General Motors (GM) a accepté de verser 12,75 millions de dollars d’amendes civiles pour mettre fin à un litige en Californie portant sur un usage contesté des données de conduite collectées auprès de clients. Un accord qui s’ajoute à une première sanction aux États-Unis, et qui vise cette fois à limiter durablement la commercialisation de ces informations.

Un accord après des révélations sur OnStar

Le dossier fait suite à des informations diffusées en 2024 indiquant que GM aurait recueilli des données liées aux habitudes de conduite via son service OnStar, puis les aurait partagées avec des courtiers en données. Ces données seraient ensuite passées par des acteurs spécialisés susceptibles de les redistribuer, notamment à des fins de ciblage dans le secteur de l’assurance automobile.

En Californie, le cadre juridique limite l’utilisation de certaines données de conduite pour augmenter les tarifs des assurés. L’action engagée met cependant surtout en cause le respect de la vie privée, la plainte évoquant une collecte et une commercialisation de données sans consentement adéquat.

Montant de la pénalité et interdiction de vente

Dans le cadre du règlement, GM s’engage à payer 12,75 millions de dollars. L’entreprise accepte également une interdiction de vendre des données de conduite à des agences d’établissement de profils et de crédit, et ce pendant cinq ans.

La plainte alléguait que les informations transmises pouvaient inclure des éléments identifiants et contextuels, tels que des données de contact, des localisations et des indications de comportement de conduite.

Suppression des données et encadrement des pratiques

L’accord prévoit que GM supprime les données de conduite conservées dans un délai de 180 jours, à l’exception de certains usages internes limités, sauf si le client a donné un consentement explicite.

GM devra aussi mettre en place un programme de conformité relatif à la confidentialité, afin d’évaluer les risques liés à la collecte de données via OnStar, puis communiquer les résultats à des autorités compétentes.

Ce que l’affaire illustre

Au-delà du montant, le règlement souligne la sensibilité croissante des données embarquées et des informations issues d’équipements connectés des véhicules. Il met en avant un principe désormais central dans plusieurs cadres réglementaires : la minimisation et l’usage limité des données personnelles, en particulier lorsqu’elles peuvent être réutilisées à des fins différentes de celles prévues à l’origine.

Pour les conducteurs soucieux de mieux comprendre et gérer la connectivité de leur véhicule, certains s’équipent aussi de solutions de protection de l’accès aux fonctions télématiques. Par exemple, un dispositif de protection contre le pistage GPS/signal peut être envisagé, selon la compatibilité avec le véhicule. De manière complémentaire, un enregistreur embarqué (dashcam) axé sur la confidentialité peut aider à documenter des situations de conduite, tout en restant un usage distinct des données télématiques commerciales.