Introdução: o veículo tornou-se um sensor sobre rodas
Comprou um carro. Não comprou uma assinatura de um serviço de vigilância — pelo menos, não era isso que dizia o folheto. No entanto, entre o momento em que abre a porta pela manhã e aquele em que estaciona à noite, o seu veículo produziu várias centenas de milhares de valores: posição GPS a intervalos regulares, velocidade instantânea, rotação do motor, ângulo do volante, pressão dos pneus, uso dos cintos, ocupação dos assentos, temperatura exterior, estado da carga e, em muitos modelos recentes, a totalidade da lista de contactos do smartphone que emparelhou uma vez em 2023.
Uma parte destes dados permanece na unidade de controlo do veículo. Outra parte segue, através do cartão SIM integrado que quase todos os modelos novos trazem desde a implantação do eCall na Europa, para os servidores do fabricante. Uma terceira pode ser transmitida a terceiros: seguradora, empresa de aluguer, gestor de frota, desenvolvedor de aplicações e, em certos casos, autoridade judicial.
A CNIL interessa-se por este tema desde há muito tempo: o seu pacote de conformidade «veículos conectados e dados pessoais», publicado em 2017 e depois completado pelas diretrizes do Comité Europeu para a Proteção de Dados (CEPD) de 2021 sobre os veículos conectados e as aplicações ligadas à mobilidade, estabelece um princípio simples e muitas vezes ignorado: os dados de geolocalização de um veículo são dados pessoais, porque permitem deduzir a residência, o local de trabalho, os hábitos, a frequência de um local de culto ou de um estabelecimento de saúde.
Este guia não convida ninguém a voltar à bicicleta. Explica que dados saem realmente do seu carro, por que canal, o que pode recusar e que gestos concretos reduzem a exposição.
Parte 1 — Cartografar a recolha: cinco fontes distintas
O erro clássico consiste em falar do «carro» como um ator único. Na realidade, cinco sistemas recolhem dados em paralelo, com responsáveis pelo tratamento diferentes.
Fonte 1 — O fabricante, através do SIM integrado
Desde abril de 2018, todo o veículo novo homologado na União Europeia tem de incorporar o sistema eCall, que aciona uma chamada de emergência automática em caso de acidente. O regulamento UE 2015/758 enquadra estritamente este dispositivo: os dados só devem ser transmitidos em caso de acionamento, e o sistema não deve ser rastreável em permanência.
O problema é que o mesmo cartão SIM serve frequentemente um segundo conjunto de serviços, estes de natureza comercial: atualização cartográfica, diagnóstico à distância, aplicação móvel «o meu carro», postos de carregamento, manutenção preditiva. Estes dependem do consentimento, não de uma obrigação legal. Na prática, são frequentemente ativados por predefinição na entrega do veículo, num menu que ninguém lê.
Fonte 2 — O registador de dados de acidente (EDR)
Os veículos novos vendidos na Europa desde julho de 2022 incorporam um registador de dados de evento (Event Data Recorder), imposto pelo regulamento UE 2019/2144 relativo à segurança geral dos veículos. Conserva, numa janela de alguns segundos antes e depois de um impacto, a velocidade, a posição do pedal do acelerador, a travagem, o estado dos cintos, a ativação dos airbags.
O texto prevê que estes dados não devem ser diretamente identificantes e só são acessíveis num quadro preciso — investigação de acidentes anonimizada ou processo judicial. Na prática, um peritO nomeado por um tribunal ou por uma seguradora pode ler esta caixa após um acidente, e o seu conteúdo pesa muito no apuramento das responsabilidades.
Fonte 3 — O smartphone emparelhado
É a fuga mais massiva e a mais subestimada. Quando liga um telefone por Bluetooth ou através de um sistema de projeção de ecrã, o veículo pede muitas vezes acesso aos contactos, às mensagens e ao registo de chamadas — e muitos sistemas copiam localmente esses dados para mostrar os contactos sem ligação. Ficam armazenados no veículo após a desconexão, inclusive depois da revenda.
É exatamente isso que transforma um carro de aluguer devolvido na sexta-feira à noite num arquivo dos contactos e destinos do locatário anterior.
Fonte 4 — A seguradora e a caixa telemática
As ofertas ditas «pay how you drive» baseiam-se numa caixa, numa tomada OBD ou numa aplicação que mede a aceleração, a travagem, a velocidade, os horários de condução e, por vezes, o uso do telefone ao volante. A CNIL recordou várias vezes que estes dispositivos devem assentar num consentimento livre, que a ausência de subscrição não deve ser penalizadora ao ponto de tornar a escolha teórica, e que a recolha bruta de posição deve ser evitada em favor de indicadores agregados.
