Introdução: o espião sobre o qual está sentado
Dedicamos muita energia, neste site, a disciplinar os nossos telemóveis: permissões, identificadores publicitários, mensagens cifradas, sistemas alternativos. Entretanto, a maioria de nós entra todas as manhãs num objeto que produz mais dados pessoais do que um smartphone, que quase nunca pede um consentimento claro e cujas definições ninguém se lembra de consultar: o seu carro.
Uma berlina vendida em 2026 traz entre sessenta e cem sensores, um cartão SIM integrado, um GPS, um ou vários microfones e, muitas vezes, uma câmara interior de apoio à condução. Sabe onde dorme, a que horas sai, se trava bruscamente, quantas pessoas seguem a bordo e — assim que ligou o telemóvel uma única vez — como se chamam os seus contactos.
Em setembro de 2023, a Mozilla Foundation publicava um estudo que se tornou uma referência, «Privacy Not Included», depois de ter analisado vinte e cinco marcas automóveis. Conclusão: os automóveis constituem a pior categoria de produtos alguma vez avaliada pelos seus investigadores em matéria de privacidade. Nenhuma das vinte e cinco marcas cumpria os critérios mínimos de segurança e de controlo dos dados.
Este guia dirige-se a quem quer que conduza — carro pessoal, veículo de serviço, aluguer de férias, partilha de automóveis — e queira que as suas deslocações não se transformem num arquivo consultável por terceiros.
O que o seu veículo regista realmente
Os dados técnicos: o EDR e o diário de bordo
Todo o veículo novo vendido na União Europeia desde julho de 2024 tem de estar equipado com um registador de dados de eventos (EDR), imposto pelo regulamento europeu 2019/2144 relativo à segurança geral dos veículos. Este dispositivo conserva, em ciclo contínuo, os poucos segundos que antecedem um embate: velocidade, aceleração, posição do pedal do travão, uso do cinto, acionamento dos airbags.
O regulamento precisa que estes dados devem ser anónimos e não permitir a identificação do condutor. Na prática, são lidos através da porta de diagnóstico do veículo — e um veículo identificado pelo seu número VIN é um proprietário identificado no registo de matrículas.
Ao lado do EDR, a centralina regista permanentemente uma massa de informações muito menos enquadradas:
| Dado recolhido | Para que serve oficialmente | O que revela |
|---|---|---|
| Posição GPS com data e hora | Navegação, chamada de emergência | Domicílio, local de trabalho, hábitos |
| Quilometragem e ciclos do motor | Manutenção preditiva | Frequência e amplitude das deslocações |
| Detetores de presença nos bancos | Airbags, alerta de cinto | Número de passageiros, regularidade |
| Lista de contactos e registo de chamadas | Kit mãos-livres | Círculo social completo |
| Histórico de destinos | Conforto do utilizador | Médico, advogado, local de culto, casa de um familiar |
| Estilo de condução | Segurança, garantia | Perfil de risco comercializável |
O eCall: um serviço útil, um SIM permanente
Desde 2018, todo o veículo novo homologado na Europa integra o sistema eCall, que liga automaticamente para o 112 em caso de acidente grave e transmite a posição. O dispositivo foi concebido com salvaguardas: o regulamento 2015/758 impõe que os dados sejam conservados numa memória tampão e continuamente sobrescritos, e proíbe o seguimento permanente por esse canal.
O problema não é o eCall em si. É que o seu cartão SIM coabita com os serviços conectados proprietários do construtor, que, esses sim, não estão sujeitos a qualquer obrigação de anonimização. Aplicação móvel, atualização remota, abertura das portas pelo telemóvel, assistência: outros tantos canais pelos quais dados de localização sobem continuamente para um servidor, geralmente alojado fora do veículo e por vezes fora da Europa.
Quem recebe estes dados
O construtor, primeiro destinatário
Os termos e condições de utilização dos serviços conectados, aceites com um toque no momento da entrega, autorizam quase sempre a transmissão dos dados ao construtor, às suas filiais e a «parceiros». A CNIL, no seu pacote de conformidade «Veículos conectados e dados pessoais» publicado em 2017 e depois completado pelas linhas diretrizes do Comité Europeu para a Proteção de Dados (CEPD) em 2021, recorda um princípio simples: a localização de um veículo é um dado pessoal a partir do momento em que possa ser associada a uma pessoa, e exige uma base legal clara.
O CEPD recomenda aliás explicitamente um tratamento local, dentro do veículo, sempre que tal seja tecnicamente possível. A realidade comercial vai no sentido inverso: o dado automóvel tornou-se um ativo e vários construtores criaram filiais dedicadas à sua valorização.
