// analyse
GM, OnStar et le commerce des données de conduite
Sujets et garanties de lectureProfondeur 3 · 3 niveaux détectés
Garanties de lecture
Niveaux de preuve
Profondeur 3 : source liée · 3 niveaux détectés
Sommaire et notions9 étapes · 2 notions
Analyse complète
Imaginons un trajet ordinaire. Une voiture quitte un parking le matin. Son conducteur rejoint une voie rapide, freine un peu fort à la sortie suivante et se gare devant son bureau. À bord, les capteurs nécessaires à la conduite et les services connectés produisent des informations très différentes : vitesse, accélération, localisation, état technique. La télématique couvre les échanges à distance de ces informations. S05 Une partie peut rester dans le véhicule. Une autre peut être transmise à un service distant, selon son architecture et ses réglages. La distinction change tout lorsque ces observations commencent à circuler entre entreprises.
Aux États-Unis, cette circulation est au cœur d’une succession de procédures visant General Motors et OnStar, son service de connectivité automobile. Le 29 octobre 2026, une coalition de 36 procureurs généraux a annoncé un accord prévoyant un paiement de 220 millions de dollars aux États participants. L’enquête porte sur des données de conduite vendues à des courtiers travaillant pour le marché de l’assurance. Le montant annoncé relève du règlement de cette procédure ; il reste distinct des recettes tirées de la vente des données. S11S12
L’affaire concerne notamment Smart Driver, une fonction qui donnait des conseils de conduite. Les autorités reprochent à GM des inscriptions et des transmissions de données insuffisamment expliquées aux automobilistes. Une ordonnance de l’autorité fédérale de protection des consommateurs, la Federal Trade Commission (FTC), et un accord californien avaient déjà précédé cette annonce. Les pièces examinées décrivent des accords de règlement et des allégations attribuées aux autorités. S01S02S03S11
Méthode et périmètre
Schéma qualitatif de relations commerciales historiques, sans largeur proportionnelle à un volume ou à une valeur. Les contrats Verisk et LexisNexis portent sur des champs différents. Les usages et conséquences chez un assureur précis demandent des pièces propres ; aucun flux français identique n’est établi ici.
Le moment où un freinage devient un produit
Pour un constructeur, un freinage brusque est d’abord une observation technique. Pour un prestataire spécialisé, des séries de freinages peuvent devenir une variable dans un modèle qui cherche à classer des comportements au volant. Pour un assureur, un score pourrait devenir un élément d’appréciation du risque, dans la mesure où le cadre légal l’autorise et où ses méthodes le justifient. À chaque transformation, le destinataire, la finalité et les droits d’accès changent.
C’est précisément ce qu’éclaire le dossier GM. La FTC décrit un parcours d’inscription à OnStar et à la fonction Smart Driver qu’elle juge trompeur, ainsi que des ventes de données de géolocalisation et de comportement sans consentement éclairé suffisant. L’ordonnance finale, émise le 13 janvier 2026 et annoncée le lendemain, interdit pendant cinq ans la communication des données de conduite et de localisation visées à des agences établissant des rapports sur les consommateurs. D’autres dispositions portent sur le consentement, l’accès, l’effacement et le choix de désactiver la collecte ; elles s’inscrivent dans une ordonnance dont la durée générale est de vingt ans. Les exceptions prévues pour certains traitements répondant à une demande précise du conducteur concernent ces autres obligations et laissent subsister l’interdiction de cinq ans. S01S02
Le dispositif commercial avait deux acheteurs identifiés : Verisk et LexisNexis Risk Solutions. Selon la plainte californienne reprise par les autorités, ces entreprises achetaient les observations afin de construire des produits évaluant la conduite et susceptibles d’être proposés à des assureurs. Le ministère de la Justice californien indique que GM aurait reçu environ 20 millions de dollars à l’échelle nationale de ces ventes. Il s’agit des recettes cumulées rapportées pour les ventes visées, à l’échelle nationale. S03S04
Méthode et périmètre
Plainte californienne du 8 mai 2026, §§14–15, pages 6–7. Les deux flux comportent des identifiants et des observations de conduite. La figure décrit les clauses et transmissions alléguées dans la plainte ; elle ne constitue pas un audit technique des fichiers. L’absence de GPS précis ne désidentifie pas un fichier comportant nom et adresse.
