Twoje auto donosi na ciebie. I jeszcze za to płacisz

Nie lubię, kiedy ktoś mnie śledzi. Nie dlatego, że mam coś do ukrycia, tylko dlatego, że to moja sprawa, dokąd jadę, z kim rozmawiam i jak mocno wciskam gaz. Rzecz w tym, że producenci samochodów mają na ten temat zupełnie inne zdanie. Nowoczesne, „połączone” auta codziennie wysyłają kontenery danych do… w zasadzie nie wiadomo kogo.

Zacznijmy od liczb. Na australijskim rynku sprzedaje się blisko 70 marek, a wszystkie pochodzą z zaledwie 12 zagranicznych jurysdykcji. Każdy z tych krajów może teoretycznie zbierać dane tamtejszych kierowców i robić z nimi, co zechce. Tamtejsze stowarzyszenie pojazdów elektrycznych bije na alarm, bo nowe auta wysyłają do chmury nie tylko lokalizację, ale też nagrania głosu i obraz z kamer w kabinie.

I zanim ktoś machnie ręką, że to problem drugiego końca świata – tak nie jest. Te same marki, te same karty SIM i te same kamerki jeżdżą po polskich drogach. Auto nie sprawdza na granicy, w którym kraju właśnie zbiera dane. Robi to wszędzie tak samo.

„To niech mnie nagrywają, dla mnie to bez różnicy”. W porządku, nie zgadzam się, ale trudno. Tylko czy pomyślałeś o tych wszystkich osobach, które mogą być bezwiednie i mimowolnie dotknięte twoim mamtownosizmem? Na przykład twoje dzieci, których lokalizację i harmonogram dnia można bez problemu wyczytać z twojego samochodu?

Fundacja Mozilla przebadała polityki prywatności 25 marek i ogłosiła, że samochody to najgorsza kategoria produktów, jaką kiedykolwiek sprawdzano pod kątem prywatności. Test oblały wszystkie. Część z nich w politykach przyznawała się do zbierania danych o zdrowiu, rasie, a nawet aktywności seksualnej kierowcy. Auto niby służy do jazdy, a wie o tobie więcej niż najbliżsi.

Liczby są bezwzględne. Sto procent badanych producentów zbierało dane w celach innych niż samo działanie auta. 76 proc. deklarowało, że może te dane sprzedawać, a 39 proc. – że przekaże je firmom trzecim. Mozilla ułożyła nawet listę 165 przykładów zbieranych informacji. To istna hurtownia z drzwiami obrotowymi.

I tak na przykład General Motors przez lata sprzedawał dane o jeździe swoich klientów brokerom, którzy budowali z nich profile ryzyka dla ubezpieczycieli. Kiedy trafiło to do sądu, koncern bronił się argumentem, który powinien mrozić krew w żyłach: jazda odbywa się na drogach publicznych, więc żadne roszczenie o prywatność się nie należy.

Kalifornia miała na to inny pogląd. Tamtejszy prokurator generalny ukarał GM kwotą 12,75 mln dolarów – to najwyższa grzywna w historii tamtejszej ustawy o ochronie prywatności. Koncern zarobił na sprzedaży tych danych około 20 mln dolarów w latach 2020–2024, więc rachunek wciąż mu się zgadza. Ale sama zasada – że sprzedaje się czyjąś jazdę bez zgody – została wreszcie nazwana bezprawiem.

Jak to wygląda od podszewki, pokazał pewien eksperyment dziennikarski. Po rozkręceniu kokpitu zwykłego Chevroleta okazało się, że w środku znajduje się szczegółowa lista kontaktów z adresami i zdjęciami, historia połączeń, ulubione restauracje i dokładne miejsca parkowania. Takie auto potrafi w godzinę uzbierać nawet 25 GB danych. A właściciel? Właściciel nie ma do nich dostępu – chyba że weźmie śrubokręt i ma znajomego hakera.

W Europie mieliśmy być od tego bezpieczni, bo mamy RODO. I rzeczywiście, Europejska Rada Ochrony Danych wydała osobne wytyczne dla połączonych aut, w których jasno stwierdza, że podstawą przetwarzania danych z pojazdu powinna być zgoda kierowcy, a nie wygodny dla producenta „uzasadniony interes”. To ważne, bo ów „uzasadniony interes” robi za worek bez dna, do którego firmy próbują wrzucić wszystko.

Rada wskazała też trzy rodzaje danych wymagające szczególnej ostrożności: lokalizację, dane biometryczne i te ujawniające wykroczenia. Bo z pozoru niewinny ślad GPS potrafi zdradzić twoją religię, orientację albo to, że w środę byłeś tam, gdzie nie powinieneś. Zgoda, a nie domniemanie – tak to powinno działać. Szkoda tylko, że w praktyce ta zgoda to kliknięcie „akceptuj” na ekranie, żeby w ogóle móc przejść dalej.

Na szczęście Unia zaczęła wreszcie tłuc w stół czymś twardszym niż rekomendacje i wytyczne. Od 2022 roku nowe auta w Europie muszą spełniać normę cyberbezpieczeństwa UNECE R155, a od 2025 roku unijny Data Act daje kierowcom prawo dostępu do danych generowanych przez ich własny samochód. Krótko mówiąc: masz prawo wiedzieć, co twoje auto o tobie zapisało. Wreszcie. Może kiedyś będziesz mógł nawet samodzielnie nimi zarządzać.

Można wzruszyć ramionami i powiedzieć, że każdy nas śledzi – telefon, telewizor, lodówka. Tyle że od telefonu potrafię się uwolnić, a z auta w środku zimy nie wysiądę na godzinę marszu do pracy. Prywatność to nie fanaberia paranoika. To prawo, które sukcesywnie oddajemy w zamian za podgrzewane fotele i ładny ekran udający zegary.

Najbardziej gorzkie jest to, że za własną inwigilację płacimy dodatkowo my sami – w cenie samochodu. Kiedyś słyszałem, jak haker doradzał kupno starej Toyoty, która łączy się co najwyżej z drugą przez linkę holowniczą. Coraz częściej to nie żart, tylko jedyna wersja prywatności, na jakiej realnie możemy polegać.