Un estudio realizado por Northeastern University y Consumer Reports reveló que la mayoría de los automóviles modernos y de las aplicaciones de los fabricantes sometidos a prueba se comunican con empresas externas de publicidad y análisis, en ocasiones mediante el envío de identificadores que pueden vincularse directamente con el propietario del automóvil y su actividad digital.
Los investigadores analizaron el tráfico de datos de 21 automóviles modernos y 30 aplicaciones de fabricantes durante el periodo comprendido entre octubre de 2024 y agosto de 2025. Diecinueve automóviles enviaron datos a al menos una empresa externa mediante la conexión inalámbrica, mientras que siete aplicaciones transmitieron identificadores como el número de identificación del vehículo (VIN), direcciones de correo electrónico y ubicaciones precisas a empresas de publicidad y análisis.
El número de identificación del vehículo no se puede cambiar
Cuatro de las siete aplicaciones pertenecían a General Motors: myCadillac, myChevrolet, myBuick y myGMC. Según el estudio, estas aplicaciones enviaron números VIN a diez empresas, entre ellas Microsoft, Adobe, Snap, Yahoo, Meta, Google y el corredor de datos Acxiom. La aplicación HondaLink también envió números VIN y la ubicación a la empresa de análisis Amplitude, mientras que los casos restantes correspondieron a las aplicaciones Lincoln y MyNISSAN.
La sensibilidad de estos datos radica en que el número VIN, a diferencia del identificador publicitario del teléfono, no puede ser restablecido por el usuario. Cuando se vincula con el correo electrónico, las empresas de publicidad pueden relacionar la identidad del propietario del automóvil con su actividad en otras aplicaciones y sitios web, lo que convierte al automóvil y su aplicación en parte de un perfil digital más amplio.
Las aplicaciones son la principal fuente de exposición
Los resúmenes de Consumer Reports mostraron que diez de los 21 automóviles no se conectaron directamente con dominios de publicidad o seguimiento, pero sus aplicaciones expusieron los datos de sus propietarios a numerosas empresas. La aplicación de Buick Envista se relacionó con 23 empresas de publicidad y seguimiento, y la de Nissan Ariya, con 25 empresas. En cambio, el automóvil Tesla Model 3 se conectó con 22 entidades desde el propio vehículo, y su aplicación añadió otras dos.
Según los resultados, 28 de las 30 aplicaciones se comunicaron con al menos una empresa de publicidad o análisis. El equipo no pudo descifrar el tráfico de datos dentro de los vehículos, y la captura de datos celulares se limitó al caso del Model 3, por lo que los investigadores consideran probable que las cifras reales sean mayores.
¿Por qué importa esta noticia?
Los resultados muestran que la fuente del riesgo o de la pérdida de privacidad no es necesariamente el propio sistema del automóvil; en la mayoría de los vehículos probados, la mayor parte de la exposición a tecnologías de publicidad y seguimiento se produjo a través de la aplicación móvil. Esto significa que revisar la configuración de la aplicación y las condiciones de los servicios relacionados es tan importante como revisar la configuración del automóvil.
El estudio también descubrió que las políticas de privacidad de las siete aplicaciones que compartieron identificadores informaban de la posibilidad de transmitir datos a terceros, pero no siempre especificaban las entidades receptoras ni el propósito de la compartición. Tesla advierte a los usuarios que rechazan el acuerdo de compartición de datos de que podrían reducirse las funciones o producirse daños graves o problemas de compatibilidad, mientras que Rivian afirma que detener la recopilación de datos puede limitar funciones como la navegación y las actualizaciones inalámbricas.
La respuesta de las empresas y las limitaciones normativas
Los investigadores se pusieron en contacto con 17 fabricantes, y 14 respondieron que los flujos de datos eran compatibles con los contratos de sus proveedores. Siete empresas afirmaron que corresponde al propietario del automóvil leer las condiciones de cada servicio externo, mientras que cinco atribuyeron el seguimiento a páginas web que se abren dentro de sus aplicaciones.
Los resultados se producen en el contexto de una orden de la Comisión Federal de Comercio de Estados Unidos contra GM, que prohibió a la empresa vender datos de los conductores a agencias de informes del consumidor durante cinco años y le exigió obtener consentimiento expreso antes de recopilar o compartir datos de vehículos conectados. Sin embargo, la prueba del estudio se realizó antes de la emisión de la orden, y los investigadores no acusaron a GM de infringirla. GM afirmó que los datos solo se revelan a proveedores de servicios cuyos contratos les impiden venderlos o utilizarlos para sus propios fines.
Según la fuente, Honda pidió a Amplitude que eliminara los datos de ubicación y actualizó HondaLink para dejar de enviarlos. Por su parte, el investigador David Choffnes, profesor de Northeastern y uno de los autores del estudio, pidió la intervención de los organismos reguladores. Sigue abierta una cuestión importante: hasta qué punto son claras las autorizaciones que los usuarios conceden realmente y si las funciones esenciales seguirán disponibles para quienes rechacen compartir sus datos.