Plus tôt cette année, la Fédération du commerce fédéral a infligé une amende sans précédent contre General Motors : une interdiction de cinq ans de vendre des données clients à des agences de rapport de consommateurs et des courtiers de données tiers. Pendant des années, GM avait recueilli des données sur les clients, comme la fréquence à laquelle ils conduisaient à vitesse excessive ou s'ils conduisaient la nuit, et les vendait aux courtiers pour générer des profils de risque pour les compagnies d'assurance. Plus souvent que pas, les conducteurs n'étaient pas conscients du degré auquel leurs données étaient collectées.

Beaucoup avaient accepté sans le savoir en s'inscrivant à un forfait de services connectés On Star, qui activait une fonction appelée Smart Driver qui collectait leurs données de conduite. GM partageait ensuite ces données avec deux courtiers de données, Lexis Nexis et Verisk, tous deux liés à l'industrie de l'assurance. Dans un rapport d'investigation phare de 2024 par The New York Times, certains conducteurs ont déclaré que leurs tarifs d'assurance avaient augmenté en raison de la collecte de données.

Le processus d'inscription était si confus que de nombreux propriétaires de véhicules n'avaient aucune idée que leurs données étaient partagées. Dans le cadre de l'accord avec la FTC, GM doit faciliter aux conducteurs la désactivation du suivi de localisation, ainsi que leur permettre d'accéder et de supprimer les données collectées par le constructeur automobile. Mais GM n'est pas le seul constructeur automobile à aspirer des données sur ses clients.

Une équipe de chercheurs du Mozilla Foundation a passé des mois à examiner les politiques de confidentialité de toutes les grandes entreprises automobiles pour un rapport sur lequel ils travaillaient en 2023. Leur conclusion : chacun d'eux avait une "terrible confidentialité et sécurité", a déclaré Jen Caltrider, qui a participé à la rédaction de l'étude. Ce n'est pas tout, mais les clients étaient contraints d'accepter des politiques chevauchantes pour la voiture, les services connectés, l'application smartphone et les services financiers à travers lesquels ils recevaient leur prêt — tous comprenant des dispositions de collecte de données.

Il y a eu suffisamment de preuves corroboratives à ce sujet. Consumer Reports a publié sa propre enquête l'année dernière qui a conclu que presque tous les constructeurs automobiles vendant des voitures aux États-Unis collectaient et partageaient de la même manière les données dites de comportement du conducteur avec d'autres entreprises et continuaient de le faire. Les voitures sont particulièrement problématiques par rapport aux téléphones car les contrôles de confidentialité sont moins intuitifs.

Un propriétaire de smartphone peut généralement trouver et ajuster ses paramètres de confidentialité. Avec un véhicule, la collecte de données est répartie sur plusieurs systèmes et politiques, ce qui rend beaucoup plus difficile pour les consommateurs de comprendre ce qui se passe. Cela ressemble à un libre-jouissance parce que les constructeurs automobiles collectent d'énormes quantités d'informations sans une grande surveillance publique.

Après que GM a été puni à la suite de l'enquête du Times, la question de la confidentialité des données et des voitures semble enfin attirer l'attention. Mais comme c'est souvent le cas, les décideurs politiques peuvent manquer le but dans la manière de s'y prendre. En décembre dernier, un trio de républicains de la Chambre a présenté le Data Rights for Information and Vehicle Electronics in Real-time, ou DRIVER Act.

Selon ces législateurs, le projet de loi réaffirme un principe fondamental : si vous possédez le véhicule, vous devriez posséder les données qu'il génère. Mais bien que le projet de loi donnerait aux propriétaires de véhicules un peu plus de contrôle sur leurs données, il permettrait également aux constructeurs automobiles de continuer à les collecter et à les vendre à des courtiers de données tiers, ce qui le rend inacceptable pour les défenseurs de la confidentialité. Comme le note Caltrider, les droits d'accès et de suppression ne sont pas la même chose que de prévenir la collecte excessive en premier lieu.