A seguradora e a caixa telemática
As ofertas «pay how you drive» propõem uma redução do prémio em troca de uma caixa ou de uma aplicação que avalia a sua condução. A CNIL enquadrou estes dispositivos já em 2010 através de uma norma específica, hoje substituída por um regime de avaliação de impacto. Três pontos merecem reflexão antes de assinar:
- A recusa do dispositivo não deve ser sancionada por uma tarifação punitiva disfarçada.
- A geolocalização detalhada não é necessária para avaliar um estilo de condução: as acelerações e travagens bastam.
- Um histórico de trajetos constitui uma prova temível em caso de litígio — inclusive contra si, inclusive num processo que nada tenha a ver com o automóvel.
Os terceiros: oficinas, empresas de aluguer, revendedores
Basta uma ida à oficina para que um técnico leia a memória da centralina. Bastam três dias de aluguer para que a sua lista telefónica fique no sistema de infoentretenimento do veículo seguinte. Uma revenda em segunda mão, se não apagou nada, transmite ao comprador a sua morada pessoal registada como destino «Casa».
O espaço público: a leitura automatizada de matrículas
Por fim, o seu carro é identificável do exterior, sem qualquer eletrónica a bordo. Os dispositivos de leitura automatizada de matrículas (LAPI) equipam as portagens de fluxo livre, alguns parques de estacionamento, os controlos de zonas de emissões reduzidas e diversos dispositivos policiais enquadrados pelo código de segurança interna. A La Quadrature du Net documenta regularmente a expansão destes usos. Uma matrícula não é um dado que se cifre: é um identificador permanente, exibido em grande, à frente e atrás.
Os gestos que mudam alguma coisa
1. Fazer o inventário do seu próprio veículo
Antes de configurar o que quer que seja, saiba o que conduz. Nos menus do ecrã central, procure as rubricas «Serviços conectados», «Privacidade», «Partilha de dados». Consoante as marcas, encontra-se aí um interruptor global de desativação da partilha, por vezes um modo «dados mínimos» que mantém o eCall e desliga o resto.
Anote o que encontrar em papel, e não numa nota do telemóvel — um simples caderno de notas de capa dura serve muito bem para manter a lista das contas, definições e identificadores associados ao veículo, a guardar com os documentos do carro e não no porta-luvas.
2. Nunca sincronizar a lista de contactos
É o gesto mais rentável de todos. Quando liga um telemóvel por Bluetooth, o veículo propõe sistematicamente importar contactos, mensagens e registo de chamadas. Recuse. O kit mãos-livres funciona perfeitamente sem isso: pode fazer e receber chamadas, apenas desaparece a apresentação dos nomes.
Se faz questão do emparelhamento completo, faça-o no seu carro, nunca num veículo partilhado, de aluguer ou da empresa. Para a música, uma simples pen USB com os seus ficheiros, ou um adaptador Bluetooth áudio autónomo ligado à entrada auxiliar, evita qualquer ligação entre o telemóvel e o computador de bordo.
3. Limpar o sistema antes de devolver ou vender
A ADEME e as associações de consumidores recordam regularmente este ponto demasiado negligenciado: um veículo usado vende-se com a sua memória. Antes de entregar as chaves:
- Elimine os aparelhos emparelhados (menu Bluetooth → «Dispositivos conhecidos» → eliminar).
- Apague o histórico de destinos e os pontos de interesse guardados, em particular «Casa» e «Trabalho».
- Esvazie as contas ligadas: sessões de streaming, contas de carregamento elétrico, perfis de condutor.
- Execute a reposição de fábrica do sistema de infoentretenimento, muitas vezes escondida em «Definições → Sistema → Repor».
- A partir da aplicação móvel do construtor, dissocie a sua conta do número VIN do veículo. É a etapa mais esquecida, e a que deixa durante mais tempo um acesso remoto ao antigo proprietário… ou lhe permite ver a vida do novo.
Ao contrário, quando compra em segunda mão, execute a mesma lista: nada garante que o vendedor o tenha feito, e pode herdar uma conta de terceiros capaz de geolocalizar o seu carro.
4. Retomar o controlo da navegação
O GPS integrado no veículo alimenta o construtor. Uma navegação utilizada a partir de um suporte de telemóvel para automóvel, com uma aplicação de cartografia que funcione offline, não transmite nada a ninguém: o mapa é descarregado, o cálculo do itinerário faz-se localmente, nenhum pedido segue para um servidor. Organic Maps e OsmAnd, ambos baseados no OpenStreetMap, são as opções mais documentadas do lado do software livre.
Se, apesar de tudo, usar a navegação integrada, habitue-se a nunca registar a sua morada exata como destino «Casa». Introduza um ponto a quinhentos metros — uma rotunda, um parque público. O caminho final já o conhece.
