Tajný rozhovor vášho auta s tretími stranami

Pohodlie prichádza s prekvapivo širokým publikom.

V skutočnosti to nie je váš telefón, ktorý je druhým najosobnejším majetkom, ktorý vlastníte, hneď po vašom dome; je to vaše auto. Aspoň to sa dá tvrdiť na základe údajov, ktoré moderné autá, najmä tie s „infotainment“ systémami, poskytujú tretím stranám, a ktoré zahŕňajú aj osobné identifikačné údaje (PII).

Tvrdenie, že autá sa stali ako telefóny, nie je nové, ale hĺbka problému sa často nehovorí. Jeden spôsob, ako sa na to pozrieť, je, že zatiaľ čo telefóny sú navrhnuté tak, aby sa pravidelne vymieňali a/alebo resetovali a aby sa ich operačné systémy aktualizovali, autá nie. Najčastejšie sa však ako rozdiel uvádza to, že zatiaľ čo telefóny si z väčšej časti vyberajú ich používatelia, autá nie – aspoň nie s ohľadom na zhromažďovanie a sledovanie údajov.

Nová štúdia , ktorú vykonali výskumníci z Northeastern University a americká nezisková organizácia Consumer Reports a ktorá bola prezentovaná na konferencii ACM v októbri, vykresľuje auto ako zariadenie, ktoré nielen zhromažďuje a prenáša veľké množstvo údajov, ale robí to aj spôsobom, ktorý nie je pre majiteľa/vodiča vôbec transparentný.

Toto nie je prvá štúdia, ktorá odhaľuje, že autá špehujú svojich majiteľov, ale jej autori tvrdia, že je doteraz najkomplexnejšia, pričom sa zaoberá 21 americkými vozidlami od 19 značiek a 30 sprievodnými aplikáciami a údajmi, ktoré prenášajú tretím stranám.

Údaje tiež nie sú zanedbateľné: výskumníci zistili, že sedem aplikácií prenáša osobné údaje, ako sú telefónne čísla, e-mailové adresy a identifikačné čísla vozidiel (VIN), pričom VIN sú najčastejšie zdieľanou súčasťou osobných údajov.

V štúdii s názvom Automatická prevodovka autori poznamenávajú, že hoci niektoré údaje zhromažďujú výrobcovia, veľká časť z nich sa potom zdieľa s tretími stranami, a práve v tom spočíva skutočné nebezpečenstvo pre súkromie a bezpečnosť majiteľov automobilov.

„VIN čísla sú najčastejšie zdieľanými osobnými údajmi v našej vzorke, vrátane spoločností Google a Microsoft,“ uviedli autori štúdie a dodali, že sedem aplikácií, ktoré prenášajú osobné údaje tretím stranám, sú HondaLink, Lincoln, MyNISSAN, myCadillac, myChevrolet, myBuick a myGMC.

Štúdia tiež zistila, že zatiaľ čo počet tretích strán, s ktorými výrobcovia vozidiel zdieľajú údaje, je relatívne nízky, počet tretích strán, ktorým aplikácie pre autá posielajú údaje, je oveľa vyšší.

Autori tiež poznamenávajú, že údaje prenášané autami a ich aplikáciami môžu odhaliť „stav vlastníctva jednotlivca alebo interakcie s konkrétnym vozidlom spoločnostiam, ktoré tieto údaje používajú na reklamu, sledovanie a analytiku“.

Výskumníci zistili, aké údaje sa prenášajú jazdou áut na súkromných cestách v zariadení Consumer Reports, a následnou analýzou premávky. Štúdia odhaľuje, že z 21 testovaných vozidiel všetky okrem dvoch odosielali premávku aspoň jednej tretej strane, zatiaľ čo sedem z 30 aplikácií prenášalo citlivé identifikátory tretím stranám.

Rozsah problému nie je to jediné, čo štúdia dokázala odhaliť; autori tiež dokázali zistiť, že táto prax nie je jednotná vo všetkých oblastiach, pričom niektorí výrobcovia a ich aplikácie posielajú tretím stranám oveľa viac údajov ako iní.

Opatrenia Federálnej obchodnej komisie USA z roku 2021 proti spoločnosti General Motors sú príkladom toho, čo sa deje s údajmi zhromažďovanými o autách. Agentúra v tom čase konala na základe správ, že niekoľko veľkých výrobcov zdieľalo údaje z pripojených vozidiel s dátovými maklérmi a poisťovňami . Tu sa však auto ako druhé porovnávacie telefóny stáva obzvlášť relevantným: evidenčné číslo vozidla sa dá použiť na identifikáciu auta pre štát, ale VIN a e-mailová adresa sa dajú použiť na identifikáciu majiteľa pre reklamný priemysel – bez nutnosti skenovania čohokoľvek.

