La privacidad de los coches conectados deja de ser una sospecha: 19 de cada 21 vehículos analizados envían datos a terceros. El conductor medio no sabe a quién, ni con qué fin.
El estudio, firmado por investigadores de la Universidad Northeastern en colaboración con Consumer Reports, confirma que esos terceros incluyen redes de publicidad, seguimiento y analítica que nadie autoriza de forma explícita. Para medirlo, el equipo monitorizó el tráfico de red de 21 coches nuevos y 30 aplicaciones complementarias.
Claves de la operación
- 19 de 21 coches filtran datos a externos. Solo dos modelos analizados no contactaron con ningún dominio ajeno. El resto envió telemetría a al menos una empresa externa.
- El software del coche decide cuánto se filtra. David Choffnes, responsable del proyecto, vincula el volumen de datos con la plataforma elegida por el fabricante, como el Android Automotive de Google.
- El consentimiento no basta si nadie lo lee. Siete fabricantes sostienen que revisar los términos del servicio es responsabilidad del usuario, una carga que el propio estudio califica de inviable.
El rastro invisible que tu coche deja en cada trayecto
Para aislar el tráfico de cada vehículo, el equipo aparcó los coches dentro de una jaula de Faraday que bloquea las señales inalámbricas. La mayoría eran eléctricos, lo que permitió mantener los sistemas encendidos sin motores de combustión en marcha.
Los resultados dibujan un mapa incómodo. Más de la mitad de los vehículos contactó con dominios de publicidad, seguimiento o analítica. Un Tesla Model 3 llegó a conectar con 34 de esos dominios, el registro más alto del estudio, seguido por un Cadillac Lyriq, un Chevrolet Blazer, un Lucid Air y un Tesla Cybertruck.
En el otro extremo, el Nissan Ariya, el Range Rover, el Mercedes EQS y el Buick Envista no contactaron con ninguna de esas redes externas. La diferencia no depende del precio del coche, sino de las decisiones de software que cada fabricante toma en fábrica.
El coche moderno no se limita a registrar cómo conduces: convierte cada frenada en un activo que circula por redes que el dueño nunca llega a ver.
Android Automotive y la publicidad: el socio que lo ve todo
La elección del sistema operativo condiciona directamente cuánta información escapa del vehículo. Consumer Reports señala que varias empresas receptoras cumplen una doble función: suministran el software que corre dentro del coche, como el Android Automotive de Google, y a la vez gestionan las plataformas publicitarias con las que se segmenta a la audiencia. Un vehículo conectado es, en la práctica, un dispositivo móvil con ruedas.
El estudio apunta a Amazon, Google, Meta, Microsoft, Pinterest, Snap y Yahoo como los mayores receptores de datos de vehículos. Ninguno de ellos fabrica coches, y todos venden publicidad o servicios en la nube.
Las aplicaciones móviles asociadas presentan un balance aún peor. De las 30 analizadas, 28 enviaron información a al menos una empresa externa de publicidad o analítica. Siete compartieron datos personales como el nombre del propietario, el número de bastidor (VIN) o la ubicación precisa. Cuatro aplicaciones de General Motors —myCadillac, myChevrolet, myBuick y myGMC—, junto con HondaLink, MyNissan y Lincoln, combinaron el VIN con una dirección de correo o la ubicación.
Los datos que acaban en aseguradoras, bancos y farmacéuticas
Vincular el número de bastidor con datos más personales, como una cuenta de correo o la ubicación, es lo más delicado del conjunto. Permite que una gran empresa conecte a un conductor concreto con los perfiles comerciales que vende el mercado de datos. Consumer Reports sostiene que esos perfiles llegan a bancos, aseguradoras y farmacéuticas, que los usan para adaptar las condiciones de sus préstamos, seguros u ofertas.
La trampa de la exclusión voluntaria es donde el sistema se vuelve realmente opaco. Aunque el conductor pueda desactivar ciertas funciones, las más populares dejan de operar cuando se niega el consentimiento, y en algunos casos el vehículo ni se puede conducir. La advertencia de Tesla a quienes rechazan su acuerdo de intercambio de datos sostiene que la decisión puede provocar reducción de funcionalidad, daños graves o inoperatividad.
Mozilla ya había concluido en 2023 que los coches eran la peor categoría de productos en materia de privacidad de cuantas había revisado. El nuevo trabajo confirma esa sospecha midiendo lo que ocurre en la carretera, no solo lo que prometen las políticas de privacidad.
La lectura para el mercado español es incómoda: España no tiene hoy un fabricante nacional capaz de marcar un estándar propio de transparencia, y las plantas de Stellantis, Volkswagen o Ford que operan en el país siguen las políticas de sus matrices.
Honda marcó la diferencia al reaccionar. Tras conocer las conclusiones del estudio, pidió a su proveedor Amplitude que eliminara todos los datos de ubicación recibidos y dejó de enviárselos. General Motors, Nissan y Stellantis adoptaron respuestas más defensivas, escudándose en que algunos destinatarios tienen prohibido usar o vender esa información.
Ahí está el nudo del asunto. El dato relevante no es que el coche recopile telemetría, sino que la cadena de custodia se pierde a partir del segundo salto. El fabricante conoce al primer receptor, pero casi nunca controla al tercero ni al cuarto.
La presión regulatoria avanza despacio en este terreno. El Reglamento General de Protección de Datos fija el marco general, y el reglamento europeo de datos (Data Act) empieza a ordenar quién puede explotar la información que generan los dispositivos conectados, pero ninguno ataca de frente la telemetría automovilística. La próxima revisión de las directrices del Comité Europeo de Protección de Datos sobre vehículos conectados será la prueba de si Bruselas está dispuesta a mover ficha. Más contexto institucional, en la web de la Universidad Northeastern. Hasta entonces, la alternativa realista es la que describe el propio estudio: no hay coche nuevo del todo privado. La decisión que marca la diferencia no es la del conductor, sino la del fabricante.
