ネット接続の自動車、調査対象の9割以上が「外部にデータ送信」していた！

　秋の行楽シーズンに、一泊二日のドライブ旅行を楽しむ人は多い。物価高騰が本格化するなか、三菱地所・サイモン（東京都千代田区）が2026年9月に実施した意識調査によると、秋のお出かけ予算はひとり1回あたり平均2万8088円で、前年比2930円減少した。一方、秋に楽しみたい行楽では「グルメ」（31.6%）、「温泉」（28.7%）、「紅葉狩り」（18.0%）が上位を占める。費用を抑える工夫をしながら、秋ならではの体験を楽しみたいという思いは依然として強い。

　人材マッチングサービスを運営するおてつたび（東京都品川区）が2025年1月～2026年10月に実施した調査（2026年11月5日発表）でも、利用者の9割以上が「働きながら旅や地域での体験も楽しみたい」と回答した。全国の温泉地や紅葉の名所では、新しい旅のスタイルが広がりつつある。

　ここで、紅葉見物と温泉を満喫したドライブ旅行から数日後、スマートフォンやパソコンに、訪れたばかりの温泉宿や周辺ホテルの広告が頻繁に表示されるようになったとしよう。

　旅をした本人と同行者、宿泊先のほかにも、今回のドライブ旅行を知っている者がいるのではないか――そんな疑念を抱くかもしれない。愛車が“つながるクルマ”であれば、その疑いには理由がある。現代の自動車の背後には、大規模なデータ収集と情報共有の仕組みが広がっているからだ。

“つながるクルマ”、いわゆるコネクテッドカーとは、インターネットなどの通信機能を備え、外部のクラウドやスマートフォン、ほかの車両、社会インフラなどと、常にデータをやり取りできる自動車を指す。市場に占める割合は年々高まっている。

　こうした車両の多くは、ドライバーから明確な同意を得ないまま、運転に関する詳しいデータや位置情報、個人を特定できる情報（PII）を集めている。そして、マーケティングや保険料、自動車ローンの金利設定などに利用する外部企業と情報を共有するケースも少なくない。米国では、こうした情報の扱いを明確に説明しなかった自動車メーカーに規制当局が処分を下しており、訴訟を抱える企業も出始めている。

1.8億円を投じた大規模実証実験

　米ノースイースタン大学の研究チームは、2026年10月12日から16日までドイツで開催された国際会議「2026 ACM Internet Measurement Conference」で、学術論文『Automatic Transmission: An Empirical Study of Data Privacy in the Connected Vehicle Ecosystem』を発表した。この研究では、現在の自動車からどのようなデータが送られ、どの企業が受け取っているのかを詳しく調べている。

　研究チームは、米国の非営利消費者組織「Consumer Reports（コンシューマー・レポート）」と協力した。自前で車両をそろえれば120万ドル（約1.8億円）以上かかる最新車両群を対象に、同誌が所有するコネチカット州の試験施設で、通信のやり取りを幅広く調べた。対象は、GM傘下のキャデラックやシボレーをはじめ、フォード、ホンダ、日産、ルーシッド、リビアン、テスラ、トヨタなど19ブランドの、2022年から2025年モデルまでの車両21台。Wi-Fi通信機能を備えた電気自動車（EV）と内燃機関車を調べた。また、コネクテッドカーが個人情報にどのような影響を与えるかを確かめるため、自動車メーカーが提供する30種類の関連アプリ（コンパニオンアプリ）も、実際の利用者のアカウントと連携させ、すべての機能を検証した。

　車両との通信内容を分けて調べるため、11台のEVを特別に作られた大型のファラデーテントに設置した。密閉空間で排気ガスによる危険を避ける目的もあった。テントは電磁波を通しにくい素材でできており、周波数帯によって約93dBの減衰効果がある。ここでは、セルラー通信（eSIM）を強制的に遮断した際、車両の通信がWi-Fiに切り替わる動きなどを調べた。

　さらに、利用者が操作できる物理SIMスロットを備えた2024年型テスラ・モデル3には、独自に設定したSIMカードを挿入した。テント内でLTE/5G基地局エミュレータを動かし、携帯電話回線を通じて車両が直接通信する相手先のドメインを調べるという、徹底した方法が採られた。

