Um estudo realizado pela Northeastern University e pela Consumer Reports revelou que a maioria dos carros modernos e dos aplicativos das fabricantes submetidos a testes se comunica com empresas terceirizadas de publicidade e análise, às vezes enviando identificadores que podem ser diretamente associados ao proprietário do carro e à sua atividade digital.
Os pesquisadores analisaram o tráfego de dados de 21 carros modernos e 30 aplicativos de fabricantes durante o período de outubro de 2024 a agosto de 2025. Dezenove carros enviaram dados a pelo menos uma empresa externa por meio de conexão sem fio, enquanto sete aplicativos transmitiram identificadores como o número de identificação do veículo (VIN), endereços de e-mail e localizações precisas a empresas de publicidade e análise.
O número do chassi não pode ser alterado
Quatro dos sete aplicativos pertenciam à General Motors: myCadillac, myChevrolet, myBuick e myGMC. Segundo o estudo, esses aplicativos enviaram números de VIN a dez empresas, entre elas Microsoft, Adobe, Snap, Yahoo, Meta e Google, além da corretora de dados Acxiom. O aplicativo HondaLink também enviou números de VIN e localização à empresa de análise Amplitude, enquanto os demais casos envolveram os aplicativos Lincoln e MyNISSAN.
A sensibilidade desses dados está no fato de que o número de VIN, ao contrário do identificador de publicidade do celular, não pode ser redefinido pelo usuário. Quando associado ao endereço de e-mail, ele permite que as empresas de publicidade vinculem a identidade do proprietário do carro à sua atividade em outros aplicativos e sites, tornando o carro e seu aplicativo parte de um perfil digital mais amplo.
Os aplicativos são a maior fonte de exposição
Os resumos da Consumer Reports mostraram que dez dos 21 carros não se conectaram diretamente a domínios de publicidade ou rastreamento, mas seus aplicativos expuseram os dados dos proprietários a muitas empresas. O aplicativo Buick Envista, por exemplo, esteve associado a 23 empresas de publicidade e rastreamento, e o aplicativo Nissan Ariya, a 25 empresas. Em contrapartida, o Tesla Model 3 conectou-se a 22 entidades a partir do próprio carro, e seu aplicativo acrescentou mais duas.
De acordo com os resultados, 28 dos 30 aplicativos se comunicaram com pelo menos uma empresa de publicidade ou análise. A equipe não conseguiu descriptografar o tráfego de dados dentro dos veículos, e a captura de dados celulares foi limitada ao caso do Model 3; por isso, os pesquisadores acreditam que os números reais sejam maiores.
Por que esta notícia é importante?
Os resultados mostram que a fonte do risco ou da perda de privacidade não é necessariamente o próprio sistema do carro; na maioria dos veículos testados, a maior parte da exposição a tecnologias de publicidade e rastreamento ocorreu por meio do aplicativo para celular. Isso significa que revisar as configurações do aplicativo e os termos dos serviços associados a ele é tão importante quanto revisar as configurações do carro.
O estudo também constatou que as políticas de privacidade dos sete aplicativos que compartilharam identificadores informavam sobre a possibilidade de transmitir dados a terceiros, mas nem sempre especificavam as entidades receptoras ou a finalidade do compartilhamento. A Tesla alerta os usuários que recusam o acordo de compartilhamento de dados para a possibilidade de redução das funcionalidades, ocorrência de danos graves ou problemas de compatibilidade, enquanto a Rivian afirma que interromper a coleta de dados pode limitar recursos como navegação e atualizações over-the-air.
Resposta das empresas e limitações regulatórias
Os pesquisadores contataram 17 fabricantes, e 14 responderam que os fluxos de dados estavam de acordo com os contratos de seus fornecedores. Sete empresas disseram que cabe ao proprietário do carro ler os termos de cada serviço externo, enquanto cinco atribuíram o rastreamento a páginas da web abertas dentro de seus aplicativos.
Os resultados surgem no contexto de uma ordem da Comissão Federal de Comércio dos Estados Unidos contra a GM, que proibiu a empresa de vender dados de motoristas a agências de informações ao consumidor por cinco anos e exigiu consentimento explícito antes da coleta ou do compartilhamento de dados de veículos conectados. No entanto, o teste do estudo ocorreu antes da emissão da ordem, e os pesquisadores não acusaram a GM de violá-la. A GM afirmou que os dados só são divulgados a prestadores de serviços cujos contratos os proíbem de vendê-los ou usá-los para fins próprios.
Segundo a fonte, a Honda pediu à Amplitude que excluísse os dados de localização e atualizou o HondaLink para interromper seu envio. Já o pesquisador David Choffnes, professor da Northeastern e um dos autores do estudo, pediu a intervenção das autoridades reguladoras. Permanece em aberto uma questão importante: quão claras são, de fato, as autorizações obtidas dos usuários e se as funções essenciais continuarão disponíveis para quem recusar o compartilhamento de seus dados.