130 stron o każdej podróży i składka w górę o 21 proc. Tak samochód szpieguje kierowcę

Amerykański właściciel Chevroleta Bolta zobaczył, że rachunek za ubezpieczenie urósł o 21 proc. Gdy dostał kopię swoich danych z LexisNexis, firmy handlującej informacjami o konsumentach, znalazł 130 stron. Opisywały każdą podróż jego i żony z sześciu miesięcy. Agent ubezpieczeniowy powiedział mu, że te dane miały wpływ na cenę. Sprawę opisał „New York Times”. Brokerowi dane sprzedał General Motors.

To nie jest wypadek przy pracy, tylko model biznesowy, który w maju opisał Thomas Germain z BBC. Producenci nie ukrywają zbierania danych. Opisują je w politykach prywatności, które klika się przy pierwszym uruchomieniu ekranu, a w niektórych autach przy każdym starcie silnika. Mało kto je czyta.

Co auto wie o kierowcy

Lista z polityk prywatności obejmuje dokładną lokalizację, informację, kto siedzi w środku, co gra w radiu, czy kierowca zapiął pasy, jak szybko jedzie i jak mocno hamuje. Niektóre firmy dopisują wagę, wiek, rasę i mimikę twarzy. Czujniki siedzą w fotelach, desce rozdzielczej, silniku i kierownicy, a wiele aut ma też kamery we wnętrzu. Darrell West z Brookings Institution powiedział BBC, że z takich danych da się odtworzyć czyjeś życie niemal sekunda po sekundzie.

Skala rośnie z każdym rocznikiem. McKinsey policzył, że w 2021 r. połowa aut na drogach miała połączenie z internetem, a w 2030 r. ma ich być 95 proc.

W 2023 r. Mozilla przejrzała polityki prywatności 25 marek. Oblały wszystkie, a samochody fundacja nazwała „najgorszą kategorią produktów”, jaką sprawdzała pod kątem prywatności. 19 marek zastrzegło sobie prawo do sprzedaży danych. Za najgorszego uznano Nissana, który wymienia w polityce m.in. aktywność seksualną i dane genetyczne, a za najmniej problematycznego Renault, które podlega europejskim przepisom.

Kia wpisała do swojej polityki „życie seksualne”. Jej rzecznik James Bell odpowiada BBC, że firma nigdy takich danych ani danych o zdrowiu nie zbierała, a sformułowanie pochodzi z kalifornijskiej definicji danych wrażliwych. Nie wyjaśnił, jakie dane wrażliwe Kia faktycznie zbiera.

Kto kupuje te dane

Najlepiej udokumentowany przypadek to General Motors. Program OnStar Smart Driver przekazywał dane o jeździe do LexisNexis i Verisk, a te trafiały do ubezpieczycieli. GM zamknął program w kwietniu 2024 r., po publikacji „NYT”. W styczniu 2026 r. amerykańska Federalna Komisja Handlu zatwierdziła ostateczny nakaz: przez pięć lat koncern nie może przekazywać lokalizacji i danych o stylu jazdy agencjom raportowania konsumenckiego, a przez 20 lat musi pytać kierowców o wyraźną zgodę. BBC streszcza to szerzej, jako zakaz sprzedaży danych. Po pięciu latach GM może do tej praktyki wrócić, jeśli spełni warunki nakazu.

Pozostały rynek działa dalej. Według BBC LexisNexis i inne firmy nadal sprzedają dane od innych producentów i z aplikacji używanych w czasie jazdy. Prokurator generalny Teksasu zarzuca Allstate i jej spółce Arity zebranie danych o ponad 45 mln Amerykanów, m.in. przez kod ukryty w aplikacjach takich jak GasBuddy i Life360, oraz kupowanie danych od Toyoty, Lexusa, Mazdy i marek Stellantisa. Allstate zarzutom zaprzecza.

Ubezpieczyciele kuszą też zniżką za dobrowolny monitoring. Analiza stanu Maryland, na którą powołuje się BBC, pokazuje, że to loteria: stawka spadła 31 proc. kierowców, wzrosła 24 proc., a 45 proc. nie odczuło zmiany.

Na liście klientów nie muszą być tylko ubezpieczyciele. Jen Caltrider, która kierowała badaniem Mozilli, mówi BBC, że właściwie nie ma zasad określających, kto może te dane kupić i po co. Wymienia marketing, decyzje o zatrudnieniu oraz organy ścigania, które mogą je kupić, gdy nie dostaną nakazu.

Reklamodawcy w samochodzie

Najświeższe liczby przyniosło we wrześniu badanie Northeastern University i Consumer Reports. Naukowcy przez niemal rok, od października 2024 r. do sierpnia 2025 r., analizowali ruch sieciowy 21 aut z 19 marek na rynek USA oraz 30 aplikacji towarzyszących. 19 z 21 aut łączyło się przez Wi-Fi z co najmniej jedną firmą trzecią. 7 z 30 aplikacji wysyłało dane osobowe do firm śledzących użytkowników: numery VIN, adresy e-mail, numery telefonów i dokładną lokalizację. Sparowanie aplikacji z autem średnio podwajało kontakt z firmami reklamowymi i śledzącymi, a czasem dokładało ponad 20 nowych.

