Сбор личных данных автомобилями: почему это стало трендом

Значительная часть информации обрабатывается локально — иначе автомобиль пришлось бы продавать вместе с отдельной серверной фермой. Но сам масштаб показателен: машина давно перестала быть только транспортом.

Она фиксирует параметры движения, координаты, действия водителя, состояние систем, контакты смартфона и медиапредпочтения. В некоторых моделях к этому добавляются распознавание лица, сканеры отпечатков пальцев и поведенческие профили. Затем данные попадают в экосистему производителя, страховых компаний, подрядчиков и информационных брокеров.

Исследование Mozilla Foundation, опубликованное в рамках проекта Privacy Not Included, проверило 25 крупных автомобильных брендов. Все получили предостережение по части конфиденциальности. Категория автомобилей стала худшей в истории проверок организации по уровню защиты пользовательских данных. Вопрос уже не в том, собирает ли современная машина информацию. Вопрос в том, кто получает к ней доступ, на каких условиях и может ли владелец это остановить.

Какие данные собирает современный автомобиль

У автомобиля нет одного универсального «файла слежки». Есть несколько потоков данных, которые возникают в разных системах и с разной степенью очевидности.

Первый поток — телеметрия движения. Электронные блоки управления и системы помощи водителю фиксируют скорость, ускорения, резкие торможения, работу педалей, углы поворота руля и другие параметры, необходимые для управления и диагностики. Часть этих сведений нужна непосредственно машине: без них не работают ABS, ESC, адаптивный круиз-контроль и алгоритмы предотвращения столкновений.

Проблема начинается после того, как технический параметр превращается в профиль поведения человека. Резкое торможение можно рассматривать как событие в системе безопасности. А можно — как признак рискованного стиля вождения. Для программного обеспечения это один и тот же набор чисел. Для страхового тарифа последствия разные.

Второй поток — местоположение и маршрутная история. Подключенная машина знает, где она находится, когда начинает движение, где останавливается и как часто возвращается в одни и те же точки. Координаты сами по себе уже чувствительны. В связке с временными метками они позволяют делать выводы о месте проживания, работе, регулярных поездках, визитах к врачам и других привычках. Не обязательно знать имя владельца: устойчивый маршрут часто идентифицирует человека не хуже учетной записи.

Третий поток — данные о состоянии автомобиля:

• ошибки электронных блоков и диагностические коды;
• состояние батареи и параметры зарядки у электромобилей;
• пробег, длительность поездок и режимы эксплуатации;
• активация систем помощи водителю;
• события столкновений и срабатывания пассивной безопасности;
• информация о техническом обслуживании;
• данные о работе силовой установки и климатической системы.

Для производителя это материал для диагностики, OTA-обновлений и улучшения продукта. Для страховой компании — потенциальный индикатор риска. Для брокера данных — часть коммерческого профиля. Один и тот же датчик оказывается полезным сразу нескольким бизнес-моделям.

Наконец, есть информация, которую водитель приносит в автомобиль сам. При подключении смартфона мультимедийная система может запрашивать доступ к журналу вызовов, списку контактов и текстовым сообщениям. Даже если на экране отображается только имя абонента и обложка трека, бортовая электроника может получить гораздо более широкий набор разрешений.

Что попадает в цифровой профиль водителя

Список зависит от конкретной модели, рынка и активированных сервисов. Но маркетинговая формулировка «подключенный автомобиль» почти всегда означает наличие внешнего канала связи, учетной записи и набора данных, который выходит за рамки работы двигателя и тормозов.

Автомобиль собирает не только данные о машине. Он постепенно собирает данные о человеке, который этой машиной пользуется.

Куда отправляет данные современная машина

Слово «отправляет» здесь требует технической аккуратности. Современный автомобиль постоянно производит данные, но не каждый байт покидает его корпус. Часть информации хранится в электронных блоках, часть обрабатывается локально, а наружу уходят отдельные события, агрегированные показатели или диагностические пакеты.

Обычно архитектура выглядит как набор связанных уровней.

На первом уровне работают локальные контроллеры. Они получают сигналы от камер, радаров, лидаров, акселерометров и других сенсоров. Системе удержания в полосе не нужно отправлять каждую координату в облако, чтобы скорректировать траекторию. Критический контур управления должен реагировать на месте. Иначе задержка мобильной сети станет частью тормозного пути.

