Contexte juridique
Le groupe General Motors a accepté de payer 220 millions de dollars afin de régler les accusations de 36 procureurs généraux américains. La plainte reprochait à GM d’avoir commercialisé, sans consentement explicite, des informations issues du programme Smart Driver, désormais interrompu en 2024. Cette résolution s’ajoute à un précédent accord de 12,75 millions de dollars conclu avec la Californie.
Fonctionnement du programme Smart Driver
Smart Driver collectait, via les capteurs embarqués, des paramètres tels que l’accélération, le freinage et la longueur des trajets. Ces données brutes étaient agrégées puis transférées à des courtiers en données. Les courtiers les revendaient à des assureurs, qui les exploitaient pour ajuster les primes d’assurance automobile. Le processus de transmission s’appuyait sur des flux télématiques standard, sans chiffrement dédié ni mécanisme d’anonymisation déclaré.
Analyse des impacts sur la vie privée et les assurances
La vente de ces métriques de conduite constitue une violation du principe de consentement éclairé. Les conducteurs n’étaient pas informés de leur inscription au programme, ni de la destination finale des données. En pratique, l’absence de consentement explicite a permis aux assureurs d’utiliser des profils comportementaux pour augmenter les tarifs, créant ainsi un risque de discrimination tarifaire basé sur le style de conduite. Le manque de transparence sur les protocoles de sécurisation des flux télématiques augmente également la surface d’exposition aux interceptions ou aux altérations de données.
Mesures correctives et limites du règlement
Le règlement impose à GM de limiter la collecte de données et d’obtenir un consentement explicite avant toute nouvelle acquisition d’informations. Toutefois, le texte ne détaille pas les critères techniques de limitation (par ex. fréquence d’échantillonnage, seuils de granularité) ni les standards de chiffrement à appliquer. L’absence de mécanismes de vérification indépendante laisse une marge d’interprétation qui pourrait réduire l’efficacité de la contrainte. De plus, le paiement de l’indemnité ne garantit pas la restitution ou la suppression des données déjà diffusées aux tiers.
