Studi: 21 Mobil Baru Bagikan Data Pengguna ke Pihak Ketiga

Telset.id – Sebuah studi dari Northeastern University mengungkap bahwa 19 dari 21 mobil keluaran terbaru mengirimkan data ke setidaknya satu perusahaan pihak ketiga melalui Wi-Fi. Temuan ini menempatkan privasi pengemudi sebagai isu yang belum terselesaikan, seiring makin terhubungnya kendaraan modern ke internet.

Studi tersebut menguji 21 mobil model terkini dan 30 aplikasi pabrikan otomotif pada armada Consumer Reports antara Oktober 2024 hingga Agustus 2025. Dari jumlah itu, tujuh aplikasi dilaporkan meneruskan identitas seperti Vehicle Identification Number (VIN), alamat email, dan lokasi presisi ke perusahaan periklanan serta analitik.

Empat dari tujuh aplikasi tersebut berasal dari General Motors, yaitu myCadillac, myChevrolet, myBuick, dan myGMC. Masing-masing mengirimkan VIN ke 10 perusahaan, termasuk Microsoft dan Adobe. Sementara itu, HondaLink mengirimkan VIN dan lokasi ke firma analitik Amplitude, dengan aplikasi Lincoln dan MyNISSAN melengkapi daftar tersebut.

Perlu dicatat, GM telah berada di bawah perintah privasi Federal Trade Commission (FTC) selama 20 tahun sejak Januari. Perintah tersebut melarang perusahaan menjual data pengemudi selama lima tahun kepada lembaga pelaporan konsumen, dan mewajibkan GM memperoleh persetujuan eksplisit sebelum mengumpulkan atau membagikan data kendaraan terhubung. Namun, pengujian Northeastern dilakukan sebelum perintah itu final, dan para peneliti tidak menuduh adanya pelanggaran terhadap perintah tersebut.

Risiko VIN yang Tidak Bisa Direset

Berbeda dengan advertising ID pada ponsel, VIN tidak dapat direset. Kombinasi VIN dengan alamat email memungkinkan perusahaan iklan mengaitkan pemilik kendaraan dengan aktivitas di aplikasi dan situs web lain. Inilah yang membuat kebocoran data otomotif berbeda karakter dari pelacakan digital biasa.

Menurut ringkasan per kendaraan dari Consumer Reports, 10 dari 21 mobil tidak menghubungi domain iklan atau pelacakan apa pun secara mandiri. Buick Envista dan Nissan Ariya termasuk di antaranya, tetapi aplikasi keduanya justru mengekspos pemilik ke 23 dan 25 perusahaan iklan serta pelacakan.

Tesla menempuh jalur sebaliknya. Model 3 tercatat menghubungi 22 perusahaan serupa langsung dari mobilnya, sementara aplikasinya menambah dua. Karena tim peneliti tidak dapat mendekripsi lalu lintas kendaraan dan hanya bisa menangkap data seluler dari Model 3, angka sebenarnya dari mobil-mobil ini kemungkinan lebih tinggi.

Untuk sebagian besar mobil yang diuji, paparan ad-tech terbesar justru datang dari aplikasi ponsel. Sementara itu, 28 dari 30 aplikasi menghubungi setidaknya satu perusahaan periklanan atau analitik, menurut Consumer Reports.

Pabrikan Merujuk Kontrak Vendor dan Kebijakan Privasi

Menanggapi temuan ini, GM menyatakan kepada Northeastern Global News bahwa pihaknya hanya mengungkapkan data kepada penyedia layanan yang secara kontraktual dilarang menjual atau menggunakannya untuk kepentingan sendiri.

Para peneliti mendekati 17 pabrikan dengan temuan mereka dan menerima respons dari 14 pabrikan. Semuanya menyatakan bahwa aliran data tersebut sesuai dengan kontrak vendor mereka. Tujuh pabrikan menyebut tanggung jawab akhir ada pada pemilik untuk membaca dan menyetujui ketentuan setiap layanan pihak ketiga di dalam mobil, termasuk perangkat lunak yang sudah terpasang. Lima lainnya mengaitkan pelacakan dengan halaman web yang dibuka di dalam aplikasi mereka.

Peneliti juga membaca kebijakan privasi dari tujuh aplikasi yang membagikan identitas. Setiap kebijakan mengungkapkan bahwa aplikasi tersebut dapat meneruskan data pribadi ke pihak ketiga, tanpa menyebutkan pihak mana dan untuk tujuan apa.

Pemilik yang menolak perjanjian berbagi data Tesla diperingatkan soal “berkurangnya fungsionalitas, kerusakan serius, atau interoperabilitas”. Rivian menyatakan bahwa mematikan pengumpulan data akan membatasi atau menonaktifkan fitur seperti navigasi dan pembaruan over-the-air.

Honda tampaknya menjadi satu-satunya yang bersedia melakukan perubahan. Perusahaan meminta Amplitude menghapus data lokasi dan memperbarui HondaLink agar berhenti mengirimkannya. Hal ini dikonfirmasi oleh juru bicara Honda kepada Northeastern Global News.

Profesor Northeastern sekaligus salah satu penulis studi, David Choffnes, mengatakan kepada media tersebut bahwa regulator sudah seharusnya turun tangan menangani persoalan ini.

Studi ini memperlihatkan bahwa data kendaraan terhubung bergerak melalui jalur yang jauh lebih rumit dari yang terlihat di layar infotainment. Bagi pengguna, memahami ketentuan aplikasi bawaan mobil menjadi langkah awal yang bisa dilakukan, seiring masih terbukanya pertanyaan soal siapa yang bertanggung jawab atas perlindungan datanya.