Raziskava razkriva, koliko podatkov sodobni avtomobili pošiljajo tretjim osebam

Pomembno je poudariti, da raziskava ni dokazala, da je vsak podatkovni paket, ki ga je avtomobil poslal tretji osebi, vseboval osebne podatke. Omrežni promet avtomobilov je bil šifriran, zato so raziskovalci lahko videli, s katerimi strežniki je avtomobil komuniciral, ne pa vedno tudi, katere podatke so paketi vsebovali. Pri aplikacijah so lahko vsebino poslanih podatkov ugotovili precej natančneje.

Tesla je komunicirala z več deset domenami za sledenje in oglaševanje

Raziskovalci so preizkusili 21 avtomobilov 19 znamk v različnih okoliščinah, med drugim med mirovanjem, vožnjo in uporabo informacijsko-razvedrilnega sistema. Vsi avtomobili so komunicirali s strežniki svojega proizvajalca, kar je za delovanje povezanega avtomobila pričakovano.

Poleg tega je 19 avtomobilov vzpostavilo povezavo z vsaj eno tretjo osebo. Pri preizkusih sta izstopala Tesla Model 3 in Cybertruck. Model 3 je vzpostavil povezavo s 34 domenami za oglaševanje, sledenje ali analitiko ter še s 37 domenami, ki jih uporabljajo aplikacije v avtomobilu. Pri nekaterih avtomobilih, denimo Buicku Envista in Mercedes-Benzu EQS, preizkusi niso pokazali enakega vzorca: komunicirali so predvsem s storitvami svojih proizvajalcev.

Velik delež Googlovih domen ni presenetljiv, saj več proizvajalcev uporablja Android Automotive. Vendar so raziskovalci odkrili tudi povezave s storitvami, kot sta DoubleClick in Google Syndication, katerih glavni nalogi sta oglaševanje in sledenje uporabnikom, ne pa delovanje avtomobila.

Mobilna aplikacija lahko posreduje več podatkov kot sam avtomobil

Še očitnejša tveganja za zasebnost so se pokazala pri aplikacijah proizvajalcev za pametne telefone.

Od 30 aplikacij jih je 28 komuniciralo z vsaj enim podjetjem za oglaševanje, analitiko ali sledenje. Nekatere aplikacije so v tok uporabnikovih podatkov vključile več kot 20 dodatnih tretjih oseb. Raziskovalci so največ takšnih povezav ugotovili pri aplikacijah družb General Motors, Toyota in Nissan.

Po navedbah Univerze Northeastern so tretje osebe v nekaterih primerih prejele uporabnikovo ime, e-poštni naslov, VIN in natančno lokacijo. Tako je mogoče določen avtomobil in njegovega lastnika povezati z drugimi profili, ustvarjenimi na spletu in v aplikacijah.

Po izmenjavi informacij z raziskovalci je Honda spremenila svoj sistem in prenehala posredovati podatke o natančni lokaciji vsaj enemu podjetju za sledenje.

Privolitev je dana, nadzora pa pogosto ni

Proizvajalci avtomobilov so raziskovalcem povedali, da uporabo podatkov urejajo pogodbe in pravilniki o zasebnosti. Težava je v tem, da kupci pogosto privolijo že s tem, ko sprejmejo pogoje uporabe aplikacije ali povezane storitve.

Sedem proizvajalcev je navedlo, da je za branje pogojev odgovorna stranka. Toda če kupec zavrne deljenje podatkov, lahko izgubi funkcije, ki jih je z nakupom avtomobila dejansko že plačal, kot so zagon na daljavo, prikaz lokacije ali druge povezane storitve.

Izbira je zato precej pogojna: uporabniki lahko omejijo deljenje podatkov, vendar se morajo v zameno odreči nekaterim funkcijam avtomobila.

GDPR ščiti evropske voznike, a težava ostaja

Raziskava je zajela avtomobile in aplikacije na ameriškem trgu, zato njenih ugotovitev ni mogoče neposredno prenesti na evropski trg. V Evropski uniji GDPR določa precej strožje zahteve za zbiranje in obdelavo osebnih podatkov, uporabniki pa imajo obsežnejše pravice do dostopa do svojih podatkov ter do tega, da zahtevajo njihov izbris ali omejijo njihovo obdelavo.

Tehnična težava kljub temu ostaja enaka. Sodobni avtomobili imajo mobilno podatkovno povezavo, GPS, mikrofone, kamere, možnost povezave s telefonom in storitve v oblaku. Avtomobil je dejansko postal omrežno povezan računalnik na kolesih.

Najpomembnejši sklep raziskave torej ni, da »vsi avtomobili vohunijo«. Natančnejši sklep je bolj neprijeten: velik del podatkovnega prometa povezanega avtomobila njegovemu lastniku preprosto ni viden in ga ne more nadzorovati.