General Motors acuerda pagar 12,75 millones de dólares para cerrar una investigación californiana sobre la privacidad de los conductores
General Motors ha firmado un acuerdo de privacidad de 12,75 millones de dólares con un grupo de autoridades policiales de California encabezado por el fiscal general Rob Bonta, cerrando una investigación de dos años por presuntas infracciones de la California Consumer Privacy Act (CCPA). La acusación de California: GM vendió datos telemáticos de los conductores — localización, aceleración, uso del freno, giros bruscos, a veces correspondientes a miles de kilómetros al año — a corredores de datos terceros, en particular LexisNexis Risk Solutions y Verisk Analytics, ambos orientados al sector asegurador, sin un consentimiento adecuado del conductor.
La acusación se hizo pública a comienzos de 2024 con una investigación publicada por The New York Times. El reportaje mostró que los datos de conducta de conducción de propietarios de GM inscritos en el programa OnStar Smart Driver se enviaban a LexisNexis. Muchos conductores que veían subir bruscamente sus primas de seguro descubrían, al examinar más a fondo, un «informe de comportamiento del conductor» del tipo informe de crédito — con fechas de llamadas telefónicas, eventos de frenado brusco y rebasamientos del límite de velocidad. Esos informes se habían recopilado sin que se informara a los conductores.
La investigación californiana fue abierta por Bonta en marzo de 2024, y estados vecinos — Oregón, Washington, Nevada — abrieron pesquisas paralelas. Los investigadores encontraron que GM ofrecía una opción de exclusión para la venta de datos de conducta durante el registro de los clientes de OnStar, pero esa opción estaba enterrada en un lugar casi imposible de encontrar. La ley californiana exige consentimiento explícito (opt-in): los conductores deben autorizar activamente que se vendan sus datos en lugar de quedar inscritos por defecto.
El acuerdo prevé que GM pague los 12,75 millones de dólares y se abstenga de vender datos de comportamiento del conductor a terceros durante los próximos tres años. La empresa también debe establecer un proceso de consentimiento explícito (opt-in) para cualquier nuevo comprador. Bonta declaró: «Los datos de los consumidores californianos se han convertido en un producto que se vende para influir en decisiones financieras — primas de seguros, crédito. Este acuerdo envía un mensaje claro al sector: incumplir las normas del consentimiento es caro».
GM, en su comunicado, afirmó que la aceptación del acuerdo es «un paso para fortalecer la relación de la compañía con sus clientes de California». El portavoz Paul Edwards declaró: «Gestionamos el programa OnStar Smart Driver dando por hecho que una preferencia de opt-in establecida hace años era suficiente. La investigación nos mostró que tenemos que ser más firmes y claros al comunicar las funciones de este programa a nuestros clientes». Edwards añadió que GM había suspendido voluntariamente las ventas de datos a mediados de 2024.
El pago representa solo una fracción de los ingresos netos de GM en 2025 (aproximadamente 6.000 millones de dólares). Pero los abogados de privacidad subrayan la carga simbólica del acuerdo: «GM ha sentado un precedente importante sobre cómo deben tratarse los datos de los vehículos bajo la CCPA, especialmente en California. Otros fabricantes — Ford, Volkswagen, Toyota — tienen ahora que revisar sus propios procesos de opt-in», dijo Riana Pfefferkorn, directora del Center for Internet and Society de Stanford.
La mayoría de los grandes fabricantes de automóviles ofrecen sistemas telemáticos del tipo OnStar, capaces de recoger y potencialmente vender decenas de miles de millas de datos de conducción al año. El Vehicle Data Service de Ford, el T-Connect de Toyota, el Car-Net de Volkswagen y la arquitectura interna de Tesla utilizan modelos de opt-in distintos. Tras la investigación del Times en 2024, Tesla y Volvo anunciaron que dejaban de vender datos a terceros; Ford y otros han mantenido sus programas.
El acuerdo de California forma parte de un debate más amplio en Estados Unidos sobre la regulación de los datos del consumidor. A nivel federal, el Congreso no aprobó la American Privacy Rights Act en 2024 ni en 2025; a nivel estatal, California, Virginia, Colorado y otros nueve estados han aprobado sus propias leyes. El resultado es un mosaico para los fabricantes — un vehículo vendido en California está sujeto a un proceso de opt-in distinto al del mismo modelo vendido en Texas o Florida.
El abogado de privacidad de la Electronic Frontier Foundation, Adam Schwartz, criticó el acuerdo: «12,75 millones de dólares no son una 'lección cara' para una empresa como GM — es una multa de aparcamiento. El lado bueno del acuerdo es que obliga a GM a corregir sus procesos de opt-in. Pero teniendo en cuenta el tamaño del mercado de datos de conducción en Estados Unidos, 12,75 millones de dólares tienen un efecto disuasorio limitado». Schwartz añadió que la falta de una ley federal integral de privacidad reduce el impacto de los acuerdos estado por estado.
El acuerdo entrará en vigor tras un proceso de aprobación judicial de 30 días. Bonta declaró: «California seguirá liderando el país en privacidad. Los fabricantes que continúen vendiendo datos de clientes sin consentimiento se enfrentarán a acuerdos mayores». Su oficina dejó entrever que otros grandes fabricantes están bajo investigación paralela — sin nombrarlos públicamente.