　常にインターネットにつながることは、消費者に大きな影響を及ぼす。車両やアプリから集められたデータは、Adobe、Amazon、ContentSquare、Google、Microsoft、Meta、Snap、Yahooといったテクノロジー企業にも日常的に送られている。

　研究チームは各車両を、Raspberry Piで構築した専用のWi-Fiアクセスポイントに接続した。そして、「静止アイドル状態」「静止アクティブ状態」「専用テストコースでの走行状態」という三つの条件で、送信される通信をすべて記録し、内容を調べた。

　抽出した1338件の固有ドメイン名を調べたところ、対象となった21台のうち

「19台（90.5%）」

が、少なくともひとつの外部ドメインにデータを送信していた。ドメインの種類を分けてみると、11台が広告や利用者の追跡、データ分析を手がける「ATA（Advertising/Tracker/Analytics）」関連のドメインに直接接続していた。

　外部の広告会社や分析会社への送信先が最も多かったのは、テスラ・モデル3（ATAドメイン34件）とサイバートラック（同23件）だった。続いて、キャデラック・リリック（同10件）、ルーシッド・エア（同9件）、シボレー・ブレイザー（同7件）となった。

　一方、インフォテインメント機能が限られた車種では、車両からの直接送信はゼロから1件にとどまった。ビュイック・エンビスタや日産アリアなどが該当する。Google Built-InやAndroid Automotive OSなど、車載OSの構成によって通信の動きが大きく異なる実態も明らかになった。

　調査でとりわけ目立ったのは、スマートフォンに入れるコンパニオンアプリが、外部企業による追跡の機会を大きく増やしていることだ。

　接続して調べた30種類のモバイルアプリのうち28（93.3%）が、少なくともひとつの外部広告会社や分析会社にデータを送信していた。車両単体ではATA関連の接続が0件だった車種でも、コンパニオンアプリ（myBuickやMyNISSANなど）を併用すると、外部の追跡企業への情報送信先は一気に20社以上に増える。アプリを使うことで、車両とアプリを合わせた広告・追跡企業との接触回数は平均で2倍以上に拡大した。

　さらに、7つのアプリは、車両所有者の名前、車両識別番号（VIN）、メールアドレス、電話番号、詳しいGPS位置情報といった、個人を特定できる重要な情報（PII）を少なくともひとつの外部企業に直接送っていた。具体的には、「myCadillac」「myChevrolet」「myBuick」「myGMC」がVINや位置情報などをAdobe、Acxiom、Google、Meta、Yahooなどに送信していた。「HondaLink」はVINと詳しいGPS位置情報を分析サービスのAmplitudeに送り、「MyNISSAN」や「Lincoln」もVINやメールアドレスを外部に送信していた。

　調査結果からは、複数の情報を組み合わせることで、広告主やデータブローカーが消費者の詳しい人物像を作れる仕組みも見えてくる。コンパニオンアプリがVINと所有者の氏名やメールアドレスを同時に外部へ送れば、一般には個人と結びつかないVINを、インターネットの閲覧履歴や買い物の履歴などをまとめた「市販プロファイル」と結びつけられる。これによって、ウェブサイトや別のアプリをまたいだ追跡が可能になり、特定のドライバーについて詳しい情報を集められる。こうした人物情報は保険会社や銀行、小売業者などに販売されるため、消費者が情報の流れを避けるのは容易ではない。

　ドライバーのデータを受け取る主な企業には、米国で事業を展開する大手テクノロジー企業が数多く含まれる。Googleを運営するAlphabet、Amazon、Facebookを運営するMeta、Microsoft、Pinterest、Redditなど、数十社に及ぶ。こうした企業の多くは、Android Automotive OSなどのソフトウェア基盤を提供する一方、広告を通じて特定の顧客層に商品やサービスを届ける役割も担っている。車載OSやアプリの基盤を提供する企業は、広範な個人データの流れに最初に接する立場になることが多い。

　今回の調査は、米国の消費者が日用品と同じように自動車を購入し、使う過程で、知らないうちに大規模なデータ収集の網に組み込まれている実態を示している。ドライブ旅行中の急加速や急ブレーキの回数、訪れた商業施設や滞在した温泉宿の位置情報まで集められ、分析されれば、消費者は気づかないうちに自動車保険料の値上げや、ローン金利で不利な扱いを受けるリスクを負う。