5. Tratar a questão da caixa telemática e das dashcams
As câmaras a bordo colocam uma questão simétrica. Uma dashcam filma o espaço público e, potencialmente, rostos e matrículas. A CNIL é clara: um uso estritamente privado é lícito, mas a difusão das imagens nas redes sociais não o é sem desfocagem, e a gravação do habitáculo com passageiros pressupõe a informação destes. Escolha um modelo em ciclo curto, sem ligação obrigatória à nuvem e sem conta online: uma dashcam com gravação local em cartão microSD continua a ser preferível a um modelo que carrega automaticamente os seus trajetos.
Quanto às caixas das seguradoras, releia o contrato de olho na finalidade declarada. Se a caixa transmite uma geolocalização permanente quando a finalidade anunciada é a avaliação da condução, tem fundamento para exigir a minimização, com o artigo 5.º do RGPD em apoio.
Exercer os seus direitos: a carta que faz mexer as linhas
O RGPD aplica-se integralmente aos dados do veículo. Três direitos são particularmente eficazes aqui:
O direito de acesso (artigo 15.º) permite-lhe obter a cópia de todos os dados associados ao seu VIN e à sua conta de construtor: históricos de posição, eventos técnicos, destinatários. As respostas são muitas vezes instrutivas — e por vezes embaraçosas para quem as envia.
O direito de oposição (artigo 21.º) permite-lhe recusar um tratamento fundado no interesse legítimo, o que cobre boa parte da valorização comercial dos dados de condução.
O direito ao apagamento (artigo 17.º) exerce-se sobretudo aquando da revenda do veículo, para expurgar dos servidores do construtor os trajetos associados ao seu período de posse.
Dirija o seu pedido ao encarregado da proteção de dados (DPO) do construtor ou da empresa de aluguer — o seu contacto figura obrigatoriamente na política de privacidade. O responsável pelo tratamento dispõe de um mês para responder. Passado esse prazo, ou em caso de resposta evasiva, a queixa online junto da CNIL demora uns dez minutos e desencadeia um tratamento real.
Guarde registo das suas trocas: uma carta registada eletrónica, ou na falta dela um envio em papel com aviso de receção, vale infinitamente mais do que um formulário web sem cópia. Para os pedidos sensíveis, é por vezes mais simples indicar um canal de contacto que não seja a sua linha principal — um número secundário ou o envio de um SMS anónimo basta para abrir o diálogo sem entregar logo à partida o seu identificador telefónico mais duradouro.
Três situações concretas
O aluguer de férias
Levanta um veículo no aeroporto, liga o telemóvel, introduz a morada do alojamento. Duas semanas depois, tudo isso ainda lá está. Reflexo: não emparelhe, use um carregador de isqueiro com cabo e a sua própria navegação offline e, na devolução, faça a reposição de fábrica do sistema multimédia — leva dois minutos no parque de estacionamento.
O veículo de serviço
Um empregador pode geolocalizar um veículo profissional, mas a CNIL enquadra estritamente esse uso: informação prévia aos trabalhadores, consulta da comissão de trabalhadores, proibição do seguimento fora do tempo de trabalho e proibição absoluta de geolocalizar um representante dos trabalhadores no exercício do seu mandato. O trabalhador deve poder desativar o dispositivo durante as suas deslocações pessoais. Se assim não for, o dispositivo é irregular.
O carro usado revendido a um desconhecido
O pior cenário não é comercial, é pessoal: uma separação conflituosa, um ex-cônjuge que continua associado à conta do construtor e uma aplicação que mostra em tempo real a posição do veículo. Dissociar a conta não é um pormenor administrativo, é uma medida de segurança. Se não conseguir fazê-lo sozinho, o serviço de apoio ao cliente do construtor pode forçar a dissociação mediante apresentação do documento único automóvel.
O que há a reter
- Um carro recente é um terminal conectado: recolhe, armazena e transmite, muitas vezes sem consentimento explícito.
- O eCall está enquadrado; os serviços conectados proprietários muito menos.
- O gesto mais eficaz resume-se a uma recusa: não sincronizar a lista telefónica.
- A revenda, a devolução do aluguer e o fim de um contrato de veículo de serviço são momentos críticos: reposição do sistema e dissociação da conta.
- O RGPD dá-lhe direitos reais e gratuitos; a CNIL trata as queixas.
O anonimato total ao volante já não existe: uma matrícula é um identificador público e essa é a contrapartida assumida do direito de circular. Mas entre uma matrícula legível pelas autoridades e um diário completo das suas deslocações, travagens, contactos e destinos nos servidores de uma empresa, há um fosso — e esse fosso pode cavá-lo você mesmo numa tarde de configurações.
