Northeastern Üniversitesi araştırmacılarının incelediği 21 yeni otomobilin 19’unun üçüncü taraf şirketlerle veri alışverişi yaptığı, üretici uygulamalarının da kişisel bilgileri reklam ve analiz platformlarına aktarabildiği belirlendi. Ekim 2024 ile Ağustos 2025 arasında yürütülen araştırmada bazı uygulamaların şasi numarası, e-posta adresi ve kesin konum gibi tanımlayıcı bilgileri paylaştığı ortaya çıktı. Tesla’nın Model 3 aracı, doğrudan 22 reklam ve takip şirketiyle iletişim kurarken Tesla uygulaması bu listeye iki şirket daha ekledi.
Otomobil Üreticilerinin Uygulamaları Veri Paylaşımını Genişletiyor
Northeastern Üniversitesi ekibi, Consumer Reports’un test filosundaki 21 otomobilin ağ trafiğini ve 30 otomobil üreticisine ait mobil uygulamayı inceleyerek bağlantılı araçların veri alışverişini araştırdı. Araçların kablosuz ağ üzerinden gerçekleştirdiği iletişim ile telefon uygulamalarının bağlantıları ayrı ayrı değerlendirildi. Sonuçlar, otomobillerin kendi başına kurduğu bağlantıların yanı sıra mobil uygulamaların da kişisel veri aktarımında önemli bir rol üstlendiğini gösterdi.
İncelenen 30 uygulamanın 28’i en az bir reklam veya analiz şirketiyle iletişim kurdu. Yedi uygulamanın ise şasi numarası, e-posta adresi ve kesin konum gibi kullanıcıların kimliğini belirlemeye yardımcı olabilecek bilgileri üçüncü taraflara ilettiği saptandı. Araştırmacılar, otomobilin bağlantılı hizmetleriyle üretici uygulamalarını birlikte değerlendirdiğinde veri paylaşımının kapsamının genişlediğini belirtti.
Şasi numarası, otomobilin kimliğini belirleyen ve araçla ilgili çeşitli kayıtların eşleştirilmesine yardımcı olan bir tanımlayıcıdır. Konum bilgileriyle bir araya geldiğinde bu tür veriler, belirli bir araçla bağlantılı hareketlerin ve kullanım alışkanlıklarının analiz edilmesini kolaylaştırabilir. Reklam ve analiz şirketleri açısından bu bilgiler, kullanıcı davranışlarını ölçme veya farklı dijital hizmetlerden gelen kayıtları ilişkilendirme amacıyla kullanılabilir.
Araştırmada General Motors bünyesindeki myCadillac, myChevrolet, myBuick ve myGMC uygulamaları öne çıktı. Dört uygulamanın tamamı, Microsoft ve Adobe’nin de aralarında bulunduğu 10 şirkete araçların şasi numaralarını gönderdi. Araştırmada ayrıca Pinterest, Snap, Yahoo, Meta, Google ve veri aracısı Acxiom gibi şirketlerin adı geçti.
HondaLink uygulamasının şasi numarası ile konum bilgilerini analiz şirketi Amplitude’a ilettiği belirlendi. Lincoln ve MyNISSAN uygulamaları da tanımlayıcı verileri üçüncü taraf şirketlerle paylaşan uygulamalar arasında yer aldı. Bulgular, veri toplama faaliyetlerinin yalnızca sosyal medya veya internet tarayıcılarıyla sınırlı kalmadığını, otomobil üreticilerinin dijital hizmetlerine de uzanabildiğini gösterdi.
Araştırmanın otomobil bazındaki sonuçları, uygulamaların etkisini daha görünür hale getirdi. İncelenen 21 aracın 10’u doğrudan reklam veya takip alan adlarıyla iletişim kurmadı. Ancak ilgili üreticilerin telefon uygulamaları da hesaba katıldığında veri paylaşımına ilişkin tablo değişti.
Tesla Model 3, araştırmada otomobilin kendi bağlantıları açısından öne çıkan örnek oldu. Araç, 22 reklam ve takip şirketiyle iletişim kurarken Tesla’nın mobil uygulaması bu sayıya iki şirket daha ekledi. Cybertruck da araştırmada sürüş alışkanlıkları ve araç içi dijital etkinliklerle bağlantılı veri akışları bakımından incelenen modeller arasında yer aldı.