На втором уровне находится телематический блок. Он связывает автомобиль с мобильной сетью и серверной инфраструктурой производителя. Через него могут передаваться сведения о состоянии автомобиля, местоположении, аварийных событиях и работе подключенных сервисов. Здесь же реализуются удаленная диагностика, поиск машины, уведомления и часть функций OTA.

Третий уровень — учетная запись владельца и приложения. Владелец видит в смартфоне заряд батареи, пробег, местоположение, состояние дверей или необходимость обслуживания. Удобство очевидно. Одновременно приложение становится еще одной точкой доступа к данным и еще одним местом, где хранятся идентификаторы пользователя.

Четвертый уровень — внешние подрядчики. Это облачные платформы, сервисные компании, поставщики навигации, голосовых ассистентов, платежных решений и страховой аналитики. Автоконцерн может не строить каждый компонент самостоятельно. Но для пользователя это не меняет главного: его данные проходят через цепочку организаций, а не остаются внутри автомобиля.

В политике конфиденциальности обычно перечислены категории партнеров и цели обработки. Однако техническая сложность продукта делает такой документ слабым инструментом контроля. Владелец может разрешить удаленную диагностику, не понимая, что тот же поток данных способен использоваться для формирования поведенческого профиля. Согласие есть. Понимания — не всегда.

Почему 25 ГБ в час не означают постоянную передачу в облако

Цифра в 25 ГБ в час относится к объему данных, который высоко оснащенный автомобиль способен генерировать на уровне внутренних систем. Это поток от сенсоров, камер, радаров, лидаров и контроллеров. В него могут входить промежуточные результаты обработки, журналы событий и технические данные.

Большая часть массива не нужна серверу в исходном виде. Вместо видеопотока с камеры автомобиль может отправить сообщение о том, что система обнаружила объект или зафиксировала резкое торможение. Вместо полной истории работы каждого блока — набор диагностических параметров. Это снижает нагрузку на связь и стоимость хранения.

Но локальная обработка не равна приватности. Даже несколько агрегированных событий могут раскрывать много информации, если они регулярно привязаны к конкретному автомобилю, учетной записи и маршруту. Для страховой аналитики не требуется видеозапись каждой поездки. Достаточно последовательности ускорений, торможений, скорости и времени.

Как автоконцерны монетизируют поездки водителей

Продажа автомобиля дает производителю разовый доход. Подключенные сервисы позволяют извлекать ценность после сделки. Формула знакомая по смартфонам и онлайн-платформам: устройство становится интерфейсом, а данные — активом.

Производитель может использовать телеметрию для собственных задач:

• предиктивного обслуживания и раннего выявления неисправностей;
• улучшения алгоритмов помощи водителю;
• анализа отказов и гарантийных случаев;
• персонализации мультимедиа;
• управления подписками и цифровыми функциями;
• дистанционных обновлений программного обеспечения;
• разработки новых сервисов.

Часть этих сценариев рациональна. OTA-обновление, которое исправляет ошибку в программном обеспечении или улучшает работу системы, действительно полезно. Удаленная диагностика сокращает число визитов в сервис. Но рядом существует менее очевидный рынок — передача данных третьим сторонам.

Исследование Mozilla показало, что 84% изученных автомобильных брендов признавали возможность обмениваться личными данными водителей или передавать их третьим лицам. 76% заявляли о возможности продажи таких данных. Это не означает, что каждый автомобиль каждого бренда постоянно выставляет все поездки на открытый рынок. Формулировка важнее и неприятнее: бизнес-модель допускает передачу и коммерческое использование.

Для рынка страхования данные о стиле вождения выглядят особенно привлекательными. Классическая модель страхового расчета опирается на возраст, регион, автомобиль, историю убытков и другие формальные признаки. Телематика добавляет наблюдение за фактическим поведением. Теоретически аккуратный водитель получает более точную оценку. Практически система может прежде всего обнаруживать признаки риска и повышать стоимость полиса.

