Una radiografía de la privacidad en el coche conectado

Un nuevo estudio de la Universidad Northeastern, realizado junto a Consumer Reports, ha puesto cifras a un debate que hasta ahora se apoyaba sobre todo en denuncias e investigaciones previas: qué hace un coche conectado con los datos de su conductor. Los investigadores probaron 21 vehículos recientes y 30 aplicaciones complementarias para evaluar las implicaciones de privacidad de este ecosistema. El trabajo, revisado por pares, se publicará esta semana.

19 de 21 vehículos envían datos a terceros

De los 21 coches analizados, 19 enviaron tráfico a al menos un tercero a través de internet. Más de la mitad contactaron con dominios clasificados como publicidad, seguimiento o analítica (ATA), entre ellos Alphabet, Amazon, Mapbox y Meta. Siete de las 30 aplicaciones complementarias transmitieron identificadores sensibles, como el número de identificación del vehículo (VIN), correos electrónicos, números de teléfono y ubicación precisa, a empresas asociadas al seguimiento y la publicidad.

El informe detalla que en muchos casos se enviaban varias formas de información al mismo tercero, un esquema que permite a anunciantes y corredores de datos construir perfiles detallados. Esos perfiles, añade, se venden a compañías de seguros y bancos.

La app del fabricante duplica la exposición

Otro de los hallazgos clave es que vincular la aplicación complementaria al vehículo duplicaba aproximadamente la exposición a empresas de publicidad y seguimiento. En otras palabras, usar el coche con la app emparejada no solo añade funciones: también añade destinos para los datos.

Tesla, a la cabeza del ranking

El estudio también ordena a las marcas por número de contactos con dominios ATA. Tesla encabeza la clasificación: el Model 3 se comunicó con 34 dominios ATA únicos y el Cybertruck con 23. Les siguen el Cadillac Lyriq con 10, el Lucid con 9 y el Chevy Blazer con 7. En el extremo contrario, el Nissan Ariya, el Land Rover Range Rover, el Mercedes EQS y el Buick Envista no contactaron con ningún dominio ATA.

Los fabricantes responden echando balones fuera

Los investigadores compartieron los hallazgos con los fabricantes implicados. Según el informe, las compañías aseguraron que los dominios estaban «en línea con los contratos que tienen con sus proveedores de servicios externos», con cláusulas que prohíben el uso de información personal fuera de los términos pactados. Sin embargo, los autores afirman que, con la excepción de Honda, los fabricantes desviaron la culpa: cinco señalaron a los navegadores integrados en los sistemas de infoentretenimiento y siete dijeron que era responsabilidad del consumidor leer los términos de servicio de los servicios integrados, como Spotify o el sistema operativo de Google.

Los autores también pusieron el foco en Tesla y Rivian por avisar a los propietarios de que desactivar la conectividad telemática y el intercambio de datos podría degradar la funcionalidad del vehículo.

Honda, la excepción

Frente a esa respuesta generalizada, Honda reaccionó mejorando sus prácticas de recopilación de datos después de conocer los resultados. La compañía ordenó a su proveedor Amplitude que eliminara todos los datos de geolocalización que había recibido y reclasificó el VIN, que hasta entonces trataba como un artículo comercial utilizado para marketing.

Consumer Reports también indicó que varios fabricantes afirmaron que algunos enlaces de sus aplicaciones abrían páginas web externas que podían incluir cookies de recopilación de datos, pero que los conductores no eran informados de esa recogida.

Para llegar a estas conclusiones, los investigadores analizaron las transmisiones wifi y de datos móviles de los vehículos, examinaron los sistemas de infoentretenimiento e incluso metieron los coches en túneles de Faraday. Las pruebas se realizaron entre octubre de 2024 y agosto de 2025.

El estudio llega después de numerosas investigaciones y demandas que ya habían destapado cómo los datos de conducción se recopilan y se comparten con terceros, incluidas las aseguradoras.