GM paiera 17,5 millions $ CA pour régler un scandale de données personnelles lié à OnStar

General Motors accepte de verser environ 17,5 millions $ CA afin de régler une enquête menée en Californie concernant la collecte et la vente présumées illégales de données personnelles provenant de centaines de milliers d’automobilistes utilisant le service OnStar. L’entente, annoncée par le procureur général de Californie Rob Bonta, représente la plus importante pénalité jamais imposée en vertu du California Consumer Privacy Act (CCPA).

Des données de conduite vendues à des courtiers spécialisés

Selon les autorités californiennes, GM aurait vendu entre 2020 et 2024 des données de conduite et de localisation à Verisk Analytics et LexisNexis Risk Solutions. Ces informations provenaient du système OnStar, qui offre notamment la navigation, l’assistance d’urgence et divers services connectés. Les données recueillies comprenaient notamment :

• les noms et coordonnées des clients ;
• les données GPS ;
• les habitudes de conduite ;
• les comportements au volant.

Les autorités estiment que GM aurait généré environ 27 millions $ CA grâce à ces ventes de données à l’échelle nord-américaine.

Les données servaient à évaluer les conducteurs

Les courtiers en données utilisaient ces informations afin de créer des profils de conducteurs destinés principalement aux compagnies d’assurance automobile. Ces profils pouvaient servir à évaluer le niveau de risque des automobilistes et potentiellement influencer les primes d’assurance dans certains États américains. Les enquêteurs précisent toutefois qu’aucune preuve n’indique que les automobilistes californiens aient subi une hausse de prime liée directement à ces données, notamment parce que la loi californienne interdit actuellement l’utilisation du comportement de conduite pour fixer les tarifs d’assurance.

GM accusé d’avoir induit ses clients en erreur

L’enquête affirme que GM n’aurait jamais clairement informé les consommateurs que leurs données pouvaient être revendues à des tiers. Pire encore, la politique de confidentialité de l’entreprise indiquait que les données de conduite et de localisation n’étaient pas vendues et qu’un partage avec des assureurs ne pouvait avoir lieu qu’avec l’autorisation explicite du client. Selon le bureau du procureur général, GM conservait également certaines données plus longtemps que nécessaire au fonctionnement des services OnStar, contrevenant ainsi aux règles californiennes de protection de la vie privée. Rob Bonta accuse directement le constructeur d’avoir vendu les données de ses clients « sans leur connaissance ni leur consentement ».

GM devra supprimer les données recueillies

L’entente impose plusieurs obligations importantes à General Motors. Pendant cinq ans, le constructeur ne pourra plus transférer de données de conduite à des agences de renseignements commerciaux comme Verisk ou LexisNexis. GM devra également supprimer les données de conduite encore conservées sans consentement explicite, demander officiellement aux courtiers de détruire les données déjà obtenues, mettre en place un programme renforcé de protection de la vie privée et ransmettre régulièrement des rapports aux autorités californiennes.

Le programme Smart Driver déjà abandonné

GM affirme que ce dossier concerne principalement le programme « Smart Driver », abandonné en 2024. Le constructeur soutient avoir déjà renforcé ses pratiques de confidentialité et assure vouloir être plus transparent concernant l’utilisation des données personnelles de ses clients. Cette affaire survient toutefois à un moment délicat pour l’ensemble de l’industrie automobile, alors que les véhicules connectés génèrent désormais d’immenses quantités de données sur les conducteurs.

Une décision qui pourrait secouer toute l’industrie automobile

Cette poursuite marque un précédent important pour l’industrie automobile nord-américaine. Les constructeurs modernes collectent aujourd’hui des données extrêmement détaillées via les systèmes multimédias, applications mobiles, services télématiques et aides à la conduite. Plusieurs experts estiment que ce dossier pourrait forcer les fabricants à revoir complètement leurs politiques de confidentialité, particulièrement aux États-Unis où les réglementations sur les données personnelles deviennent de plus en plus sévères. Le gouvernement fédéral américain avait déjà conclu sa propre entente avec GM par l’entremise de la Federal Trade Commission concernant les mêmes pratiques. Pour les consommateurs, cette affaire rappelle surtout qu’une voiture moderne agit désormais autant comme un ordinateur roulant que comme un simple moyen de transport.

Avec des renseignements de Reuters