Bilen: den siste lov­løse data­maskinen

Det er på høy tid at både produsenter og myndigheter våkner.

De fleste av oss tenker ikke over at moderne biler er fullt ut digitale plattformer. De har kameraer, mikrofoner, sensorer, GPS, eSIM, Wi-Fi og integrasjon mot våre personlige enheter. 

Likevel er bilene ikke underlagt de samme sikkerhets- og personvernkravene som en vanlig datamaskin, nettbrett eller mobiltelefon.

Vi eier en Skoda Enyaq iV80X fra 2021 – en bil som på papiret skal kunne håndtere flere brukere med egne profiler og preferanser. 

I praksis viser det seg at systemet fungerer som én felles maskin med kosmetiske forskjeller mellom profilene. 

Min kone og jeg har hver vår profil og hver vår iPhone koblet til via Apple CarPlay. Likevel overstyrer hennes telefon min tilkobling – selv når jeg er innlogget på min egen profil, via kabel, og registrert som primærbruker.

Dette kan høres trivielt ut, men det er i realiteten et alvorlig sikkerhets­problem. I enhver datamaskin ville det vært utenkelig at en annen bruker automatisk kunne koble til eksterne enheter uten tillatelse. 

I bilen skjer det – helt uten varsel.

Et strukturelt personvernbrudd

Når bilens systemer ikke skiller mellom brukere, betyr det i praksis at en annen fører – bevisst eller ubevisst – kan få tilgang til informasjon som burde vært privat: kontaktlister, samtalehistorikk, posisjonsdata, tilkoblede kontoer og preferanser.

Dette er ikke bare et irritasjonsmoment. Det er et brudd på grunnleggende prinsipper for databehandling og personvern.

I alle andre digitale plattformer er det et krav at brukertilgang skal styres, logges og kunne begrenses. I bilindustrien er dette fortsatt et slags rettslig vakuum.

Bilene husker mer enn vi tror

Ifølge nettstedet The Record (2023) beholder «de fleste biler fortsatt data fra tidligere eiere, fordi systemene ikke slettes eller isoleres mellom brukere». 

En rapport fra Linux Foundation (2018) advarte mot at infotainmentsystemer kan utnyttes via USB-porter, Bluetooth og CAN-bus-kommunikasjon. Og selv om bilprodusentene gjerne hevder at «ingen sensitiv informasjon lagres» (slik Cars.com rapporterte om Apple CarPlay og Android Auto), viser nyere analyser at mange biler faktisk lagrer kontaktlister, anropshistorikk og GPS-data – ofte i klartekst.

Kort sagt: Bilene våre husker langt mer enn vi tror, og som eier har du ingen mulighet til å se, redigere eller slette disse dataene selv. 

I praksis må du stole på at produsenten eller importøren håndterer dette riktig – uten at du kan kontrollere det.

Hvor er de digitale skottene?

Android Automotive OS – brukt i nyere modeller fra Volvo, Polestar og Renault – har faktisk innebygget støtte for låste profiler med PIN-beskyttelse og individuell datatilgang. Men funksjonen er valgfri, og mange produsenter har valgt å ikke aktivere den.

Volkswagen-konsernets system, som brukes i Skoda Enyaq, har derimot ingen slik isolasjon. Profilene styrer sete- og speilposisjoner, ikke datastrømmer. 

Resultatet er at to brukere i praksis deler samme digitale arbeidsflate – og at den som sist kobler til, får førsterett på både systemet og dataene.

Det er vanskelig å forstå hvordan dette kan være forenlig med europeiske personvernprinsipper.

Når et kjøretøy har permanent nettforbindelse, brukerprofiler og lagrer identifiserbare data, burde det automatisk omfattes av krav til tilgangsstyring, logging og transparens – akkurat som en PC på kontoret.

Krav om innsyn og kontroll

Som bileier burde jeg ha full rett til å:

1. Se hva som er lagret på bilens interne lagring – via et åpent filsystem eller et innebygd «personvernpanel».

2. Bestemme hvilke enheter og kontoer som får koble seg til under hver brukerprofil.

3. Slette egne data lokalt, uten å måtte sende alt via produsentens servere.

Dette burde være like selvsagt som å kunne sjekke harddisken på en datamaskin.

Men i dagens bilsystemer er alt lukket, skjult og proprietært. Vi vet ikke hva som lagres, hvor lenge, eller hvem som har tilgang. Og det finnes ingen uavhengig instans som kan etterprøve det.

Et hull i lovverket

Forbrukerrådet og Datatilsynet har tidligere rettet søkelys mot bilindustriens innsamling av kjøredata og overvåkingsfunksjoner. Men problemstillingen internt i bilen – altså at flere brukere deler én digital flate uten tilgangsbegrensning – har i liten grad blitt belyst.

Det finnes heller ingen klar lovpålagt plikt for produsentene til å gi brukerne innsyn i hva som faktisk lagres i bilen. 

Dermed faller disse systemene mellom to stoler: De er for avanserte til å regnes som en ren «mekanisk enhet», men for dårlig regulert til å omfattes av den samme datasikkerheten som kreves av annen forbrukerteknologi.

Som eier vil jeg ha kontrollen

Som eier av bilen ønsker jeg full kontroll over hvilke data jeg faktisk deler med produsenten. Jeg kan forstå at tekniske forhold – som feil- og serviceinformasjon – bør deles for å sikre drift og garanti. 

Men at data fra en telefon eller annen digital enhet skal være tilgjengelig utenfor et lukket system i bilen som jeg selv administrerer, er uforståelig – og etter mitt syn i strid med grunnleggende personvern.

Hvis bilen min fungerer som en datamaskin, må jeg også ha administratorrettighetene. Jeg skal kunne velge hvilke data som forlater bilen – og hvilke som ikke gjør det.

Tid for krav og regulering

Når bilen er blitt en rullende datamaskin, må den også behandles som en datamaskin – med de rettighetene og forpliktelsene det medfører.

Myndighetene bør stille tydelige krav til at:

• hver brukerprofil i bilen har individuell tilgangskontroll,
• bilprodusentene må dokumentere og opplyse hvilke data som lagres og deles,
• og bileiere skal ha rett til lokalt innsyn og sletting av egne data.

Dette handler ikke bare om komfort, men om digitalt eierskap, personvern og tillit. Vi lever i en tid der biler oppdateres over nettet, hvor softwarefeil kan stanse en bil på motorveien, og hvor data sendes til ukjente servere i utlandet. 

Da bør vi som forbrukere kunne vite – og velge – hva bilen vår faktisk vet om oss.

En siste tanke

At min kones telefon kan overstyre min brukerprofil, er kanskje en bagatell. Men det peker mot et større og mer alvorlig spørsmål: Hvem eier egentlig dataene i bilen din – du, eller produsenten?

Inntil vi får klare lover, uavhengig kontroll og reell åpenhet, er bilen – ironisk nok – den siste lovløse datamaskinen.