Štúdia ukazuje, koľko údajov moderné autá posielajú tretím stranám

Dôležité je spresniť, že štúdia nepreukázala, že každý dátový paket, ktorý auto odoslalo tretej strane, obsahoval osobné údaje. Sieťová komunikácia áut bola šifrovaná, takže výskumníci videli, s ktorými servermi auto komunikovalo, no nie vždy vedeli, aké informácie pakety obsahovali. Pri aplikáciách dokázali obsah prenášaných údajov určiť oveľa presnejšie.

Tesla komunikovala s desiatkami domén na sledovanie používateľov a reklamu

Výskumníci testovali 21 áut od 19 značiek v rôznych situáciách, okrem iného pri státí, počas jazdy a pri používaní infotainmentu. Všetky autá komunikovali s vlastnými servermi svojich výrobcov, čo sa pri fungovaní pripojeného auta dá očakávať.

Okrem toho 19 áut nadviazalo spojenie aspoň s jednou treťou stranou. V testoch vynikli Tesla Model 3 a Cybertruck. Model 3 sa spojil s 34 doménami na reklamu, sledovanie používateľov alebo analytiku a s ďalšími 37 doménami, ktoré využívajú aplikácie v aute. Pri niektorých autách, napríklad Buicku Envista a Mercedese-Benz EQS, sa pri testovaní rovnaký vzorec neprejavil a komunikovali najmä so službami vlastného výrobcu.

Vysoký podiel domén Googlu nie je prekvapujúci, keďže viacerí výrobcovia používajú Android Automotive. Výskumníci však zaznamenali aj spojenia so službami, ako sú DoubleClick a Google Syndication, ktorých hlavnou úlohou je reklama a sledovanie používateľov, nie prevádzka auta.

Mobilná aplikácia môže zdieľať viac údajov než samotné auto

Ešte zreteľnejšie riziká pre súkromie odhalili smartfónové aplikácie výrobcov.

Z 30 aplikácií ich 28 komunikovalo aspoň s jednou spoločnosťou pôsobiacou v oblasti reklamy, analytiky alebo sledovania používateľov. Niektoré aplikácie pridali k príjemcom používateľových údajov viac než 20 nových tretích strán. Najviac takýchto spojení výskumníci zaznamenali v aplikáciách spoločností General Motors, Toyota a Nissan.

Podľa Northeastern University tretie strany v niektorých prípadoch dostávali meno používateľa, e-mailovú adresu, VIN a presnú polohu. To umožňuje prepojiť konkrétne auto a jeho majiteľa s ďalšími profilmi vytvorenými na internete a v aplikáciách.

Po komunikácii s výskumníkmi Honda zmenila svoj systém a prestala odosielať údaje o presnej polohe aspoň jednej spoločnosti zaoberajúcej sa sledovaním používateľov.

Súhlas sa udeľuje, kontrola však často chýba

Výrobcovia áut výskumníkom uviedli, že používanie údajov upravujú zmluvy a zásady ochrany súkromia. Problém je v tom, že kupujúci často udeľujú súhlas už tým, že prijmú podmienky používania aplikácie alebo pripojenej služby.

Sedem výrobcov uviedlo, že prečítanie podmienok je zodpovednosťou zákazníka. Odmietnutie zdieľania údajov však môže znamenať stratu funkcií, za ktoré kupujúci auta v podstate už zaplatil, napríklad štartovania na diaľku, zobrazovania polohy či ďalších pripojených služieb.

Voľba je tak značne podmienená: používatelia môžu obmedziť zdieľanie údajov, no musia sa za to vzdať časti funkcií auta.

GDPR chráni európskych vodičov, problém však pretrváva

Štúdia sa týkala áut a aplikácií na americkom trhu, preto jej zistenia nemožno priamo preniesť na európsky trh. V Európskej únii kladie GDPR na zhromažďovanie a spracúvanie osobných údajov podstatne prísnejšie požiadavky a používatelia majú silnejšie práva na prístup k svojim údajom, žiadosť o ich vymazanie či obmedzenie ich spracúvania.

Technický problém však zostáva rovnaký. Moderné autá majú mobilné dátové pripojenie, GPS, mikrofóny, kamery, prepojenie s telefónom a cloudové služby. Z auta sa v podstate stal počítač na kolesách pripojený k sieti.

Najdôležitejším záverom štúdie teda nie je, že „všetky autá špehujú“. Presnejší záver je nepríjemnejší: značnú časť dátovej komunikácie pripojeného auta jeho majiteľ jednoducho nemôže sledovať ani ovládať.