Inchiesta · effedc.it · 5 puntate
L’Auto che Ti Conosce
Puntata 2 — Il catalogo dei segreti: quali dati raccoglie esattamente la tua auto, marchio per marchio, e i due data breach più gravi della storia automobilistica recente.
effedc.itLuglio 2026Dati aggiornati al 6 luglio 2026InchiestaPuntata 2 / 5
01 — La macchina di sorveglianza02 — Il catalogo dei segreti03 — Il mercato nero dei dati04 — Geopolitica su quattro ruote05 — Come difendersi
In questa puntata
- La tassonomia dei dati
- Marchio per marchio: chi fa cosa
- Il caso Volkswagen: 800.000 auto “nude” online
- Il caso Toyota: dieci anni di dati esposti
- Il consenso: una finzione giuridica
- Quanto a lungo conservano i tuoi dati
- Fonti di questa puntata
In sintesi
Questa puntata scende nel dettaglio marchio per marchio, mostrando come l’analisi sistematica di Mozilla si traduca in pratica, e racconta i due data breach automobilistici più gravi mai documentati in Europa e Giappone.
- I dati raccolti si dividono in categorie che vanno dalla geolocalizzazione (100% dei marchi analizzati) fino a informazioni genetiche e sessuali (dichiarate come potenzialmente raccolte da oltre un terzo dei marchi).
- Tra dicembre 2024 e gennaio 2025, i dati di localizzazione di 800.000 veicoli elettrici del gruppo Volkswagen (VW, Audi, SEAT, Škoda) sono rimasti accessibili online senza protezione adeguata.
- Toyota ha lasciato i dati di geolocalizzazione di 2,15 milioni di clienti giapponesi accessibili pubblicamente per quasi dieci anni.
- Un problema trasversale a tutti i marchi: chi entra in un’auto connessa, anche solo come passeggero, viene spesso considerato un “utente” che ha implicitamente acconsentito alla raccolta dati — una struttura di consenso che confligge con i principi del GDPR.
01 / La tassonomia dei dati
I dati raccolti dai veicoli connessi si suddividono in categorie ricorrenti. Non tutti i costruttori raccolgono tutto, ma la tendenza documentata da Mozilla nel 2023 — e non smentita da analisi successive — è all’espansione sistematica di ogni categoria.
| Categoria | Frequenza (su 25 marchi, Mozilla 2023) |
|---|---|
| Geolocalizzazione e percorsi | 100% |
| Comportamento di guida (velocità, frenate, accelerazione) | 100% |
| Preferenze musicali e di intrattenimento | 96% |
| Dati smartphone sincronizzati (contatti, messaggi, chiamate) | 84% |
| Informazioni biometriche (volto, occhi, voce) | 68% |
| Stato di salute / condizioni mediche (inferite) | 56% |
| Dati genetici e informazioni sessuali (dichiarati come potenzialmente raccolti) | 36% |
Le ultime due categorie meritano una lettura attenta: come vedremo più sotto per il caso Kia, “dichiarato come potenzialmente raccolto in privacy policy” non equivale sempre a “effettivamente raccolto nella pratica” — ma la distinzione, quando esiste, dovrebbe essere onere del costruttore dimostrarla con chiarezza, non dell’utente presumerla.
02 / Marchio per marchio: chi fa cosa
L’analisi di Mozilla del settembre 2023 — la più completa e sistematica mai condotta sul settore — ha esaminato le privacy policy di 25 costruttori. Nessun marchio ha evitato la bollatura negativa. Una selezione dei risultati più rilevanti:
| Marchio | Valutazione | Elementi principali |
|---|---|---|
| Nissan | Critico | Tra le privacy policy più ampie del settore per categorie di dati dichiarate; condivisione con data broker |
| GM / Chevrolet | Critico | Al centro delle azioni legali concluse nel 2026 (Puntata 3): dati venduti a LexisNexis e Verisk fino al 2024 |
| Tesla | Critico | Telecamere interne ed esterne h24 in modalità Sentry; video condivisi con le forze dell’ordine in casi documentati (Puntata 3) |
| Subaru | Alto | Chiunque sia in auto considerato utente consenziente; partecipa al Telematics Exchange LexisNexis |
| Kia | Alto | Privacy policy include categorie ampie (vedi nota sotto); condivisione con data broker confermata da Mozilla |
| Ford | Alto | Verisk Analytics conferma accesso ai dati; FordPass raccoglie posizione anche fuori dall’auto |
| Toyota | Alto — data leak 2023 | Vedi sezione dedicata sotto |
| BMW | Medio | Opt-out granulare dichiarato; adesione volontaria a richieste GDPR anche fuori UE |
| Honda / Hyundai | Alto | Condivisione dati con Verisk Analytics confermata |
| Volkswagen / Audi | Alto — esposto nel 2025 | Vedi sezione dedicata sotto |
Il caso Kia: una precisazione che vale per l’intero settore Come già anticipato in Puntata 1, un portavoce Kia ha dichiarato alla BBC (maggio 2026) che l’azienda non ha mai raccolto dati su vita sessuale o condizioni sanitarie dei conducenti, nonostante queste categorie compaiano nella sua privacy policy — inserite, secondo l’azienda, solo per allinearsi alla definizione californiana di “dati sensibili”. È un esempio istruttivo della zona grigia dell’intero settore: le privacy policy sono scritte in modo estremamente ampio per coprirsi legalmente da ogni possibilità futura, rendendo difficile per l’utente — e per chi fa giornalismo investigativo — distinguere il rischio teorico dalla pratica effettiva. Entrambi restano comunque un problema: policy così ampie normalizzano l’idea che quei dati *potrebbero* essere raccolti legittimamente.
