Coches conectados: 19 marcas envían tus datos a terceros

Qué encontró el estudio de Northeastern y Consumer Reports

Un equipo de la Universidad Northeastern, en colaboración con Consumer Reports, probó 21 vehículos de 19 marcas y 30 aplicaciones complementarias para responder una pregunta incómoda: ¿a dónde va realmente la información que genera un auto conectado? La respuesta es que casi ningún fabricante se queda con ella. 19 de los 21 vehículos enviaron datos a al menos un tercero y más de la mitad contactó con dominios especializados en publicidad, seguimiento o analítica.

El trabajo se titula "Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem", es revisado por pares y se presenta en la ACM Internet Measurement Conference 2026 en Karlsruhe, Alemania. Para aislar el tráfico, los investigadores montaron una carpa de Faraday —una estructura que bloquea señales inalámbricas— en el centro de pruebas de Consumer Reports en Connecticut y registraron cada conexión saliente de los autos, tanto estacionados como en circulación.

David Choffnes, profesor de ciberseguridad de Northeastern y responsable del proyecto, contó que la investigación arrancó después de que un reportaje del New York Times revelara que General Motors recolectaba datos de sus vehículos y los vendía a aseguradoras. La diferencia es la escala: aquí no se auditó una marca, sino el ecosistema completo, con modelos de años 2022 a 2025.

¿Qué datos exactamente salen de tu coche?

La lista es más larga de lo que la mayoría supone. Según el estudio, los vehículos transmiten GPS preciso de cada trayecto, patrones de frenado y aceleración, uso del cinturón, uso del sistema de infoentretenimiento, biometría de los sensores de asiento y hasta imágenes de la cámara interior de la cabina.

Entre los receptores aparecen nombres que cualquier founder reconoce: Amazon, Google, Meta, Microsoft, Pinterest, Snap y Yahoo, además de firmas de analítica y marketing como Adobe Analytics, ContentSquare y el bróker de datos Axiom. Muchas de estas compañías cumplen un doble rol: proveen el software que corre dentro del auto —como Android Automotive— y a la vez operan las subastas publicitarias con las que se segmenta a los usuarios.

No todos los modelos se comportan igual. Los que contactaron al mayor número de empresas externas fueron el Cadillac Lyriq, el Chevrolet Blazer, el Lucid Air y los Tesla Model 3 y Cybertruck. El Model 3, por ejemplo, contactó con 34 de esos dominios. En el otro extremo, el Nissan Ariya, el Range Rover, el Mercedes EQS y el Buick Envista no generaron tráfico publicitario ni de rastreo. Esa diferencia es la conclusión más útil del estudio: rastrear no es una consecuencia inevitable de la conectividad, es una decisión de diseño.

Las apps son el eslabón más débil

Si los autos filtran, las aplicaciones son peores. 28 de las 30 apps analizadas enviaron datos a al menos una empresa externa de publicidad o analítica, y siete transmitieron información que identifica directamente al dueño: nombre, número de identificación del vehículo (VIN) o ubicación precisa.

Las apps de General Motors (myCadillac, myChevrolet, myBuick y myGMC), junto con HondaLink, MyNissan y Lincoln, compartieron VIN combinado con correo electrónico o ubicación. Las de BMW, las marcas de GM y Toyota fueron las que se comunicaron con más terceros.

¿Por qué importa tanto un VIN? Porque funciona como llave. Combinado con un correo o un nombre, permite que una gran plataforma publicitaria empalme un auto y su conductor con los perfiles de consumo que ya venden los data brokers. Esos perfiles circulan hacia bancos, aseguradoras, farmacéuticas y prestamistas, que los usan para ajustar condiciones de préstamos, seguros y ofertas. El estudio también detectó que emparejar la app con el vehículo duplica, en promedio, la cantidad de empresas de publicidad y rastreo que reciben datos.

El caso GM: qué pasa cuando la multa llega

El terreno regulatorio ya está cargado. A comienzos de 2026, la Comisión Federal de Comercio (FTC) de Estados Unidos cerró una orden contra GM y su filial OnStar que les prohíbe divulgar datos de comportamiento y ubicación a agencias de informes de consumo sin consentimiento durante cinco años.

En mayo, California anunció una multa civil récord de US$12,75 millones contra GM bajo su ley de privacidad (CCPA), por haber vendido datos de conducción de cientos de miles de californianos a los brókers LexisNexis Risk Solutions y Verisk Analytics sin que lo supieran. Los documentos judiciales sitúan los ingresos de GM por esas ventas en torno a US$20 millones. California también alcanzó acuerdos de privacidad con Honda y Ford, y Texas demandó a GM por el manejo de datos de conductores.

La reacción de los fabricantes ante el estudio fue reveladora: según los investigadores, todas las automotrices salvo Honda trasladaron la responsabilidad al consumidor. Honda, en cambio, ordenó a su proveedor de analítica Amplitude borrar los datos de ubicación que había recibido y actualizó su app para dejar de enviarlos. Que una corrección así de simple se hiciera en días plantea la pregunta obvia: ¿cuánto tiempo fluyó esa información antes de que alguien lo mirara?

¿Qué significa esto para tu startup?

Si construyes un producto conectado —un SaaS, una app, un dispositivo con telemetría— este estudio es un manual de lo que no hay que hacer. La lección no es "no recolectes datos", sino que la opacidad tiene costo regulatorio y reputacional, y que la transparencia puede ser un argumento comercial.

• Audita tu tráfico saliente. Revisa qué SDKs de analítica, publicidad o atribución incluye tu producto y qué datos envían por defecto. Muchos founders descubren que un SDK instalado para medir retención está transmitiendo identificadores estables que no necesitaban salir.
• Pasa de opt-out a opt-in. El estudio señala que las funciones más populares dejan de funcionar si el usuario rechaza el intercambio de datos, y que en algunos casos el auto ni siquiera se puede conducir. Si tu producto solo funciona cuando el usuario acepta todo, no tienes consentimiento: tienes una condición de uso.
• Nombra a los terceros en tu política de privacidad. Las automotrices declaran que "pueden compartir información con terceros", pero no dicen con quién ni para qué. Ese vacío es exactamente lo que los reguladores están castigando.
• Convierte la minimización de datos en diferencial. Los modelos que no generaron tráfico publicitario demuestran que se puede. Si tu arquitectura procesa en el dispositivo o no registra lo que no necesita, dilo en tu propuesta de valor: en mercados como España, con el GDPR encima, y en LATAM, donde la regulación avanza, eso vende.

Conclusión

El auto dejó de ser un objeto y pasó a ser una plataforma con ruedas, y con eso llegó la economía publicitaria completa: identificadores, perfiles y subastas. El estudio de Northeastern y Consumer Reports no descubre que los datos se comparten —eso ya lo advertía Mozilla en 2023, cuando concluyó que los autos eran la peor categoría de producto en privacidad que había revisado—, sino que documenta el mapa de destinos y demuestra que las diferencias entre marcas responden a decisiones, no a límites técnicos.

Para un founder, la lectura es directa: si tu producto recolecta datos, alguien va a preguntar a dónde van. Preparar esa respuesta antes de que llegue la pregunta es más barato que hacerlo después de la multa.

Fuentes

• Your car is selling your every move (fuente original)
• Your car is collecting more data about you than you think
• Study of Data Privacy in the Connected Cars Shows OEM Apps Sharing Data
• Los coches modernos saben dónde conduces, cómo frenas y cómo aceleras
• Un estudio detectó que casi todas las apps para autos envían datos privados a Google, Meta y Microsoft