運転データを同意なく販売していた件でGMが20億円の罰金支払い

常時インターネット接続している「コネクテッドカー」で取得された運転データが、運転者の明確な同意を得ることなくデータブローカーに販売されていた事案で、カリフォルニア州司法長官事務所はゼネラルモーターズ(GM)と和解したことを発表しました。GMは1275万ドル(約20億円)の罰金を支払うことになります。

When It Comes to Data Privacy, Consumers Must Be in the Driver’s Seat: Attorney General Bonta, Partners Secure $12.75 Million General Motors Privacy Settlement | State of California - Department of Justice - Office of the Attorney General
https://oag.ca.gov/news/press-releases/when-it-comes-data-privacy-consumers-must-be-driver%E2%80%99s-seat-attorney-general

GM agrees to pay $12.75M in California driver privacy settlement | TechCrunch
https://techcrunch.com/2026/05/09/gm-agrees-to-pay-12-75m-in-california-driver-privacy-settlement/

カリフォルニア州プライバシー保護庁の調査により、GMは2020年から2024年にかけて、数十万人のカリフォルニア州住民の氏名・連絡先・位置情報データ・運転行動データをデータブローカーのVerisk AnalyticsとLexisNexis Risk Solutionsに販売していたことがわかりました。

ニューヨーク・タイムズは「データは保険会社と共有され、保険料見直しに利用されていた」と報じていますが、これはワシントン州在住のユーザーの事例で、カリフォルニア州は保険料設定にあたり運転データの参照を禁止しているため、データ販売による保険料見直しの影響は受けなかったとみられます。

GM・ホンダ・起亜・ヒョンデなどのメーカーが運転データを明確な同意なく保険会社と共有していて保険料見直しに利用されているという指摘 - GIGAZINE

しかし、GMはデータブローカーにデータを販売することを一切通知せず、「取得したデータはコネクテッドカー向けのサポートサービス・OnStarの加入者に必要なサービスを提供するためのみに使用する」と示唆することで消費者を誤認させていたことがわかりました。

GMがユーザーの同意を取らずに運転データを勝手に販売し保険料が釣り上がっている実態が判明 - GIGAZINE

また、データ販売において、2023年にカリフォルニア州消費者プライバシー法(CCPA)に追加された目的制限とデータ最小化要件に違反していました。

裁判所による承認を前提として、GMは和解によって以下の内容の実行を求められます。

・1275万ドル(約20億円)の罰金支払い
・VeriskやLexisNexisなどのデータブローカーを含む消費者調査期間への運転データ販売を5年間停止
・消費者からの明確な同意がない限り、特定の限定的な内部利用を除いて、会社の保持する運転データを180日以内に削除すること
・VeriskとLexisNexisへ運転データ削除を要請
・OnStarを通じたデータ収集リスクを緩和・査定・明文化し、GMがCCPAに準拠していることを確認するのに必要な堅牢なプライバシープログラムを開発・維持する
・プライバシー評価を司法省、州司法長官、カリフォルニア州プライバシー保護庁に報告