Din nästa bil kan spåra dig – och Tesla sticker ut i granskningen

Frågan är inte om all sådan trafik är av ondo. En tjänst kan behöva utbyta data för att fungera. Frågan är vilka uppgifter som skickas, till vem och om föraren kan välja bort delningen utan att förlora det han faktiskt köpte bilen för. Den detaljen brukar vara mindre lättläst än broschyrens avsnitt om säteskomfort.

En granskning som Consumer Reports genomförde med integritetsforskare vid Northeastern University ger skäl att fråga. Forskarna undersökte 21 bilar och 30 tillhörande appar. Deras studie, Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem, visar hur uppgifter kan lämna bilens och appens egen miljö. Undersökningen gäller de testade produkterna, inte varje bil på marknaden.

Två siffror som inte betyder samma sak

Av de 30 apparna skickade 28 data till minst ett externt reklam- eller analysföretag, enligt Consumer Reports. I sju appar såg forskarna dessutom att minst en personligt identifierande uppgift gick till ett externt företag. Det kunde vara ägarens namn, bilens identifieringsnummer – VIN – eller en exakt geografisk position. Nästan en fjärdedel av apparna uppvisade alltså denna tydligare form av delning.

Här är skillnaden värd att stanna vid. Att en app kontaktar ett analysföretag säger inte i sig att den har skickat ditt namn. Att sju appar skickade en identifierande uppgift betyder inte heller att alla 28 apparna gjorde det, eller att varje mottagare fick allt. Resultaten är allvarliga nog utan att vi lägger till sådant som testet inte visar.

Ett VIN kan låta lika intressant som serienumret på en tvättmaskin. Kopplas det däremot till ett namn, en mejladress eller en plats kan det hjälpa en mottagare att knyta bilen till en person. Consumer Reports pekar på möjligheten att sedan matcha uppgifterna mot kommersiella konsumentprofiler. Där kan information om exempelvis köp och beteende på nätet finnas. Det är en risk för sammanlänkning, inte ett påstående om att varje uppgift i granskningen faktiskt användes så.

Det viktiga är inte bara att bilen skickar data, utan om någon kan koppla den till dig.

Varför finns teknikbolagen i bilen?

Consumer Reports nämner bland andra Amazon, Google, Meta, Microsoft, Pinterest, Snap och Yahoo som mottagare av förarrelaterad data i granskningen. Det betyder inte att vart och ett av dessa bolag fick samma information, eller att varje överföring handlade om riktad reklam.

En del av förklaringen är vardaglig: teknikbolag levererar programvara och tjänster som används i uppkopplade bilar. En annan är att stora företag också driver system för annonsering och analys. För den som sitter bakom ratten syns sällan vilken roll ett visst bolag spelar vid en viss kontakt. Instrumentpanelen kan visa vägen till sommarstugan. Den visar inte nödvändigtvis hela vägen som informationen tar.

Varför spelar det roll? Exakt platsinformation kan berätta mycket om en persons vanor om den sparas och kopplas till en identitet. Uppgifter som hamnar på fel ställe eller läcker vid ett intrång kan innebära risk för bedrägerier, identitetsstöld eller förföljelse. Det är möjliga följder av känslig data i omlopp, inte något forskarna visade hade drabbat förarna i testet.

Tesla sticker ut – men är inte hela historien

I biltestet kontaktade Tesla Model 3 totalt 34 domäner klassade för reklam, spårning eller analys. Cybertruck kontaktade 23, näst flest bland de testade bilarna i den kategorin. Andra modeller låg lägre. Det är en tydlig skillnad i uppmätta kontakter och en rimlig anledning att granska just de bilarna närmare.

Men antalet domäner är inte ett mått på hur mycket personlig data som skickades. En domänkontakt visar att bilen kommunicerade med en adress i en viss kategori; den avslöjar inte automatiskt innehållet i överföringen. Därför går det inte att översätta Model 3:s siffra till 34 konstaterade integritetsbrott. Det vore bekvämt för rubriksättaren, men sämre för läsaren.

Helhetsbilden är samtidigt större än Tesla. Appresultaten omfattar flera tillverkare, och de sju appar där identifierande uppgifter skickades visar varför bilintegritet inte kan bedömas enbart genom att räkna bilarnas domänkontakter. Bilen och appen behöver granskas var för sig – och tillsammans.

Ett nej kan kosta funktioner

Vissa tillverkare låter kunder avstå från viss datadelning. Men Consumer Reports beskriver också baksidan: ett nej kan begränsa funktioner. Enligt granskningen möts Teslaägare som tackar nej till företagets avtal om datadelning av en varning om minskad funktionalitet och även allvarligare möjliga följder för bilen. Det är en varning i ett avtal, inte ett belägg för att ett nej faktiskt gör bilen obrukbar.

Det här gör samtycke krångligare än ett enkelt ja eller nej. Om en funktion du vill använda kräver uppkoppling, medan delningen är svår att skilja från annan trafik, behöver du veta exakt vad valet innebär. Hjälper ett nej mot reklamrelaterad delning men lämnar annan kommunikation kvar? Slutar appen fungera, eller påverkas också bilen? Svaren kan bero på tillverkare och tjänst; utgå inte från att en enda knapp löser allt.

Frågorna att ta med till nästa bilköp

Du behöver inte analysera nätverkstrafik i bilhallen. Däremot kan du be säljaren visa inställningarna och ge skriftliga svar. Börja här:

• Vilka uppgifter samlas in? Fråga särskilt om exakt position, VIN, namn och uppgifter från mobilappen.
• Vilka får dem? Be om skillnaden mellan företag som behövs för en tjänst och mottagare som används för analys eller annonsering.
• Vad kan jag välja bort? Be säljaren visa varje relevant val i bil och app, inte bara hänvisa till ett långt avtal.
• Vad slutar fungera om jag säger nej? Fråga vilka funktioner som påverkas och om bilen fortfarande kan användas som du tänkt.
• Kan jag använda bilen utan appen? Om svaret är ja, fråga vilka funktioner du då mister och vilken datainsamling som ändå fortsätter.

Be också att få veta hur du kan ändra ditt val senare. Det är enklare att ställa de frågorna före köpet än när bilen redan står hemma och appen ber om ett snabbt godkännande. Uppkopplingen kan vara värdefull. Men värdet bör vara ditt att bedöma, med öppna ögon och utan att behöva gissa vad som följer med på köpet.

Granskningen visar omfattande externa kontakter från bilappar och identifierande uppgifter från sju av 30 testade appar. Teslas bilar hade flest kontakter med domäner för reklam, spårning eller analys i biltestet – men en kontakt är inte bevis för att personuppgifter skickats. Fråga vad bilen och appen delar, med vem och vad du förlorar om du tackar nej.

Källor

• Consumer Reports – granskning av bilar och appar; uppgifter om 28 av 30 appar, sju appar med identifierande data, mottagare, Teslas domänkontakter och varningen vid nekad datadelning.
• Forskare vid Northeastern University – publikationsförteckning för den bakomliggande studien Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem, vars undersökning av bilar och appar ligger till grund för granskningen.
• TechRadar – Major report says most car apps are leaking sensitive data to brokers