Catorce eurodiputados han pedido a la Comisión Europea que investigue la ciberseguridad de los coches conectados de BYD. La carta, registrada el 4 de noviembre, solicita a la agencia europea de ciberseguridad una evaluación del fabricante chino y estudia si debe ser declarado proveedor de alto riesgo.
El trasfondo lo pone el mercado. BYD matriculó 283.997 vehículos en Europa hasta septiembre de 2026, lo que supone un 2,7% de cuota según los datos publicados por ACEA, la asociación de constructores europeos. Son casi 7.000 unidades más que Ford en el mismo periodo.
La iniciativa la encabeza el eurodiputado francés François Kalfon, que ha desplazado el foco del arancel a otra pregunta: qué datos genera un coche conectado, dónde se almacenan y quién puede consultarlos. Su argumento es que permitir que vehículos conectados de terceros países accedan a infraestructuras europeas sensibles constituye un riesgo de seguridad inaceptable.
Qué pide la carta registrada el 4 de noviembre
El escrito contiene tres peticiones concretas y una consecuencia potencial que incomoda a la industria: la puerta abierta a restricciones sobre los vehículos de la marca en suelo europeo. Esto es lo que solicitan los firmantes al Ejecutivo comunitario:
- Evaluación técnica: que la agencia europea de ciberseguridad analice los sistemas conectados de BYD y emita un dictamen sobre el riesgo asociado.
- Designación como proveedor de alto riesgo: una figura que permitiría limitar su acceso a infraestructuras estratégicas con uso civil y militar.
- Contratación pública: que se estudie la exclusión de la compañía en licitaciones de organismos e instituciones europeas.
BYD no ha tardado en responder. La compañía sostiene que China no puede acceder a la información que recogen sus vehículos europeos, tanto si está almacenada a bordo como si viaja a la nube, y subraya que el cliente mantiene el control sobre sus datos personales. En declaraciones a Reuters, la empresa fue tajante: BYD Europe no facilita esos datos a entidades de BYD ni a terceros en China.
La pregunta que Bruselas debe responder no es si un coche recoge datos, sino quién puede leerlos y bajo qué ley.
Conviene calibrar el alcance real. Ninguna de estas gestiones equivale a una prohibición de venta, y quien ya conduce un BYD matriculado no tiene motivo para esperar cambios inmediatos. Lo que sí existe es un expediente abierto y una definición jurídica en juego.
Las claves técnicas
- Qué es: la telemetría del coche conectado es el conjunto de paquetes que el vehículo intercambia con el servidor del fabricante a través de su módulo de conectividad, un equipo con eSIM propia e independiente del teléfono del conductor.
- Qué problema resuelve: esa misma tubería permite enviar diagnósticos remotos, actualizaciones OTA y avisos de avería antes de que el conductor note nada. El debate regulatorio nace de que el canal sirve para lo útil y para lo discutible.
- Dónde y cuándo llega: el marco europeo ya exige el reglamento UNECE R155, centrado en el sistema de gestión de ciberseguridad del fabricante, y el RGPD para los datos personales. La evaluación solicitada por los eurodiputados aún no tiene fecha de respuesta.
Qué sale de un coche y por dónde viaja
Los eurodiputados citan cámaras, GPS, micrófonos y otros sensores. La lista es correcta, pero conviene separarla en dos categorías, porque no toda la telemetría tiene el mismo peso legal.
Por un lado están los datos técnicos: estado de carga de la batería, temperatura de las celdas, códigos de avería, presión de neumáticos. Son la materia prima del mantenimiento predictivo y, en un eléctrico, también de la gestión térmica que protege el paquete durante una carga rápida. Por otro, los datos personales: posición, rutas habituales, imágenes captadas por las cámaras de asistencia, comandos de voz.
El canal importa tanto como el contenido. El sistema de llamada de emergencia eCall, obligatorio en los coches nuevos vendidos en la Unión Europea, transmite posición y un paquete mínimo de datos a los servicios de emergencia cuando se activa. Es un envío puntual y regulado, no una escucha continua. Distinto es el flujo permanente hacia el servidor de marca, que varía según el modelo y la configuración contratada.
Ahí aparece el punto débil del marco actual. El reglamento UNECE R155 obliga al fabricante a implantar y certificar un sistema de gestión de ciberseguridad, con procesos de respuesta ante incidentes, pero certifica procesos: no audita el destino final de cada paquete ni la jurisdicción donde se procesa. Complementa la pregunta política, no la resuelve.
El precedente estadounidense y el calendario que viene
Europa no parte de cero. Estados Unidos cerró la puerta a Polestar en junio de 2026: el Departamento de Comercio le denegó la autorización para vender vehículos desde el año modelo 2027. La marca tiene sede en Suecia, pero su accionista mayoritario es el grupo chino Geely. La decisión se apoya en la Connected Vehicle Rule, finalizada en enero de 2025, que restringe software y hardware vinculados a China o Rusia por motivos de seguridad nacional.
El peso del bloque chino en Europa explica la urgencia. Hasta septiembre de 2026, SAIC sumó 272.251 unidades (2,6% de cuota); Geely Group, 343.875 (3,3%, cifra que incluye Volvo, Polestar, Smart, Zeekr y Lotus); y Chery, con Jaecoo, Jetour y Omoda, 260.650 (2,5%). Cuatro grupos que ya representan en torno al 11,1% del mercado europeo.
Para el conductor, la consecuencia práctica no es una carta en el buzón. Es otra: saber dónde se procesan los datos de su coche pasará a ser un criterio de compra, igual que la autonomía o la potencia de carga. En un vehículo con servicios conectados y actualizaciones OTA, se convierte además en un factor de continuidad del servicio a lo largo de la vida del coche.
El siguiente hito es la respuesta de la Comisión a la carta del 4 de noviembre y, si prospera, la evaluación de la agencia europea de ciberseguridad. Ninguno de los dos trámites tiene fecha cerrada. Lo que ya está sobre la mesa es un cambio de criterio: la seguridad de un coche conectado empieza a medirse también en su cadena de datos.