03 / Il caso Volkswagen: 800.000 auto “nude” online
Tra dicembre 2024 e gennaio 2025 è emerso uno degli episodi più gravi nella storia della privacy automobilistica europea. Cariad, la divisione software del gruppo Volkswagen, aveva lasciato i dati di localizzazione e stato di 800.000 veicoli elettrici — inclusi VW, Audi, SEAT e Škoda — accessibili senza adeguata protezione su un sistema cloud Amazon. I dati includevano posizione precisa, stato della batteria e orari di accensione/spegnimento del motore, facilmente incrociabili con le identità dei proprietari.
⚠ Chi ha scoperto la falla Il Chaos Computer Club tedesco, che ha individuato la vulnerabilità, ha documentato come fosse possibile tracciare i movimenti di politici tedeschi, forze di polizia e personale militare. Il Parlamento Europeo ha formalmente sollevato la questione nel 2025.
04 / Il caso Toyota: dieci anni di dati esposti
Nel maggio 2023, Toyota ha rivelato che i dati di geolocalizzazione di circa 2,15 milioni di clienti giapponesi erano stati accessibili pubblicamente per quasi dieci anni (2013–2023) a causa di un errore nella configurazione di un sistema cloud. L’azienda ha poi scoperto problemi simili in altri mercati. Non risultano, al momento di questa pubblicazione, sanzioni pubbliche significative in Giappone legate a questo specifico incidente.
05 / Il consenso: una finzione giuridica
Un problema trasversale a tutti i marchi è la struttura del consenso. Per molte case automobilistiche, chi entra fisicamente in un veicolo connesso — anche solo come passeggero — viene considerato un “utente” che ha implicitamente acconsentito alla raccolta dati. Questo principio, documentato da Mozilla in particolare nel caso Subaru ma diffuso più ampiamente nel settore, si scontra con il concetto di consenso libero, specifico, informato e inequivocabile sancito dall’articolo 7 del GDPR.
Un’affermazione che circola, e che va precisata Si sente spesso dire: “Puoi sempre disattivare la raccolta dati dalla tua auto tramite le impostazioni del menu.” Nella maggior parte dei casi, le impostazioni accessibili all’utente controllano solo una piccola parte dei dati trasmessi. I moduli telematici (TCU), che inviano dati di diagnostica, posizione e stato del veicolo al costruttore, operano spesso in modo indipendente e non possono essere disattivati senza intervento tecnico specialistico — e in alcuni casi nemmeno così. Quanto dichiarato nelle privacy policy riguarda le categorie di dati, non i meccanismi tecnici con cui vengono raccolti.
06 / Quanto a lungo conservano i tuoi dati
| Categoria di dato | Periodo tipico | Nota |
|---|---|---|
| Geolocalizzazione (percorsi) | Da 6 mesi a indefinito | Alcuni costruttori dichiarano “fino alla cancellazione dell’account”, che sopravvive alla vendita dell’auto |
| Dati telematici (guida) | Da 12 mesi a più anni | Condivisi con data broker, che li conservano separatamente e spesso indefinitamente |
| Dati smartphone sincronizzati | Fino al ripristino manuale | Spesso restano nella memoria dell’infotainment dopo vendita o restituzione |
| Registrazioni vocali (assistente) | Da 3 mesi a 2 anni | Possono essere usate per addestrare modelli AI del produttore |
| Video (telecamere) | Da 24h a 60 giorni in loop locale | In caso di incidente o richiesta legale, potenzialmente indefinito |
| EDR (Event Data Recorder) | Pochi secondi pre-impatto | Accessibile alle autorità per incidenti gravi (Reg. UE 2019/2144) |
Il problema dell’auto usata La FTC americana ha pubblicato una guida specifica che ricorda agli utenti di cancellare tutti i dati personali prima di vendere o restituire un’auto, esattamente come si farebbe con un computer usato. Molti acquirenti di auto usate trovano ancora i dati del precedente proprietario — contatti, cronologia chiamate, destinazioni preferite — memorizzati nell’infotainment. Il settore non ha ancora standardizzato un processo di cancellazione sicura obbligatoria.
Nella prossima puntata: come i dati di guida arrivano, quasi sempre a insaputa del conducente, fino alle assicurazioni — con nomi, cifre e le due azioni legali concluse nel 2026 che hanno cambiato le regole del gioco.
07 / Fonti di questa puntata
01Mozilla Foundation — “Privacy Not Included: Cars” (analisi 25 marchi)mozillafoundation.org, set. 2023
02The Register — “Mozilla flunks 25 major car brands for data privacy fails”theregister.com, set. 2023
03CleanTechnica — dichiarazione Kia via BBC (Thomas Germain) sul caso “dati sessuali/sanitari”cleantechnica.com, 22 mag. 2026
04Punter Southall Law — “Driving Compliance: Car Tech & Data Protection in UK & EU” (caso VW/Cariad)puntersouthall.law, mag. 2025
05Reuters / Toyota Corporate Communications — data leak 2,15 milioni di clientimag. 2023
06FTC — guida “Wipe data before selling your car”ftc.gov/consumer
07Regolamento (UE) 2016/679 (GDPR), art. 7 — Condizioni per il consensoEUR-Lex L’Auto che Ti Conosce — Puntata 2 di 5 · effedc.it · Inchiesta giornalistica
Tutte le fonti citate sono pubblicamente verificabili ai link indicati. Articolo aggiornato al 6 luglio 2026.
← Puntata 1 · Puntata 3 — Il mercato nero dei dati →