　研究チームは、不審なデータ送信に関する調査結果を、対象車種を製造した17の自動車メーカーに伝え、回答を求めた。各社の説明からは、業界が抱える課題と、責任を外部に求める姿勢が浮かび上がった。

　ゼネラルモーターズ、ホンダ、日産、ステランティスなどは、データの提供先となる外部企業との契約で、受け取ったデータの独自利用や第三者への再販売を禁じていると説明した。しかし研究チームは、こうした契約上の制限が実際には十分に機能していないとみている。

　複数の自動車メーカーは、自社のアプリが直接データを共有しているわけではないとも説明した。アプリ内のリンクから外部のウェブページを「埋め込みブラウザ」で開いた際、外部企業が設置したクッキーやトラッキングピクセルを通じて顧客データが集められたという。これに対し、ノースイースタン大学の研究者らは、

「利用者への事前の説明がないまま、ドライバーが気づかないうちに情報が集められている点」

を問題視している。また、多くのメーカーは、提供するアプリやコネクテッドサービスの多くが、本人の許可を事前に得る「オプトイン」方式を採用していると強調した。ドライバーは初回登録時やログイン時にデータ提供へ同意するため、必要な了解は得ているという見解だ。これは、データ提供に関する責任をドライバー自身に求める考え方でもある。

　しかし、多くの利用者は、自分が何に同意しているのかを正確に把握できていない。何百ページにも及ぶ複雑な利用規約を最後まで読み、内容を理解したうえで同意するドライバーは、きわめて少ないのが実情だ。

　なお、研究チームから調査結果を示された後、ホンダは取引先の1社であるAmplitudeに対し、これまでに受け取った位置情報をすべて直ちに削除するよう求めた。また、今後位置情報が送信されないよう、アプリも改修した。外部からの指摘を受けて改善に動くなど、メーカーによって対応に違いが見られる。

迫られる不当な選択と米当局の追及

「Consumer Reports」によると、顧客データの収集や共有、販売を拒み、データを削除する方法はいくつかある。ただし、実際に手続きを進めるには、きわめて煩雑な作業が必要になるという。

　大きな問題は、自動車メーカーとのデータ共有を拒否すると、ロードサービスや衝突検知機能、スマートフォンからの遠隔ドアロック機能などを使えなくなる場合があることだ。車両の利便性や安全に関わる機能が大きく制限され、最悪の場合は車両そのものが使えなくなる仕組みがある。

　例えば、テスラのオーナーが同社とのデータ共有に同意しない場合、

「これにより、車両の機能が低下したり、重大な損傷を受けたり、動作しなくなる可能性があります」

という強い警告が表示される。リビアンも、データ収集を無効にすると「ナビゲーション、車線維持支援機能、ならびにOTAアップデートなど、車両の一部機能が制限または無効化されます」と明記している。消費者は、プライバシーを守るために情報共有を拒むか、安全機能や車両の正常な動作を手放すかという、不当な選択を迫られている。

　こうしたコネクテッドカーのデータ収集や販売に対して、規制当局による処分や法的な追及も本格化している。2026年、米連邦取引委員会（FTC）はゼネラルモーターズとOnStarに対し、ドライバーの明確な同意を得ずに詳しい位置情報や運転行動データを集め、販売していたとして是正処分を下した。テキサス州司法長官も同様の理由でGMを提訴するなど、州レベルでの追及も相次いでいる。Mozilla財団のプライバシー調査部門は、主要メーカーのプライバシー方針を調べたうえで、

「自動車は我々が調査した製品カテゴリーの中で過去最悪のプライバシーの悪夢である」

と結論づけた。秋の行楽シーズンに、気分転換を求めて出かけたドライブ旅行。その間も、愛車とスマートフォンのアプリはドライバーの移動経路から個人情報までを休みなく集め、大手データブローカーの網へ送り続けている。ドライバーの情報を集め、外部と共有する自動車業界の慣行は、すでに複雑な問題を引き起こしている。自動車産業がソフトウェア定義車両（SDV）への移行を進めるなか、まずはこうした実態を広く知ってもらう必要があるだろう。