Aplikácie sú tou horšou polovicou rovnice zberu údajov a profilovania reklám, ktorou je pripojené auto.

Niektoré autá sú lepšie ako iné, ale aplikácie sú vždy súčasťou systému, ktorú môže používateľ/majiteľ, aspoň teoreticky, ovládať, a to tak, že sa rozhodne ich nenainštalovať alebo odinštalovať. Vzhľadom na „pohodlie“, ktoré prinášajú, ako je diaľkové štartovanie, klimatizácia a možnosť skontrolovať stav auta, sa ich len málo majiteľov pravdepodobne vzdá. Aj keby vedeli, a štúdia to odhaľuje, že niektoré z týchto aplikácií sa dajú použiť na diaľkové otvorenie kufra auta a že výskumníci boli schopní túto schopnosť overiť pomocou aplikácie na otvorenie kufra auta.

Čo sa týka testovaných aplikácií a spoločností, ktorým posielali údaje, máme HondaLink, ktorá posiela údaje do Amplitude, Lincoln do ContentSquare, MyNISSAN do Alchemer a štyri aplikácie General Motors – myCadillac, myChevrolet, myBuick a myGMC – do mnohých spoločností vrátane Adobe, Acxiom, ContentSquare, FullStory, Google, Meta, Microsoft, Pinterest, Snap a Yahoo.

Štúdia, ktorá sa zamerala na 21 amerických vozidiel od 19 značiek a ktorá sa uskutočnila medzi októbrom 2024 a augustom 2025, zistila, že sedem z 30 aplikácií prenáša citlivé identifikátory tretím stranám. Hoci štúdia označuje Amplitude ako „platformu na analýzu produktov a sledovanie udalostí, nie ako inzerenta“, neznamená to, že nedostáva identifikačné informácie, ako napríklad VIN, ktoré odosiela aplikácia Honda.

Kategórie osobných údajov, ktoré výskumníci hľadali v prevádzke aplikácií, boli informácie o vlastníkovi, polohe a sieti. Informácie o sieti zahŕňali SSID siete Wi-Fi a heslo siete Wi-Fi.

Štúdia zistila, že aplikácia HondaLink, ktorá je súčasťou vozidla Honda, zdieľala VIN číslo a presnú polohu vozidla so spoločnosťou Amplitude, ktorá poskytuje analytické a sledovacie služby.

Autori poznamenávajú, že nájdené údaje patrili zamestnancovi služby Consumer Reports, ktorý dokončil nákup vozidla, a boli nájdené v prevádzke aplikácie v obyčajnom texte, ako aj v hašovanej forme.

Autori štúdie uviedli, že ich prvým kľúčovým poznatkom bolo, že niektoré sprievodné aplikácie „zdieľajú osobné údaje spotrebiteľov s tretími stranami ATA vrátane geolokácie, VIN, e-mailu“ a ďalších.

Ďalším kľúčovým poznatkom je, že štúdia nedokázala dešifrovať každý tok, takže zistili len spodnú hranicu, nie strop. Inými slovami, je pravdepodobné, že aplikácie a vozidlá zdieľajú viac údajov, ako štúdia dokázala zistiť.

Autorov štúdie o automatickej prevodovke nemožno obviniť zo zamlčania úvodnej informácie: „všetky testované vozidlá okrem dvoch odosielajú prevádzku aspoň jednej tretej strane a sedem z 30 aplikácií odosiela citlivé identifikátory spoločnostiam tretích strán, pričom sa medzi značkami a modelmi značne líšia.“ Ale kto sa v tejto konkrétnej tabuľke umiestnil na vrchole – alebo na spodku?

„Z 21 vozidiel, ktoré sme testovali, 13 kontaktovalo zariadenia ATA SLD spojené so spoločnosťou Google,“ odhaľuje štúdia, ktorú vykonali výskumníci z Northeastern University v spolupráci s neziskovou americkou organizáciou zaoberajúcou sa testovaním spotrebiteľských produktov Consumer Reports a ktorá bola prezentovaná na konferencii ACM v októbri 2026. A hoci sa dokument zaoberá technickými a obchodnými rozdielmi medzi tým, ako sú infotainmentové systémy rôznych automobilov skonštruované a ako to ovplyvňuje zber údajov, tabuľka so skutočnými číslami je jasná.