Здесь возникает асимметрия. Водитель не всегда знает, какие параметры были переданы и как алгоритм их интерпретировал. Он может не видеть исходный набор телеметрии, не понимать вес каждого события и не иметь возможности оспорить автоматический вывод. Алгоритм считает резкое торможение. Страховая система видит риск. Разговор на этом часто заканчивается.

Что показал кейс General Motors

История General Motors стала показательным примером того, как техническая телеметрия превращается в финансовое последствие для владельца автомобиля.

Сервис OnStar Smart Driver собирал сведения о манере вождения пользователей, включая резкие торможения, ускорения и превышение скорости. Эти данные передавались информационным брокерам LexisNexis и Verisk. Далее они могли использоваться в страховой аналитике. Для части водителей результатом становился рост стоимости полиса.

В марте 2024 года передача данных OnStar Smart Driver третьим лицам была прекращена. До этого информация о поездках уже успела выйти за пределы непосредственной связи между автомобилем и его владельцем. Один из отчетов LexisNexis Consumer Disclosure Report, полученный водителем в США, занимал 258 страниц. Такой объем не похож на короткую техническую справку о нескольких резких торможениях. Это подробный массив наблюдений, который можно анализировать как поведенческую историю.

В августе 2024 года генеральный прокурор Техаса Кен Пакстон подал иск против General Motors. В материалах дела фигурировало более 1,8 млн жителей штата. Компанию обвинили в обманных действиях и несанкционированной продаже данных о вождении страховым компаниям.

Юридическая оценка этого кейса — отдельный вопрос. Но технологический вывод уже понятен: сервис, который в интерфейсе автомобиля выглядит как программа для анализа вождения, может стать частью инфраструктуры страхового скоринга. Водитель подключает функцию ради обратной связи, а спустя время сталкивается с последствиями в другой отрасли.

Телеметрия не обязана быть продана напрямую, чтобы повлиять на цену страховки. Достаточно, чтобы она попала в систему, принимающую решение о риске.

Самая слабая часть такой модели — отсутствие прозрачного маршрута данных. Владелец автомобиля может знать о существовании OnStar или аналогичного сервиса, но не ожидать, что параметры его торможений будут доступны брокеру, который формирует отчет для страхового рынка. Пользовательское соглашение способно описать это юридически. Оно не делает процесс понятным технически.

Почему смартфон и биометрия расширяют зону наблюдения

Автомобиль получает данные не только от собственных сенсоров. Подключенный смартфон превращает мультимедийную систему в дополнительный интерфейс персональной информации.

При сопряжении телефона автомобиль может получать доступ к журналам вызовов, контактам и текстовым сообщениям. Иногда пользователь разрешает это одним нажатием, потому что без доступа не работают голосовые команды или отображение входящих вызовов. С точки зрения интерфейса разница между необходимым и избыточным разрешением может быть минимальной.

Медиапредпочтения тоже становятся частью профиля. Навигационные запросы, часто используемые маршруты, музыкальные сервисы и голосовые команды позволяют описать поведение владельца точнее, чем набор характеристик автомобиля. Это уже не просто данные о поездке. Это информация о контексте жизни человека.

Биометрия поднимает ставки. Некоторые производители внедряют распознавание лиц и сканеры отпечатков пальцев для персонализации настроек и управления доступом к автомобилю. Сценарий удобный: машина узнает водителя, загружает положение сиденья, профиль мультимедиа и параметры ассистентов. Но биометрический идентификатор нельзя заменить так же просто, как пароль.

Если пароль скомпрометирован, его можно изменить. Лицо и отпечаток пальца — нет. Поэтому биометрические функции требуют более строгой архитектуры хранения и обработки. Где происходит сопоставление — внутри автомобиля или на сервере? Хранится ли исходный шаблон? Какие устройства имеют к нему доступ? Как удаляется профиль после продажи машины? Ответы зависят от производителя и конкретной системы. Универсального стандарта поведения для пользователя здесь нет.

Автомобиль как набор сенсоров

В системах автономного вождения и помощи водителю сбор данных имеет еще одну особенность. Камеры, радары и лидары работают не только на водителя, но и на окружающее пространство. Автомобиль может фиксировать других участников движения, номера, лица и объекты на дороге. Даже если система не сохраняет полный видеопоток, она анализирует сцену и формирует события.