Fonte 5 — Os equipamentos que você próprio acrescenta
Dispositivo de telepeagem para autoestrada, localizador antirroubo, aplicações de navegação e, sobretudo, dashcam. Este último ponto merece atenção: uma câmara de bordo filma a via pública, logo matrículas e rostos. Enquanto o uso se mantiver estritamente privado, a CNIL considera que a divulgação é o verdadeiro ponto de rutura — publicar um vídeo que identifique um terceiro nas redes sociais expõe-no. Se instalar uma, prefira uma dashcam com cartão microSD de alta resistência e guarde os ficheiros offline, sem sincronização automática na nuvem.
Parte 2 — A quem isso beneficia e a quem pode prejudicar
| Destinatário | O que obtém | Base legal invocada |
|---|---|---|
| Fabricante | Posição, quilometragem, diagnósticos, uso das funções | Consentimento ou interesse legítimo (contestado) |
| Concessionário / rede | Histórico de manutenção, quilometragem, alertas | Contrato de manutenção |
| Seguradora | Estilo de condução, percursos, horários | Consentimento (oferta telemática) |
| Empresa de aluguer / carsharing | Posição em tempo real, atrasos, saídas de zona | Execução do contrato |
| Empregador (veículo de serviço) | Percursos, horários, por vezes velocidade | Interesse legítimo, estritamente enquadrado |
| Justiça / polícia | EDR, históricos de posição sob requisição | Processo penal |
Dois casos merecem desenvolvimento.
O veículo de serviço. A CNIL enquadra com precisão a geolocalização dos trabalhadores: não pode servir para vigiar permanentemente, deve poder ser desativada fora do tempo de trabalho, não pode ser usada para detetar infrações rodoviárias e impõe uma informação individual e coletiva prévia. Um trabalhador que descubra um localizador não declarado no seu veículo de serviço dispõe de um recurso sólido.
A separação conjugal. Os localizadores e as aplicações de localização de veículo partilhado tornam-se, neste contexto, um instrumento de controlo. Lembrete útil: geolocalizar uma pessoa sem o seu consentimento é penalmente punido em França, e a lei de 24 de dezembro de 2020 reforçou o dispositivo contra as ferramentas de cibervigilância no seio do casal.
Parte 3 — O que pode exigir, com os textos na mão
O RGPD aplica-se plenamente. Concretamente:
- Direito de acesso (art. 15). Pode pedir ao fabricante uma cópia dos dados associados ao seu veículo e à sua conta. A resposta deve chegar no prazo de um mês, prorrogável até três em caso de complexidade. Quase todos os fabricantes dispõem de um formulário dedicado, muitas vezes escondido na política de privacidade da aplicação móvel.
- Direito de oposição e retirada do consentimento (art. 7 e 21). Os serviços conectados não obrigatórios devem poder ser desativados sem perda das funções de segurança. O eCall, por seu lado, não se desativa: é imposto pelo regulamento, mas não deve rastrear em permanência.
- Direito ao apagamento (art. 17). Particularmente pertinente numa revenda: pode pedir a eliminação da sua conta e dos dados associados ao VIN relativos ao período em que foi proprietário.
- Direito à portabilidade (art. 20). Útil para recuperar um histórico de manutenção antes de mudar de rede.
- Reclamação junto da CNIL. Gratuita, online e extremamente eficaz quando o fabricante ignora um pedido de acesso.
A reter: o regulamento europeu sobre os dados (Data Act), aplicável desde setembro de 2025, reforça o acesso do utilizador aos dados gerados pelos objetos conectados, veículos incluídos, e facilita a sua transmissão a um reparador independente. É uma nova alavanca face às redes dos fabricantes.
Parte 4 — Os gestos concretos, situação a situação
Quando recebe um veículo novo
- Abra o menu «privacidade» ou «partilha de dados» do sistema de bordo antes de sair do concessionário e desative tudo o que não seja segurança.
- Recuse a ativação automática da aplicação móvel se não a for usar. Uma conta de fabricante não utilizada continua a ser uma base de dados a seu respeito.
- Peça por escrito a política de privacidade e o período de conservação. O vendedor não saberá responder: a questão sobe então na hierarquia, que é precisamente o efeito pretendido.