Ukazuje sa, že s najväčším počtom reklamných, sledovacích a analytických (ATA) domén nekontaktuje vozidlo s obmedzenou až úplnou integráciou so službami Google – ale skôr Tesla, a to s veľkým náskokom. Štúdia zistila, že Tesla Model 3 kontaktovala cez Wi-Fi 34 unikátnych domén ATA druhej úrovne a mala 36 integrovaných tretích strán, zatiaľ čo Cybertruck ich mal 23 a 37.

Medzitým, Lucid Air a Rivian R1S – ktoré podľa štúdie mali obmedzenú až úplnú integráciu s Google – mali 9 a 15, respektíve 7 a 18.

Na opačnom konci tabuľky sú Nissan Ariya, Land Rover Range Rover, Mercedes EQS a Buick Envista, ktoré sa cez Wi-Fi nekontaktovali so žiadnou doménou ATA.

Štúdia to vysvetľuje tým, že vozidlá na spodnej časti tabuľky mali „relatívne obmedzenú funkčnosť svojho informačno-zábavného systému“. A čím menej vaše auto „rozpráva“ s vonkajším svetom, tým menej uniká. To však nie je predajný argument, ktorý by výrobcovia automobilov pravdepodobne radi propagovali. Štúdia tiež zistila, že niektoré z domén, s ktorými sa autá spájajú, poskytujú služby, o ktoré si vodič vyžiadal, ako sú mapy a dopravné informácie. Z tohto dôvodu štúdia rozlišuje medzi integrovanými a reklamnými tretími stranami.

Tretie strany uvedené v článku ako uvedené v tabuľkách štúdie sú Cloudflare, Microsoft, TomTom, HERE, Mapbox, Meta Platforms a ByteDance.

Odmietnutie súhlasu so zhromažďovaním a zdieľaním údajov výrobcami automobilov má svoju cenu – a tá je vysoká. Nová štúdia ukazuje, že v niektorých prípadoch to znamená vzdať sa bezpečnostných prvkov, ako je napríklad asistent udržiavania v jazdnom pruhu.

Štúdia s názvom Automatická prevodovka, ktorú vypracovali výskumníci z Northeastern University v spolupráci s neziskovou americkou organizáciou Consumer Reports, ktorá testuje spotrebiteľské výrobky, skúmala 21 amerických vozidiel od 19 značiek a 30 sprievodných mobilných aplikácií. A hoci môže byť ľahké ignorovať navigáciu a bezdrôtové aktualizácie, ktoré prinášajú nové funkcie a lepší výkon, ako nepodstatné – „zvýšenie bezpečnosti“ je niečo, čo by sa nemalo brať na ľahkú váhu. Presne takto to však spoločnosť Rivian prezentuje ako vyjednávací argument – ​​buď necháte spoločnosť zhromažďovať a zdieľať vaše údaje, alebo tieto funkcie „obmedzíte alebo deaktivujete“.

Autori štúdie tvrdia, že toto je jeden zo spôsobov, akým výrobcovia sťažujú majiteľom automobilov odhlásenie sa zo zhromažďovania a zdieľania údajov. Ďalším spôsobom je sťaženie navigácie v tomto procese. A keď už poskytnú spôsob, ako sa odhlásiť, často je neúplný, zistila štúdia.

Výskumníci tiež poznamenávajú, že hoci spoločnosti tvrdia, že zmluvy s tretími stranami používajúcimi údaje na reklamné, sledovacie a analytické účely (v štúdii označované ako ATA) obmedzujú toto použitie na rozsah definovaný v zásadách ochrany osobných údajov – tieto zásady sú často „príliš široké a rozsiahle“.

Štúdia v skutočnosti uvádza, že zásady ochrany osobných údajov sú často ťažko čitateľné a zrozumiteľné a nemusia ani odrážať skutočné správanie vozidla.

Autori tiež zistili, že „mnohí“ výrobcovia neposkytujú „zmysluplné“ spôsoby, ako sa odhlásiť zo zhromažďovania a zdieľania údajov, a že zásady ochrany osobných údajov často nie sú v súlade s tým, čo zariadenie (v tomto prípade vozidlo) v skutočnosti robí.

Aby toho nebolo málo, štúdia zistila, že údaje zhromaždené z áut vrátane citlivých osobných údajov sa prenášajú tretím stranám, ktoré potom môžu skrachovať – a tieto údaje si vziať so sebou. Štúdia uvádza, že jedna z tretích strán, s ktorou sa výskumníci snažili skontaktovať, „skrachovala ešte pred naším oslovením“.

