Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

GM agrees to $12.75M California settlement over sale of drivers’ data

1 minute de lecture

Mis à jour :

Sanction record contre General Motors pour la vente illégale de données de conduite

General Motors (GM) a accepté de payer une amende historique de 12,75 millions de dollars à l’État de Californie pour avoir collecté et vendu les données de localisation et de conduite de ses utilisateurs sans leur consentement.

Points clés :

  • Pratique illégale : Entre 2020 et 2024, GM a utilisé son système « Smart Driver » (via sa filiale OnStar) pour récolter des données de conduite, les partageant avec des courtiers en données comme LexisNexis et Verisk Analytics pour créer des profils d’assurance.
  • Non-respect du CCPA : L’entreprise a enfreint le California Consumer Privacy Act en omettant d’informer les clients, en ne recueillant pas leur consentement explicite et en conservant les données au-delà du nécessaire.
  • Précédent : Il s’agit de la première mesure d’application axée sur le respect du principe de minimisation des données en Californie.
  • Contexte réglementaire : Cette affaire fait suite à une interdiction distincte de la FTC empêchant GM de vendre ces données pendant cinq ans.

Vulnérabilités liées aux données :

  • Absence de transparence et de consentement éclairé.
  • Défaut de minimisation : conservation prolongée de données sensibles (habitudes de vie, déplacements quotidiens).
  • Absence de CVE : Il ne s’agit pas d’une faille de sécurité technique ou d’une intrusion informatique (hack), mais d’une violation intentionnelle de la politique de confidentialité et de gestion des données.

Recommandations et mesures correctives imposées :

  • Cessation de la vente : Interdiction totale de vendre des données de conduite à des courtiers ou agences de rapport pendant cinq ans.
  • Suppression des données : Obligation de supprimer les données conservées sous 180 jours, sauf consentement explicite de l’utilisateur.
  • Assainissement des tiers : GM doit exiger de LexisNexis et Verisk la suppression des données préalablement transmises.
  • Gouvernance : Mise en place d’un programme de conformité renforcé avec soumission d’évaluations régulières aux autorités de régulation.

Source

Vous pourriez aimer