Le règlement, la plus grande pénalité CCPA de l'histoire de la Californie, comprend une interdiction de 5 ans de vendre des données de conducteurs à des courtiers en données.
Bloomberg / Getty Images
General Motors $GM a accepté de payer 12,75 millions de dollars pour régler une enquête californienne sur des allégations selon lesquelles le constructeur automobile aurait illégalement vendu les données de conduite et de localisation de centaines de milliers de résidents californiens à deux courtiers en données, a annoncé le procureur général de l'État, Rob Bonta, la semaine dernière.
Sous réserve de l'approbation du tribunal, le règlement est la plus grande pénalité jamais imposée en vertu de la California Consumer Privacy Act. En cause, les données recueillies auprès des abonnés à la plateforme OnStar de GM — un service offrant des fonctionnalités telles que la navigation guidée et l'envoi d'urgence — qui ont ensuite été vendues aux courtiers en données Verisk Analytics et LexisNexis Risk Solutions de 2020 à 2024. Ces données comprenaient des noms, des coordonnées, des coordonnées GPS et des enregistrements de la conduite des clients. Le bureau de Bonta estime que GM a gagné environ 20 millions de dollars grâce à ces transactions à travers le pays.
L'intention des courtiers était de créer des produits qui évaluaient les conducteurs et commercialisaient ces évaluations auprès des assureurs automobiles dans le but de déterminer les tarifs. Cependant, les enquêteurs n'ont trouvé aucune preuve que les assurés californiens aient vu leurs primes augmenter à cause de la vente de données — un résultat que le bureau de Bonta a attribué à une loi de l'État interdisant aux assureurs de prendre en compte les données de conduite dans les décisions tarifaires.
Les enquêteurs ont constaté que GM n'avait donné aucun avis aux consommateurs sur la vente de données et les avait trompés en suggérant que les informations seraient utilisées uniquement pour fournir les services OnStar. La politique de confidentialité de GM avait déclaré qu'elle ne vendait pas de données de conduite ou de localisation et que toute divulgation à des fins d'assurance se ferait uniquement à la demande d'un client. GM a également conservé des données de conduite et de localisation au-delà de leur utilisation opérationnelle pour OnStar — une pratique interdite par la loi californienne — avant de les vendre aux courtiers.
« General Motors a vendu les données des conducteurs californiens à leur insu ou sans leur consentement et malgré de nombreuses déclarations rassurant les conducteurs qu'elle ne le ferait pas », a déclaré Bonta dans un communiqué.
Parmi les exigences clés du règlement, GM est interdit pendant les cinq prochaines années de transférer des données de conduite à des agences de rapport de consommation, une catégorie qui inclut à la fois Verisk et LexisNexis. Dans les 180 jours, le constructeur automobile doit purger toutes les données de conduite encore en sa possession — à moins d'un consentement explicite du client pour les conserver — et demander officiellement aux deux courtiers de détruire les informations qu'ils ont précédemment acquises. GM est également tenue de développer et de maintenir un programme de confidentialité et de rendre compte de ses évaluations de la confidentialité au ministère de la Justice de Californie, aux procureurs de district participants et à l'Agence de protection de la vie privée de Californie.
GM a publié une déclaration disant que l'affaire "concerne Smart Driver, un produit que nous avons arrêté en 2024, et renforce les mesures que nous avons prises pour renforcer nos pratiques de confidentialité." Le constructeur automobile s'est également décrit comme "engagé à être clair et transparent avec nos clients sur nos pratiques et les choix et le contrôle qu'ils ont sur leurs informations."
Le règlement marque également la première action d'application de la Californie en vertu des exigences de minimisation des données du CCPA, qui ont été ajoutées à la loi en 2023 et restreignent la manière dont les entreprises utilisent, conservent et partagent les données personnelles. Une action fédérale antérieure a également ciblé le même comportement : la Federal Trade Commission a conclu son propre règlement avec GM, entraînant un ordre qui interdit à General Motors et OnStar de partager certaines catégories de données avec les agences de notation de crédit, comme TechCrunch a rapporté.
L'enquête californienne a été menée par le bureau de Bonta en partenariat avec les procureurs de Los Angeles, Napa, San Francisco et les comtés de Sonoma, avec le soutien de l' Agence de protection de la vie privée de Californie.
Rejoignez plus de 500 000 lecteurs qui commencent leur journée avec Quartz.
En vous abonnant, vous acceptez nos Conditions d'utilisation et notre Politique de confidentialité.
