Negen onderzoekers van Northeastern University reden met 21 recente auto's een kooi van Faraday binnen en registreerden alles wat elke auto met het internet probeerde te delen. De Tesla Model 3 communiceerde met meer advertentie- en trackingbedrijven dan elk ander getest voertuig. De Tesla-telefoonapp communiceerde met minder bedrijven dan vrijwel elke andere app. Beide bevindingen komen uit hetzelfde onderzoek.
Wat werd gemeten
"Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem" is peer-reviewed en wordt van 12 tot 16 oktober in Karlsruhe gepresenteerd tijdens de 2026 ACM Internet Measurement Conference. Het team werkte samen met Consumer Reports en testte de eigen auto's van CR tussen oktober 2024 en augustus 2025 in de vestiging in Connecticut. Wi-Fi-verkeer werd onderschept tijdens stilstand, gebruik van infotainment en op privéwegen; de 11 elektrische auto's werden vervolgens een tent ingereden die het mobiele signaal met ongeveer 93 dB dempte, waardoor verkeer dat normaal via de modem zou vertrekken, over de leesbare Wi-Fi-verbinding liep.
De rangschikking
| Voertuig | ATA-domeinen | Geïntegreerde derde partijen |
|---|---|---|
| Tesla Model 3 | 34 | 36 |
| Tesla Cybertruck | 23 | 37 |
| Cadillac Lyriq | 10 | 21 |
| Lucid Air | 9 | 15 |
| Chevrolet Blazer | 7 | 18 |
| Nissan Ariya | 0 | 1 |
| Mercedes EQS | 0 | 0 |
| Buick Envista | 0 | 0 |
ATA is de benaming in het onderzoek voor domeinen voor advertenties, tracking en analyse. Negentien van de 21 auto's namen contact op met minstens één derde partij, en 13 bereikten een advertentiedomein van Google — waaronder doubleclick.net en googlesyndication.com, die volgens de auteurs niet nodig zijn voor een kernfunctie van de auto.
Waarom de tabel geen eerlijke vergelijking is
De verklaring van het onderzoek is functionaliteit, geen wangedrag: auto's met geavanceerd infotainment — beide Tesla's, de Lucid Air, de Rivian R1S — en auto's die volledige Android Automotive met Google-diensten draaien, nemen contact op met de meeste partijen. De EQS, Range Rover en Envista hebben beperkt infotainment en bereikten elk één of twee domeinen.
De kanttekening bij de meting verdient evenveel aandacht. De tent bracht 27 extra ATA-domeinen voor de Model 3 en 14 extra voor de Cybertruck aan het licht die buiten de tent niet zichtbaar waren, en alleen de 11 EV's konden erin, waardoor het mobiele verkeer van de tien auto's met verbrandingsmotor en hybrides helemaal niet werd gezien. De Model 3 was bovendien de enige auto waarvan de mobiele verbinding rechtstreeks kon worden afgetapt, omdat hij een voor gebruikers toegankelijk SIM-slot heeft. Tesla's bieden een niet-standaardinstelling om Wi-Fi tijdens het rijden ingeschakeld te houden, die de onderzoekers activeerden "to maximize the data available to us"; de Land Rover, Mercedes en Nissan schakelden Wi-Fi uit zodra ze Park verlieten. De Tesla's staan deels bovenaan omdat meer van hun gedrag zichtbaar was.
De app vertelt het tegenovergestelde verhaal
Bij de 30 bijbehorende apps is het patroon omgekeerd. De Tesla-app bereikte negen ATA-domeinen; myCadillac bereikte er 51, en myBuick, My BMW en Toyota elk 47. Zeven apps stuurden persoonlijke gegevens — VIN's gekoppeld aan een e-mailadres of nauwkeurige locatie — naar trackingbedrijven: de vier van GM, HondaLink, MyNissan en Lincoln. Die van Tesla hoorde daar niet bij. Na inzage in de resultaten gaf Honda analyseleverancier Amplitude opdracht de ontvangen locatiegegevens te verwijderen.
Wat een Europese eigenaar hieruit moet meenemen
Vrijwel al dit verkeer bleef in de Verenigde Staten; slechts 13 bestemmingsadressen bevonden zich erbuiten, waaronder één Microsoft-server in Ierland die door de Cybertruck werd bereikt. Dit waren auto's voor de Amerikaanse markt op Amerikaanse netwerken, dus de aantallen geven niet rechtstreeks weer wat een Europese auto onder GDPR verstuurt.
De moeilijkere bevinding geldt toch overal. Van de 18 gecontacteerde fabrikanten antwoordden er 14, en de meeste verwezen naar hun contracten met derden of naar de eigen toestemming van de eigenaar. De opt-outtekst van Tesla wordt in het onderzoek geciteerd: wijs de overeenkomst voor het delen van gegevens af en u krijgt de waarschuwing dat de auto mogelijk "reduced functionality, serious damage, or inoperability" ondervindt. Het oordeel van de auteurs is dat dit geen echte keuze is — en dat de resultaten van Mercedes en Buick aantonen dat het verkeer een ontwerpbeslissing is, geen gegeven van moderne auto's.