Wśród głównych odbiorców Consumer Reports wymienia Amazon, Google, Metę i Microsoft. Z największą liczbą firm reklamowych i analitycznych łączyły się Tesla Model 3, Tesla Cybertruck, Cadillac Lyriq, Lucid Air i Chevrolet Blazer. Obraz nie jest jednak jednolity: według Engadgetu 10 aut nie kontaktowało się samodzielnie z żadną domeną reklamową ani śledzącą. Te same relacje zastrzegają, że badacze nie odszyfrowali ruchu z pojazdów i w większości nie widzieli transmisji komórkowej, więc rzeczywiste liczby mogą być wyższe. Autorzy piszą, że producenci zwykle przerzucali odpowiedzialność na klienta. Wyjątkiem była Honda, która przestała wysyłać dokładną lokalizację do zewnętrznej firmy.

Sztuczna inteligencja dopisuje resztę

Surowe dane to dopiero początek. Caltrider zwraca uwagę, że firmy wyciągają z nich wnioski o tym, kim jest kierowca: jak jest inteligentny, jaki ma profil psychologiczny i poglądy polityczne. Polityka Nissana, opisana przez Mozillę, wprost wymienia sprzedaż takich rzeczy jak skłonności, postawy i inteligencja.

Jednocześnie do kabin wchodzą duże modele językowe. W kwietniu GM zaczął wgrywać Gemini od Google do około 4 mln aut w USA, z rocznika 2022 i nowszych. Koncern zapowiada na ten rok głębszą wersję, opartą na OnStarze, i zapewnia, że kierowca sam zdecyduje, do jakich danych asystent ma dostęp. Volkswagen, który podłączył ChatGPT, deklaruje, że model nie widzi wrażliwych danych auta, a sesja jest kasowana po użyciu. To deklaracje firm, a w materiałach o tych wdrożeniach nie ma niezależnego audytu. Rozmowa z autem to dla producentów nowy rodzaj danych, obok tras i stylu jazdy.

Kamera na kierowcę: USA czekają, Europa już ma

BBC pisze, że amerykańskie prawo wkrótce wymusi w autach systemy wykrywające pijanych i zmęczonych kierowców, np. kamery na podczerwień. Ustawa z 2021 r. rzeczywiście to nakazuje, ale sprawa utknęła. Agencja NHTSA przekroczyła termin z listopada 2024 r. i według doniesień z tego roku nie ma nawet projektu przepisów, bo technologia nie spełnia wymagań. Sama BBC przyznaje, że wdrożenie prawdopodobnie się opóźni. Zarzut Caltrider pozostaje aktualny: ustawa nie mówi nic o tym, co stanie się z danymi z takich systemów. BBC porównuje je do informacji medycznych.

W Unii Europejskiej to już się stało. Od 7 lipca 2026 r. każde nowo rejestrowane auto musi mieć system ostrzegania o rozproszeniu kierowcy (ADDW). Unia nie narzuca technologii, ale producenci stosują zwykle kamery na podczerwień. Jak opisuje „auto motor und sport”, system działa od 20 km/h. Powyżej 50 km/h ostrzega po 3,5 sekundy patrzenia w bok, a wolniej po 6 sekundach. Można go wyłączyć, lecz po każdym uruchomieniu auta włącza się znów.

Różnica wobec USA leży w danych. Według niemieckiego magazynu przepisy zakazują identyfikowania osoby i przetwarzania danych biometrycznych, nie pozwalają na trwałe archiwum wideo, a obraz ma być analizowany w aucie, bez wysyłania go na zewnątrz. Malwarebytes jest ostrożniejszy: ostrzega, że producenci mogliby wysyłać takie dane na swoje serwery, a aktualizacje oprogramowania mogą rozszerzyć monitoring już po zakupie. Caltrider też nie uważa Europy za rozwiązany problem, bo przepisy trzeba jeszcze egzekwować, a przy samochodach bywa z tym różnie.

Co może zrobić kierowca

Całkowicie nie da się z tego wypisać, ale kilka ruchów ogranicza wyciek:

• nie zapisywać się do telematyki ubezpieczyciela, jeśli prywatność ma znaczenie, co radzi Michael DeLong z Consumer Federation of America,
• przejrzeć ustawienia prywatności w menu auta i w jego aplikacji,
• zastanowić się, czy aplikacja producenta w ogóle jest potrzebna, bo to ona najmocniej zwiększa liczbę firm, które widzą dane,
• w UE zażądać od producenta kopii zebranych danych, a potem ich usunięcia i wstrzymania udostępniania.

Caltrider uważa, że to nie powinna być praca kierowcy. Dopóki firmy nie będą musiały pytać o zgodę na użycie danych, problem będzie jej zdaniem tylko rósł.

Źródła: BBC Future, Northeastern University, Automatic Transmission, Consumer Reports, Engadget o badaniu, Mozilla Foundation, Engadget o nakazie FTC, Reuters o pozwie Teksasu, auto motor und sport, Malwarebytes, The Next Web, TechRadar, State of Surveillance