Druhým kľúčovým poznatkom štúdie je, že „mnohí výrobcovia neposkytujú spotrebiteľovi zmysluplné alebo jednoduché spôsoby, ako sa odhlásiť zo zhromažďovania a zdieľania údajov“.

Autori sa pozreli na údaje, ktoré sa prenášajú tretím stranám, a zistili, že najčastejšie ide o identifikačné číslo vozidla (VIN), nasledované e-mailovými adresami, telefónnymi číslami a polohou.

Honda považuje VIN za „obchodné informácie“, ktoré možno použiť na marketing a reklamu, uvádza sa v štúdii a dodáva, že hoci výrobcovia tvrdia, že tretím stranám je zmluvne zakázané používať osobné údaje nad rámec toho, čo je stanovené v zásadách ochrany osobných údajov, tieto zmluvy nie sú verejne dostupné.

Pokiaľ ide o tretie strany, štúdia uviedla, že sedem z 30 aplikácií im prenáša citlivé identifikátory a že 70 % aplikácií kontaktuje viac ako päť jedinečných domén druhej úrovne ATA.

Štúdia testovala 21 vozidiel a zistila, že 13 z nich kontaktovalo domény druhej úrovne ATA spojené s Google. Autá s najmenším množstvom údajov prenesených tretím stranám boli Toyota Corolla Cross, Nissan Ariya, Land Rover Range Rover a Mercedes EQS, ktoré mali buď jednu, alebo žiadne jedinečné domény ATA SLD.

Autori štúdie uviedli, že to bolo pravdepodobne spôsobené tým, že tieto vozidlá mali menej infotainmentových funkcií.

Spoločnosť Honda reagovala na štúdiu o tom, ako autá a ich sprievodné aplikácie nakladajú s osobnými údajmi svojich používateľov a s údajmi vozidla, vyhlásením, že podnikla kroky na „nápravu“ situácie.

Štúdia s názvom „Automatická prevodovka“ bola prezentovaná na konferencii ACM minulý mesiac a je založená na výskume, ktorý vykonali vedci z Northeastern University v spolupráci s neziskovou americkou organizáciou zaoberajúcou sa testovaním spotrebiteľských výrobkov Consumer Reports.

Štúdia testovala 21 amerických vozidiel od 19 značiek a 30 sprievodných mobilných aplikácií a zistila, že všetky okrem dvoch vozidiel odosielali údaje aspoň jednej tretej strane, zatiaľ čo sedem aplikácií odosielalo citlivé identifikátory tretím stranám.

Medzi identifikátory patria VIN, e-maily, telefónne čísla a poloha a výskumníci uviedli, že VIN boli najčastejšie zdieľanými osobne identifikovateľnými informáciami (PII), ktoré našli.

Štúdia tiež ukázala, že sedem aplikácií odoslalo tieto údaje spoločnostiam, ktorých podnikaním je reklama, sledovanie a analytika (ATA).

Výskumníci uviedli, že ich štúdia bola „oportunistická“, pretože sa obmedzovala na vozidlá, ktoré mal Consumer Reports na mieste, a že neboli schopní dešifrovať každý tok údajov, keďže nemohli upravovať softvér áut.

Ďalším obmedzením bolo, že štúdia nedokázala zistiť, či údaje zhromaždené z vozidiel a ich aplikácií skutočne používali tretie strany alebo či boli predané.

Štúdia tiež zistila prípady, keď vozidlá a aplikácie kontaktovali servery nachádzajúce sa v EÚ a Kanade, ktoré majú prísnejšie pravidlá týkajúce sa údajov o spotrebiteľoch ako USA.

Po zverejnení svojich zistení výskumníci požiadali spoločnosť Honda, aby spoločnosť Amplitude vymazala všetky prijaté údaje o polohe a aktualizovala aplikáciu HondaLink tak, aby už spoločnosti Amplitude neposielala geolokáciu.

Štúdia tiež odhalila, že Federálna obchodná komisia podala proti spoločnosti General Motors opatrenia na presadzovanie práva po tom, čo sa objavili správy o tom, že výrobcovia automobilov zdieľali údaje o vozidlách s dátovými maklérmi a poisťovňami.

Autori štúdie zverejnili na GitHub kompletné zoznamy domén, ktoré použili na označenie reklamných, integrovaných a domén prvej strany.

Ak to ešte treba povedať: čo sa týka toho, čo môžu majitelia áut robiť, aspoň si dvakrát premyslite, či použijete sprievodné aplikácie, a namiesto toho použite fyzické ovládacie prvky auta.