Quando emparelha o telefone
- Recuse a sincronização dos contactos e das mensagens. A navegação e a chamada em mãos-livres funcionam sem isso.
- Prefira a projeção por cabo pontual ao emparelhamento permanente, com um cabo USB-C reforçado em vez de uma ligação Bluetooth memorizada.
- Se usar uma aplicação de navegação, configure-a para eliminação automática do histórico e desative os «locais frequentes».
Quando aluga ou partilha um carro
- Antes de devolver o veículo: elimine o seu telefone da lista de dispositivos emparelhados, apague o histórico de navegação e os endereços guardados, desconecte qualquer conta de streaming ou de assistente de voz.
- Na maioria dos sistemas existe uma função de «reposição de fábrica» do módulo multimédia. Leva dois minutos e resolve o problema de uma só vez.
- Para percursos sensíveis, o método antigo continua a ser o melhor: um suporte de smartphone para carro e navegação num aparelho cujas configurações domina, em vez do ecrã da empresa de aluguer.
Quando revende o seu veículo
- Reponha o sistema multimédia, retire o veículo da sua conta de fabricante, elimine os comandos virtuais e os acessos partilhados.
- Recupere os identificadores de telepeagem e faça cancelar a assinatura associada à matrícula.
- Pense no porta-luvas: uma fotocópia do documento único automóvel, um bilhete de estacionamento, uma declaração amigável em branco meio preenchida dizem muito. Um organizador de bagageira com compartimentos evita o esquecimento no dia da entrega.
Quando quer simplesmente menos sinal
- Uma caixa OBD da seguradora pode ser desligada quando não é contratualmente exigida — verifique primeiro o seu contrato.
- As bolsas de bloqueio de sinal para chaves sem contacto não protegem a sua privacidade em sentido estrito, mas travam os ataques de relé de abertura, o que faz parte da mesma higiene global.
- Para aprofundar o tema, um bom livro sobre a proteção de dados pessoais vale mais do que uma hora de fóruns: os mecanismos jurídicos são mais estáveis do que os menus dos fabricantes.
Parte 5 — Os limites que é preciso aceitar
Sejamos honestos: não se torna um carro recente silencioso.
- O eCall não se desliga. É uma obrigação de homologação, e a sua finalidade — chamar os socorros quando está inconsciente — justifica largamente a sua existência.
- A unidade de controlo registra de qualquer forma. Os parâmetros do motor e o EDR não são opções.
- A portagem, os radares, a leitura automatizada de matrículas dependem de dispositivos públicos enquadrados por textos específicos, não das suas configurações. O período de conservação dos dados de leitura de matrículas faz, aliás, parte dos temas regularmente examinados pela CNIL.
- O seu telefone, deixado no assento do passageiro, rastreia melhor do que o carro. Trabalhar nas configurações do veículo sem mexer nas do telemóvel equivale a fechar uma janela deixando a porta aberta.
O objetivo razoável não é a invisibilidade. É reduzir o número de atores que detêm o seu histórico de deslocações e garantir que nenhum o conserve mais tempo do que o necessário.
Para saber mais
- CNIL — pacote de conformidade «veículos conectados», fichas práticas sobre a geolocalização dos trabalhadores e a vídeo de bordo.
- CEPD — diretrizes 01/2020 sobre o tratamento de dados pessoais no contexto dos veículos conectados.
- Regulamento UE 2015/758 (eCall) e regulamento UE 2019/2144 (segurança geral dos veículos, EDR).
- Regulamento UE 2023/2854 (Data Act), aplicável desde setembro de 2025.
- Service-public.fr — procedimentos de mudança de titular do documento de registo do veículo, útil para cancelar corretamente as assinaturas ligadas à matrícula.
Conclusão: conduzir sem declarar tudo
Um carro já não é um objeto mecânico estacionado à sua porta. É um terminal conectado ao qual confia, trinta ou quarenta vezes por semana, a informação mais revelaDora que existe sobre uma vida: para onde vai, quando e quanto tempo lá fica.
A boa notícia é que a maior parte desta recolha é opcional, desativável e contestável. Um quarto de hora nos menus do seu veículo, uma recusa clara da sincronização dos contactos, uma reposição sistemática antes de qualquer devolução e um pedido de acesso enviado uma vez por ano ao fabricante bastam para recuperar uma parte substancial do controlo.
O resto decorre de um princípio simples, válido muito além do automóvel: cada vez que um serviço lhe propõe «conhecê-lo melhor», pergunte-se quem, na realidade, está a aprender algo.
