Калифорния санкционира автомобилния гигант за нарушения на правилата за поверителност

Главният прокурор на Калифорния Роб Бонта обяви споразумение с General Motors на стойност 12,75 милиона долара заради предполагаеми нарушения на California Consumer Privacy Act (CCPA).

Според обвиненията автомобилният производител незаконно е събирал и продавал данни за шофиране и локация на жители на Калифорния към брокери на данни между 2020 и 2024 г.

Разследването е започнало след медийни публикации, разкриващи, че автомобилни компании споделят поведенчески данни на водачи със застрахователния сектор.

Данните са събирани чрез OnStar и Smart Driver

Според властите информацията е била събирана чрез подразделението OnStar и системата „Smart Driver“.

Събраните данни включвали:

• информация за шофьорско поведение;
• модели на придвижване;
• точни GPS локации;
• ежедневни маршрути;
• навици на водачите.

След това информацията е била предоставяна на:

• Verisk Analytics
• LexisNexis Risk Solutions

Тези компании разработват scoring продукти за застрахователната индустрия и анализ на риска.

Според Калифорния – без информирано съгласие

Главният прокурор Роб Бонта заявява, че GM не е уведомявала адекватно потребителите и не е получавала валидно съгласие за подобно събиране и продажба на данни.

Според разследването компанията:

• е съхранявала данните по-дълго от необходимото;
• е използвала информацията за вторични цели;
• е реализирала приблизително 20 милиона долара приходи на национално ниво;
• е предоставяла чувствителни локационни данни без достатъчна прозрачност.

Особено чувствителен е фактът, че подобни данни могат да разкрият:

• ежедневни навици;
• посещавани локации;
• работни маршрути;
• здравни посещения;
• религиозни или социални активности.

FTC вече беше санкционирала GM

Случаят идва след отделна намеса на Federal Trade Commission, която по-рано забрани на GM да продава данни на шофьори за период от пет години.

Американските регулатори определиха практиката като незаконна форма на събиране и монетизация на телеметрични данни.

Рекордна глоба по CCPA

Сумата от 12,75 милиона долара представлява рекордна гражданска санкция по линия на CCPA и е първият голям enforcement случай, фокусиран върху принципа за data minimization.

Това е особено важно, защото data minimization е един от основните принципи на модерните регулации за поверителност:

• събиране само на необходимите данни;
• ограничено време за съхранение;
• ясно дефинирана цел;
• забрана за вторична употреба без съгласие.

Какво трябва да направи GM

Освен финансовата санкция, компанията е задължена да предприеме редица мерки:

• да спре продажбата на driving data към брокери и consumer reporting agencies за пет години;
• да изтрие задържаните данни до 180 дни, освен ако потребителите не дадат изрично съгласие;
• да поиска от LexisNexis и Verisk да изтрият вече получените данни;
• да внедри по-строга privacy compliance програма;
• да предоставя регулярни оценки и отчети към регулаторите.

Засегнати марки и мащабът на проблема

General Motors е една от най-големите автомобилни групи в света и притежава марки като:

• GMC
• Cadillac
• Chevrolet
• Buick

Това означава, че потенциалният обхват на събираните данни е изключително голям.

GM: услугата вече е прекратена

След публикацията компанията изпрати официална позиция, според която споразумението е свързано със Smart Driver – продукт, прекратен през 2024 г.

От GM заявяват, че:

• са предприели стъпки за подобряване на практиките за поверителност;
• свързаните автомобили са ключова част от модерното шофиране;
• компанията ще работи за по-голяма прозрачност и контрол за клиентите.

Свързаните автомобили се превръщат в нов privacy фронт

Случаят показва колко ценни са телеметричните данни от модерните автомобили.

Днешните connected vehicle платформи събират огромни количества информация:

• GPS локации;
• ускорение и спиране;
• стил на шофиране;
• време на пътуване;
• поведение на водача;
• информация за устройствата в автомобила.

Тези данни имат огромна стойност за:

• застрахователи;
• рекламни компании;
• data brokers;
• анализаторски фирми.

Случаят с GM вероятно ще ускори регулаторния натиск върху автомобилната индустрия и ще постави нов фокус върху поверителността при connected car екосистемите.