Для работы ассистентов это необходимо. Адаптивный круиз-контроль должен видеть транспорт впереди. Система распознавания дорожных знаков должна обрабатывать изображения. Мониторинг внимания водителя должен оценивать положение головы и направление взгляда.

Но функция безопасности не отменяет вопрос о жизненном цикле данных. Какие события сохраняются? Сколько времени? Передаются ли они производителю для обучения моделей? Используются ли при расследовании аварий? Доступны ли сервисным подрядчикам? В автомобильной индустрии слово «искусственный интеллект» часто звучит как универсальное оправдание. Технически оно ничего не объясняет. Нужно знать, какие данные получает модель и что происходит с результатом.

Почему безопасность данных в подключенных машинах отстает

Подключенный автомобиль сочетает свойства нескольких систем, которые раньше существовали отдельно. Это транспортное средство, мобильное устройство, камера, навигационный терминал и облачный клиент одновременно. Каждая функция добавляет поверхность атаки и новый тип данных.

При этом рынок долго продавал цифровые функции как бонус к железу. Производитель конкурировал количеством экранов, голосовых команд и удаленных сценариев. Вопрос о том, кто владеет телеметрией, оставался в нижней части пользовательского соглашения. Маркетинг предпочитает говорить об удобстве. Удобство действительно есть. Просто оно оплачивается не только деньгами.

Слабые места могут находиться на разных уровнях:

• учетная запись владельца и приложение;
• мобильный канал связи;
• облачная инфраструктура производителя;
• интеграции с подрядчиками;
• мультимедийная система;
• подключенный смартфон;
• внутренние интерфейсы диагностики;
• процессы удаления данных после продажи автомобиля.

Особенно трудно контролировать данные, которые уже покинули машину. Локальная настройка может отключить часть функций. Она не возвращает сведения, переданные ранее. Смена владельца также не гарантирует автоматического удаления всей истории, если автомобиль и учетная запись были связаны с облачным сервисом.

В этой точке безопасность данных превращается не только в вопрос киберзащиты. Даже идеально защищенный сервер может обрабатывать слишком много информации или передавать ее слишком широкому кругу партнеров. Конфиденциальность — это не просто отсутствие взлома. Это ограничение самого объема наблюдения и понятные правила использования.

Что может сделать владелец автомобиля

Полностью исключить сбор данных в современной подключенной машине часто невозможно без отказа от части функций. Но уменьшить цифровой след можно. Подход здесь такой же, как к настройкам смартфона: не запрещать все подряд, а понимать цену каждой опции.

1. Разделить необходимые и необязательные сервисы. Экстренная связь и диагностика — не то же самое, что программа оценки стиля вождения или персонализированные рекомендации. У них разная польза и разный профиль риска.

2. Проверить разрешения мультимедийной системы. Доступ к контактам, журналу вызовов и сообщениям не должен включаться автоматически просто потому, что так удобнее голосовому ассистенту.

3. Отключить телематические программы, если они не нужны. Особенно те, которые анализируют ускорения, торможения и скорость. Сервис может быть полезен, но владелец должен понимать, кому доступна эта информация.

4. Не передавать учетную запись при продаже автомобиля. Перед сделкой нужно отвязать приложение, удалить пользовательские профили, сбросить мультимедиа и проверить доступы подключенных сервисов. Простого удаления водителя с экрана может быть недостаточно.

5. Проверить настройки биометрии. Если машиной пользуются несколько людей, стоит понимать, где хранятся профили и как удаляется биометрический шаблон. Сканер отпечатка — не декоративная кнопка, а еще один идентификатор.

6. Не путать отключение рекламы с отключением сбора данных. Отказ от персонализированных предложений может убрать рекламный сценарий, но не остановить диагностическую или телематическую передачу.

7. Запрашивать сведения о собранных данных там, где это предусмотрено правилами сервиса. Кейс с отчетом на 258 страниц показывает, что объем информации может быть существенно больше, чем ожидает водитель.

Эти действия не превращают автомобиль в офлайн-механику. Они лишь сокращают число каналов, по которым поездка может стать частью чужой аналитической системы.

Правовой тупик: почему соглашение не решает проблему

Производители формально описывают обработку данных в политиках конфиденциальности и пользовательских соглашениях. В документах могут быть перечислены категории информации, цели использования и возможность передачи подрядчикам. С точки зрения компании это способ зафиксировать условия сервиса.

