Le auto connesse scambiano dati con una rete di società esterne che comprende anche operatori della pubblicità e dell’analisi digitale. Uno studio della Northeastern University, condotto su vetture della flotta di Consumer Reports tra ottobre 2024 e agosto 2025, ha analizzato il traffico di 21 veicoli recenti e 30 applicazioni delle case automobilistiche. Il risultato: 19 auto su 21 hanno inviato dati ad almeno un’azienda terza attraverso il Wi-Fi. La ricerca ha esaminato anche le app che accompagnano l’utilizzo delle vetture, individuando flussi di informazioni personali verso servizi esterni.
Sette applicazioni trasmettevano identificativi come il VIN, ossia il numero identificativo del veicolo, indirizzi email e posizioni precise a società pubblicitarie e di analisi. Quattro appartengono a General Motors: myCadillac, myChevrolet, myBuick e myGMC. Ciascuna inviava il VIN a dieci aziende, tra cui Microsoft e Adobe. Tra i destinatari dei flussi provenienti dalle app del gruppo figuravano inoltre Pinterest, Snap, Yahoo, Meta, Google e il broker di dati Acxiom: un insieme di soggetti che estende la circolazione delle informazioni oltre il rapporto diretto tra automobilista e costruttore.
Gli altri casi riguardavano HondaLink, che inviava VIN e posizione alla società di analisi Amplitude, e le applicazioni Lincoln e MyNISSAN. Il numero identificativo della vettura ha una caratteristica che lo distingue dall’identificativo pubblicitario di uno smartphone: non può essere reimpostato. Associarlo a un indirizzo email consente alle società pubblicitarie di collegare il proprietario alle attività svolte su altre applicazioni e siti web. Il dato dell’auto diventa così un riferimento persistente, utilizzabile per mettere in relazione informazioni raccolte in ambienti digitali diversi.
La distinzione tra veicolo e applicazione emerge dai risultati sui singoli modelli. Dieci auto non contattavano autonomamente domini pubblicitari o di tracciamento. Tra queste, Buick Envista e Nissan Ariya: abbinando le rispettive app, però, i proprietari risultavano esposti a 23 e 25 società pubblicitarie e di tracciamento. Il percorso della Tesla Model 3 era diverso: l’auto raggiungeva 22 società di questo tipo, mentre l’app ne aggiungeva due. Per la maggior parte delle vetture esaminate, la quota principale dell’esposizione ai servizi pubblicitari passava dallo smartphone.
Complessivamente, 28 applicazioni su 30 contattavano almeno una società pubblicitaria o di analisi. Sul piano della rilevazione, i ricercatori non potevano decifrare il traffico dei veicoli e hanno acquisito i dati trasmessi sulla rete cellulare soltanto per la Model 3, perciò i conteggi effettivi potrebbero essere superiori. Il confronto mette comunque in evidenza quanto l’app contribuisca ai flussi di dati associati all’uso dell’auto, anche quando la vettura non contatta direttamente domini pubblicitari o di tracciamento.
Per GM esiste anche un precedente regolatorio. A gennaio la FTC ha finalizzato un provvedimento sulla condivisione dei dati dei conducenti, con obblighi sulla privacy della durata di vent’anni. L’ordine vieta per cinque anni la vendita di dati dei conducenti alle agenzie di informazioni sui consumatori e richiede il consenso esplicito prima di raccogliere o condividere dati dei veicoli connessi; i test precedono il provvedimento e i ricercatori non ne hanno contestato una violazione. GM ha dichiarato di comunicare dati soltanto a fornitori contrattualmente vincolati a non venderli né usarli per finalità proprie.
I ricercatori hanno presentato i risultati a 17 costruttori, ricevendo 14 risposte: tutti hanno dichiarato che i flussi rispettavano i contratti con i fornitori. Sette hanno attribuito ai proprietari la responsabilità di leggere e accettare le condizioni di ogni servizio esterno, compreso il software preinstallato; cinque hanno ricondotto il tracciamento alle pagine web aperte nelle app. Le informative delle sette applicazioni che condividevano identificativi prevedevano il trasferimento di dati personali a terzi, senza specificare destinatari o ragioni.
Rifiutare la raccolta comporta inoltre conseguenze dichiarate dai produttori: Tesla avverte di funzionalità ridotte, danni gravi o problemi di interoperabilità, mentre Rivian indica limitazioni o disattivazioni di navigazione e aggiornamenti da remoto. Honda ha invece chiesto ad Amplitude di cancellare i dati di posizione e aggiornato HondaLink per interromperne l’invio. Il professore e coautore dello studio David Choffnes ha sollecitato un intervento dei regolatori, portando la questione dal rapporto contrattuale con i fornitori alla supervisione dei flussi di dati.