningar till tjänster som DoubleClick och Google Syndication, vars främsta funktion är annonsering och spårning av användare snarare än att få bilen att fungera.

Mobilappen kan dela mer än bilen själv

Än tydligare integritetsrisker framkom i tillverkarnas mobilappar.

Av de 30 apparna kommunicerade 28 med minst ett företag inom annonsering, analys eller spårning. Vissa appar innebar att användarens data även nådde fler än 20 ytterligare tredje parter. Forskarna identifierade flest sådana kontakter i appar från General Motors, Toyota och Nissan.

Enligt Northeastern University fick tredje parter i vissa fall användarens namn, e-postadress, VIN och exakta position. Det gör det möjligt att koppla en viss bil och dess ägare till andra profiler som sammanställts på nätet och i appar.

Efter kontakt med forskarna ändrade Honda sitt system och slutade skicka exakta positionsuppgifter till minst ett företag som ägnar sig åt spårning.

Samtycke ges, men kontrollen saknas ofta

Biltillverkarna uppgav för forskarna att avtal och integritetspolicyer styr hur uppgifterna används. Problemet är att köpare ofta ger sitt samtycke genom att helt enkelt godkänna användarvillkoren för en app eller uppkopplad tjänst.

Sju tillverkare sade att det var kundens ansvar att läsa villkoren. Men den som avstår från att dela data kan förlora funktioner som bilköparen i praktiken redan har betalat för, till exempel fjärrstart, visning av bilens position eller andra uppkopplade tjänster.

Valet blir därmed ganska villkorat: användare kan begränsa datadelningen, men måste då avstå från vissa av bilens funktioner.

GDPR skyddar förare i Europa, men problemet kvarstår

Studien omfattade bilar och appar på den amerikanska marknaden, så resultaten kan inte överföras direkt till den europeiska marknaden. Inom EU ställer GDPR betydligt strängare krav på insamling och behandling av personuppgifter, och användare har starkare rättigheter att få tillgång till sina uppgifter, begära att de raderas eller begränsa behandlingen av dem.

Det tekniska problemet är ändå detsamma. Moderna bilar har mobil uppkoppling, GPS, mikrofoner, kameror, anslutning till telefoner och molntjänster. Bilen har i praktiken blivit en uppkopplad dator på hjul.

Studiens viktigaste slutsats är därför inte att ”alla bilar spionerar”. En mer precis slutsats är mer obekväm: en stor del av en uppkopplad bils dataflöde ligger helt enkelt utanför ägarens möjlighet att se eller kontrollera det.