Araştırmacılar, şifrelenmiş bağlantılar nedeniyle veri trafiğinin tamamını çözümleyemedi. Ekip, Model 3 üzerinde yalnızca hücresel bağlantı üzerinden gerçekleşen bazı veri alışverişlerini yakalayabildi. Dolayısıyla tespit edilen şirket sayıları, araçların ve uygulamaların gerçekleştirdiği bütün veri aktarımını göstermeyebilir.
Bağlantılı otomobiller, navigasyon, uzaktan kontrol, yazılım güncellemeleri ve araç durumu takibi gibi hizmetler için üreticilerin sunucularıyla iletişim kuruyor. Ancak bir hizmetin çalışması için gereken veri aktarımıyla reklam hedefleme amacıyla yapılan paylaşım aynı şey değil. Araştırmanın temel önemi, kullanıcıların bu farklı veri akışlarını her zaman kolayca ayırt edemeyebileceğini ortaya koyması.
Araştırmacılar, bulgularını toplam 17 otomobil üreticisine iletti ve 14 şirketten yanıt aldı. Yanıt veren şirketler, tespit edilen veri akışlarının tedarikçilerle yaptıkları sözleşmelere uygun olduğunu savundu. Yedi üretici, araç sahiplerinin önceden yüklenmiş yazılımlar da dahil olmak üzere üçüncü taraf hizmetlerin koşullarını okuyup kabul etmesinden kullanıcıların sorumlu olduğunu belirtti. Beş şirket ise bazı takip faaliyetlerinin uygulamalar içinde açılan internet sayfalarından kaynaklandığını ifade etti.
Araştırmacılar, tanımlayıcı verileri üçüncü taraflara aktardığı belirlenen yedi uygulamanın gizlilik politikalarını da inceledi. Yedi uygulamanın tamamında kişisel verilerin üçüncü taraflarla paylaşılabileceğine ilişkin açıklamalar bulunuyordu. Ancak gizlilik politikasında veri paylaşımından söz edilmesi, kullanıcıların aktarılan verilerin kapsamını veya hangi şirketlerin bu bilgilere eriştiğini kolayca anlayabildiği anlamına gelmiyor.
Tesla, veri paylaşımı sözleşmesini kabul etmeyen kullanıcıları bazı işlevlerin kaybedilebileceği, ciddi hasar veya birlikte çalışabilirlik sorunları yaşanabileceği konusunda uyarıyor. Rivian ise veri toplamayı kapatmanın navigasyon ve kablosuz yazılım güncellemeleri gibi özellikleri sınırlandırabileceğini veya devre dışı bırakabileceğini belirtiyor. Bu koşullar, kullanıcıların gizlilik tercihleriyle bağlantılı otomobil hizmetlerine erişim arasında seçim yapmak zorunda kalabileceğini gösteriyor.
Araştırmanın ardından somut bir değişiklik yapmayı kabul eden şirket Honda oldu. Şirket, Amplitude’tan konum verilerinin silinmesini istedi ve HondaLink uygulamasını söz konusu bilgileri göndermeyi durduracak şekilde güncelledi. Bu adım, araştırma bulgularının yalnızca veri toplama uygulamalarını belgelemekle kalmayıp üretici politikalarında değişiklik yapılmasına da yol açabildiğini gösterdi.
Otomobil sahipleri açısından veri gizliliği, yalnızca uygulama izinlerini kontrol etmekle sınırlı kalmıyor. Üreticinin gizlilik politikası, bağlı hizmetlerin koşulları ve veri paylaşımını kapatmanın araç işlevleri üzerindeki etkisi de değerlendirilmesi gereken unsurlar arasında yer alıyor. Türkiye’de bağlantılı otomobil hizmetlerini kullanan kişiler için de araç uygulamalarının konum, sürüş ve kimlik bilgilerine hangi koşullarda eriştiğini incelemek önem taşıyor.
Araştırma, tüm otomobil üreticilerinin aynı miktarda veya aynı türde veri paylaştığını göstermiyor. Ancak bağlantılı araçların dijital hizmetlerle kurduğu iletişim arttıkça, üreticilerin veri minimizasyonu, açık bilgilendirme ve kullanıcı tercihlerini yönetme yöntemleri daha fazla önem kazanacak.