Для владельца автомобиля документ остается сложным интерфейсом без нормального интерфейса. Он не показывает, какой конкретно сигнал передается после резкого торможения, сколько времени хранится история маршрутов, как брокер связывает телеметрию с человеком и почему страховой алгоритм изменил оценку риска.

Согласие особенно проблемно там, где цифровая функция встроена в уже купленный автомобиль. Человек может отказаться от дополнительной программы, но не всегда может отказаться от базовой телеметрии без потери важных функций. В некоторых случаях отключение передачи данных влияет на удаленную диагностику, экстренные сервисы или обновления программного обеспечения.

Получается странная конструкция. Машина принадлежит владельцу физически, но значительная часть цифровой информации живет в инфраструктуре производителя. Водитель управляет автомобилем, однако не обязательно контролирует историю управления. Он оплачивает страховку, но может не видеть данные, на которых основана оценка риска.

Проблему усугубляет отсутствие единой логики между рынками. В разных юрисдикциях отличаются требования к согласию, доступу к данным и их передаче третьим сторонам. Одна и та же модель может работать с разными настройками и разными политиками в зависимости от страны. Для глобальных автоконцернов это нормальная операционная практика. Для пользователя — еще один слой непрозрачности.

Что изменится дальше

Тренд на сбор данных будет усиливаться. Причина не в особой любви автоконцернов к телеметрии, а в экономике программных функций. Производителю нужны данные для обучения алгоритмов, поддержки ассистентов, диагностики и развития подписочных сервисов. Страховщикам нужны индикаторы риска. Поставщикам цифровых платформ нужны поведенческие сигналы. Автомобиль оказался удобным сенсорным узлом, который ездит вместе с человеком и регулярно подключается к сети.

В электромобилях к этому добавляется информация о зарядке: время подключения, длительность сессии, используемые станции и характер потребления энергии. Для работы навигации и управления запасом хода часть таких данных оправдана. Но набор снова может описывать распорядок владельца почти в реальном времени.

Задача отрасли — не отказаться от подключенных функций, а перестроить их вокруг принципа минимизации данных. Производителю не всегда нужен полный маршрут, если достаточно района. Страховой аналитике не обязательно хранить детальную историю каждой поездки, если расчет можно выполнять на агрегированных событиях. Биометрический профиль не должен автоматически покидать автомобиль только потому, что серверная архитектура так удобнее.

Пока же рынок движется в обратную сторону. Сначала в автомобиль устанавливают сенсоры, камеры, микрофоны и модем. Затем придумывают сервисы, оправдывающие их работу. Потом пользователь обнаруживает, что его машина уже стала участником обмена данными между несколькими компаниями. Индустрия называет это экосистемой. Технически это распределенная система наблюдения с рулевым колесом.

Вердикт

Плюсы сбора данных:

• удаленная диагностика и OTA-обновления;
• более точная работа систем помощи водителю;
• обнаружение неисправностей до визита в сервис;
• навигация, экстренные функции и управление автомобилем через приложение;
• персональные настройки и биометрический доступ.

Минусы:

• производитель может собирать данные о маршрутах и стиле вождения;
• сведения о резких торможениях и ускорениях способны повлиять на страховую оценку;
• смартфон расширяет доступ автомобиля к контактам, вызовам и сообщениям;
• биометрия создает необратимый тип цифрового идентификатора;
• пользовательские соглашения плохо объясняют реальный маршрут данных;
• после передачи брокеру или подрядчику контроль владельца становится ограниченным.

Современная машина — это не только двигатель, батарея и набор электронных блоков. Это датчик, подключенный клиент и программная платформа. Поэтому вопрос «какие данные собирает современный автомобиль» важнее, чем список его ассистентов и размер центрального экрана.

Покупатель должен оценивать не только запас хода, мощность зарядки или количество камер. Нужно смотреть на цифровую архитектуру: какие данные генерируются, что обрабатывается локально, какие сервисы включены по умолчанию и кому разрешено получать телеметрию. Иначе можно купить автомобиль с удобными функциями, а затем обнаружить, что главным продуктом этой машины стали не поездки, а сведения о них.