General Motors accepte de verser 12,75 millions de dollars pour clore une enquête californienne sur la vie privée des conducteurs
General Motors a signé un accord de confidentialité de 12,75 millions de dollars avec un groupe d'autorités californiennes mené par le procureur général Rob Bonta, mettant fin à une enquête de deux ans sur de présumées violations du Consumer Privacy Act (CCPA) de l'État. Le grief californien : GM aurait vendu des données télématiques de conducteurs — localisation, accélération, usage du frein, virages serrés, parfois sur plusieurs milliers de kilomètres par an — à des courtiers de données tiers, notamment LexisNexis Risk Solutions et Verisk Analytics, tous deux orientés vers le secteur de l'assurance, sans consentement adéquat du conducteur.
L'accusation est devenue publique début 2024 avec une enquête publiée par le New York Times. L'article montrait que les données de comportement de conduite de propriétaires GM inscrits au programme OnStar Smart Driver étaient transmises à LexisNexis. De nombreux conducteurs qui constataient une forte hausse de leurs primes d'assurance trouvaient, à examen plus poussé, un « rapport de comportement de conducteur » de type rapport de crédit — recensant les dates d'appels téléphoniques, les événements de freinage brusque et les dépassements de vitesse. Ces rapports avaient été compilés sans que les conducteurs en soient informés.
L'enquête californienne a été ouverte par Bonta en mars 2024, et des États voisins — Oregon, Washington, Nevada — ont lancé des enquêtes parallèles. Les enquêteurs ont constaté que GM proposait une option d'opt-out pour la vente des données de conduite lors de l'inscription des clients OnStar, mais que cette option était enfouie dans un endroit presque introuvable. La loi californienne impose un consentement opt-in : les conducteurs doivent autoriser activement la vente de leurs données plutôt que d'être inscrits par défaut.
L'accord prévoit que GM paie 12,75 millions de dollars et s'abstienne de vendre des données de comportement de conduite à des tiers pendant les trois prochaines années. L'entreprise doit également mettre en place un processus de consentement opt-in explicite pour tout nouvel acheteur. Bonta a déclaré : « Les données des consommateurs californiens sont devenues un produit vendu pour influer sur des décisions financières — primes d'assurance, crédit. Cet accord envoie un message clair au secteur : enfreindre les règles du consentement coûte cher. »
GM, dans son communiqué, indique que l'acceptation de l'accord est « un pas pour renforcer la relation de l'entreprise avec ses clients californiens ». Le porte-parole Paul Edwards a déclaré : « Nous avons géré le programme OnStar Smart Driver en supposant qu'une préférence opt-in mise en place il y a des années suffisait. L'enquête nous a montré qu'il fallait être plus fort et plus clair dans la communication de ces fonctionnalités à nos clients. » Edwards a ajouté que GM avait volontairement suspendu les ventes de données à la mi-2024.
Le paiement ne représente qu'une fraction du résultat net 2025 de GM (environ 6 milliards de dollars). Mais les avocats spécialisés en vie privée soulignent la portée symbolique de l'accord : « GM a posé un précédent important sur la manière dont les données automobiles doivent être traitées sous le CCPA, en particulier en Californie. D'autres constructeurs — Ford, Volkswagen, Toyota — doivent désormais revoir leurs propres processus d'opt-in », a déclaré Riana Pfefferkorn, directrice du Center for Internet and Society de Stanford.
La plupart des grands constructeurs offrent des systèmes télématiques de type OnStar, capables de collecter et potentiellement de vendre des dizaines de milliers de kilomètres de données de conduite par an. Le Vehicle Data Service de Ford, T-Connect de Toyota, Car-Net de Volkswagen et l'architecture interne de Tesla utilisent tous des modèles d'opt-in différents. Après l'enquête du Times en 2024, Tesla et Volvo ont annoncé l'arrêt de la vente de données à des tiers ; Ford et d'autres ont poursuivi leurs programmes.
L'accord californien s'inscrit dans un débat américain plus large sur la régulation des données des consommateurs. Au niveau fédéral, le Congrès n'a pas adopté l'American Privacy Rights Act en 2024 ni en 2025 ; au niveau des États, la Californie, la Virginie, le Colorado et neuf autres ont adopté leurs propres lois. Il en résulte un patchwork pour les constructeurs — un véhicule vendu en Californie est soumis à un processus d'opt-in différent de celui du même modèle vendu au Texas ou en Floride.
L'avocat de la vie privée à l'Electronic Frontier Foundation, Adam Schwartz, a critiqué l'accord : « 12,75 millions de dollars, ce n'est pas une 'leçon coûteuse' pour une entreprise comme GM — c'est une amende de stationnement. Le bon côté de l'accord, c'est qu'il oblige GM à corriger ses processus d'opt-in. Mais vu la taille du marché des données de conduite aux États-Unis, 12,75 millions de dollars ont un effet dissuasif limité. » Schwartz a ajouté que l'absence d'une loi fédérale globale sur la vie privée réduit l'impact des règlements État par État.
L'accord entrera en vigueur après une procédure d'approbation judiciaire de 30 jours. Bonta a déclaré : « La Californie continuera à mener le pays sur la vie privée. Les constructeurs qui poursuivent la vente de données clients sans consentement feront face à des règlements plus importants. » Son bureau a laissé entendre que d'autres grands constructeurs faisaient l'objet d'enquêtes parallèles — sans les nommer publiquement.