Montadoras violam promessa de não compartilhar dados de localização com a polícia

Montadoras de automóveis estão fornecendo dados de localização de veículos a órgãos de aplicação da lei sem mandado, e quase não avisam os proprietários

• Os senadores Ron Wyden e Ed Markey pediram à FTC (Federal Trade Commission) que investigue as principais montadoras por terem quebrado a promessa de proteger os dados de localização dos clientes.
• As montadoras prometeram de forma enganosa que exigiriam mandados ou ordens judiciais antes de fornecer dados de localização coletados por carros conectados à internet às autoridades policiais.
• Segundo a investigação do gabinete do senador Wyden, apenas cinco montadoras — GM, Ford, Honda, Stellantis e Tesla — exigem mandado para enviar dados de localização às autoridades, e somente a Tesla informa os proprietários quando há uma solicitação governamental.

A maioria das montadoras ainda fornece dados de localização a partir de subpoenas sem julgamento prévio

• Toyota, Nissan, Subaru, Volkswagen, BMW, Mazda, Mercedes-Benz e Kia confirmaram que responderão a subpoenas sem necessidade de aprovação judicial para divulgar dados de localização a agências do governo dos EUA.
• A Volkswagen afirmou que exigirá mandado para dados de localização com mais de 7 dias, mas para até 6 dias responderá a subpoena e os divulgará.
• A Volvo, pertencente à Geely da China, não respondeu à solicitação.
• Isso contradiz diretamente o compromisso público da indústria automotiva de que as solicitações das autoridades por dados de localização geográfica devem vir na forma de mandado ou ordem judicial, exceto em situações de emergência ou com consentimento do proprietário.

Alerta sobre os riscos de falhas de privacidade nas montadoras

• Wyden e Markey alertam que, se não protegerem a privacidade dos americanos, isso pode ter consequências perigosas, especialmente após a decisão Dobbs da Suprema Corte.
• A decisão Dobbs levou os governos estaduais a enfrentar o risco de criminalizar o aborto e de criminalizar outras escolhas de saúde reprodutiva.
• Os dados de localização de veículos podem revelar detalhes da vida pessoal, como atravessar fronteiras estaduais para buscar tratamento, participar de protestos, visitar profissionais de saúde mental ou receber tratamento para dependência química.

Opinião da GN+

• Em um contexto de crescente preocupação com privacidade, é preocupante que as montadoras não protejam os dados de localização de seus clientes; especialmente, as informações coletadas no veículo podem ser altamente sensíveis.
• O fato de as montadoras não cumprirem os compromissos voluntários pode causar um grande dano à confiança do consumidor. Medidas punitivas ou de remediação deverão ser adotadas no futuro.
• Equilibrar privacidade e investigação das autoridades não é um desafio fácil, mas, no mínimo, os trâmites legais como mandado devem ser estritamente seguidos. Isso exige esforço voluntário das montadoras e supervisão governamental.
• Espera-se que este caso aumente a conscientização sobre os riscos de violações de privacidade na era dos carros conectados. As montadoras devem usar isso como lição e buscar soluções técnicas e institucionais para proteger a privacidade do cliente.
• A longo prazo, parece necessário um consenso social e um ajuste jurídico para harmonizar o uso e a proteção de dados pessoais. Especialmente em casos como este, é evidente que apenas compromissos voluntários das empresas têm limites, de modo que mecanismos de efetividade — como punições em caso de descumprimento — devem ser garantidos.

[GN⁺]

Discussão no Hacker News

• Alguns fabricantes de carros estão descumprindo a promessa de proteção ao consumidor por não exigirem mandado para fornecer dados de localização.
  • GM, Ford, Honda, Stellantis e Tesla são os únicos que exigem mandado para liberar a localização.
  • Apenas a Tesla notifica o proprietário quando recebe solicitação do governo.
• Esse abuso provavelmente fará as pessoas dirigirem carros usados por mais tempo.
  • Há uma queda nas normas de emissão e segurança, mas é um compromisso para evitar ter o Big Brother como passageiro.
  • Não tenho certeza se terá grande impacto, já que há motoristas suficientes com esse pensamento.
• A posse de carros novos é inconveniente. Pretendo manter um carro de 2016 sem conexão à internet o mais tempo possível.
  • A câmera de ré é a única função boa.
• Consumidores e oficinas devem ter acesso ao firmware que controla as funções do carro.
  • Deve ser possível reinstalar e reutilizar o firmware com substitutos compatíveis.
• Existe alguma lista de anos por modelo em que a tecnologia de rastreamento foi implementada?
  • Independentemente do que o fabricante diga, os dados vão vazar, seja intencionalmente ou não.
• A Hyundai se enquadra em uma categoria parecida com a da Volkswagen.
  • Para solicitações de acesso em tempo real por mais de 48 horas, é necessária a devida via judicial ou o consentimento do cliente.
• A principal questão é se o fabricante de automóveis tem autorização para armazenar dados de localização.
• Um acordo verbal vale o mesmo que papel escrito.
• Link de vídeo mostrando como remover o DCM (Data Communication Module) em um Corolla 2023.
• Investigação para desativar conectividade em um Subaru Outback 2019.
  • Retirar a fusível do DCM (#9) permite desativá-lo, mas o alto-falante frontal e o microfone também deixam de funcionar.
  • É possível desmontar o painel e remover o DCM, substituindo-o por um conector dummy que conecta alto-falante e microfone.
  • Em alguns carros, não há alimentação de 5V para o microfone, que é gerada no DCM.
  • Vou consultar uma oficina independente sobre o custo de remoção do DCM e troca do conector dummy.
• O senador Wyden mais uma vez se mostrou o único político a se importar com o impacto da tecnologia no dia a dia.