Diecinueve de 21 vehículos analizados en un estudio de próxima publicación —revisado por pares— transmiten información de sus propietarios a al menos un tercero externo. La investigación examinó modelos recientes de 17 fabricantes y 30 aplicaciones móviles complementarias, revelando que plataformas de publicidad y rastreo reciben datos como número de identificación vehicular (VIN), correos electrónicos, números de teléfono y ubicación precisa.
Entre los destinatarios identificados figuran Adobe, Google, Microsoft, Meta y Yahoo. Siete de las 30 aplicaciones analizadas transmitieron activamente datos sensibles a empresas especializadas en construcción de perfiles de usuario. Cuando los investigadores vincularon la aplicación complementaria con el vehículo, la exposición a redes de publicidad y rastreo se duplicó de forma significativa, lo que amplifica el riesgo para cualquier organización cuya flota vehicular opere con conectividad activa.
El problema de los perfiles acumulativos
La arquitectura del problema va más allá de la transmisión puntual de datos. Se detectaron múltiples flujos de información dirigidos a un mismo tercero desde distintas fuentes —vehículo y aplicación simultáneamente—, lo que permite construir perfiles de comportamiento detallados y persistentes. Estos perfiles se comercializan con aseguradoras, instituciones financieras y corredores de datos, y son técnicamente difíciles de eliminar una vez distribuidos.
Algunos fabricantes señalaron que ciertos enlaces dentro de sus aplicaciones redirigen a páginas web externas que pueden instalar cookies sin notificación explícita al conductor. Esta práctica sitúa la responsabilidad de la recopilación en capas intermedias, dificultando la trazabilidad y el ejercicio de derechos sobre los datos personales.
Respuesta dispar de la industria
Al ser notificados de los hallazgos, la mayoría de los fabricantes involucrados tendió a trasladar la responsabilidad hacia factores externos o hacia los propios usuarios. La excepción fue Honda, que respondió revisando sus prácticas de recopilación e instruyendo a su proveedor eliminar todos los datos de geolocalización recibidos hasta ese momento.
Esta disparidad en la respuesta corporativa expone un vacío de gobernanza en el sector automotriz conectado. Para cualquier empresa que gestione flotas o que procese datos de movilidad de empleados, el riesgo regulatorio y reputacional asociado a estas prácticas es concreto: la normativa de protección de datos en México y en mercados internacionales exige consentimiento informado y propósito definido para cada flujo de información personal, condiciones que este ecosistema actualmente no cumple de forma sistemática.