Les deux flux n’étaient pas identiques. La plainte californienne, relue pour cette analyse, décrit deux contenus différents : le contrat avec Verisk prévoyait des données d’identité et de conduite en excluant le GPS précis. Selon la même plainte, LexisNexis recevait aussi la localisation précise, alors même que celle-ci restait hors du calcul de ses notes de conduite. Cette précision est centrale. La donnée obtenue par un fournisseur, celle qu’il utilise dans son modèle et le produit qu’il vend ensuite sont trois objets distincts. S04
Relier les transferts à une décision d’assurance
Un transfert commercial et une décision d’assurance correspondent à deux étapes différentes. Les dossiers documentent les ventes à deux fournisseurs, leur destination commerciale et des répercussions alléguées sur certains consommateurs américains. Pour attribuer une hausse de prime à ces données dans un cas précis, il faut suivre le rapport transmis, son utilisation par l’assureur et les autres facteurs de tarification. La liste complète des assureurs clients et leurs modèles restent hors des pièces étudiées. S01S02S03
La Californie fournit même un contre-exemple instructif. Son enquête a constaté que les assureurs n’avaient pas demandé aux courtiers de rapports concernant les conducteurs californiens ; elle précise que les conducteurs de cet État n’avaient pas subi de majoration de prime attribuable aux ventes de GM. La réglementation locale limite l’emploi des données de conduite dans la tarification. La vente reprochée au constructeur demeure au cœur de la procédure, indépendamment de l’absence de hausse de tarif identifiée dans cet État. S03 S04
L’affaire montre donc deux risques qui méritent d’être étudiés séparément. Le premier concerne la confidentialité : une donnée personnelle peut quitter son contexte d’origine et être conservée chez un autre acteur. Le second est économique : une caractéristique extraite du véhicule peut, là où elle est autorisée et réellement utilisée, influencer un score ou une décision commerciale. Le transfert commercial et son incidence sur un tarif demandent donc des pièces différentes.
La chronologie d’une rupture de confiance
Méthode et périmètre
Frise ordinale : les espacements servent la lecture et ne représentent pas les durées. Arrêt au 20 mars 2024 selon le communiqué GM du 24 avril ; annonce FTC le 16 janvier 2025 ; ordonnance émise le 13 janvier 2026, annoncée le 14 ; accord californien annoncé le 8 mai ; accord multistate annoncé le 29 octobre ; date d’effet prévue au 30 novembre, encore future au 31 octobre. Les paiements annoncés ne sont pas présentés comme exécutés.
GM indique avoir cessé le partage avec LexisNexis et Verisk le 20 mars 2024, dans un communiqué publié le 24 avril. La FTC a annoncé sa procédure le 16 janvier 2025, puis annoncé le 14 janvier 2026 l’ordonnance finale émise la veille. Le 8 mai 2026, la Californie annonçait un accord prévoyant 12,75 millions de dollars de pénalités civiles, ainsi que des restrictions sur les ventes et des obligations relatives à la gouvernance et à l’effacement de données. Le chiffre de 12,75 millions désigne la pénalité civile prévue par l’accord californien, distincte des quelque 20 millions de recettes commerciales rapportées. S01S02S03S04S13
L’annonce du 29 octobre 2026 ajoute un règlement de 220 millions de dollars avec la coalition de procureurs généraux. La copie de l’accord examinée prévoit une prise d’effet le 30 novembre 2026, puis un paiement aux États dans les trente jours suivants. Ce calendrier est encore à venir à la date de cette analyse, le 31 octobre. L’accord comporte également des obligations de protection des données et de contrôle des inscriptions réalisées en concession ; GM y règle les allégations sans admission de responsabilité. Les trois montants cités décrivent donc des opérations et des procédures distinctes. S11S12
La chronologie évite une autre erreur : présenter les transferts révélés comme une activité toujours en cours. Les faits visés appartiennent à une période historique. L’enjeu contemporain réside dans les modèles d’affaires, les obligations de contrôle et la possibilité technique de répliquer une chaîne similaire avec d’autres acteurs.
En Europe, une autre architecture de droits
En France, l’analyse part d’un cadre européen. Le règlement général sur la protection des données, ou RGPD, encadre le traitement des données personnelles. Les règles dites ePrivacy concernent notamment l’accès aux informations présentes dans les équipements terminaux, parmi lesquels peut figurer le véhicule connecté. Les lignes directrices du Comité européen de la protection des données recommandent de traiter autant que possible les informations localement et de limiter les transferts de données identifiables. L’analyse de licéité dépend de la finalité, de la base juridique, de la nécessité du traitement et des circonstances précises. S07
En juin 2026, la CNIL, l’autorité française de protection des données personnelles, a publié une recommandation sur les données de localisation des véhicules connectés. Elle rappelle leur caractère très intrusif : les déplacements peuvent révéler des lieux fréquentés et des habitudes personnelles. Le document concerne les particuliers propriétaires ou locataires et distingue les obligations juridiques, les recommandations et les bonnes pratiques. Il traite notamment de la minimisation, des durées de conservation, de la sécurité et des changements d’utilisateur. Le cadre des véhicules de salariés relève d’une analyse distincte. S05S06
Depuis le 12 septembre 2025, le Data Act européen s’applique et organise, sous conditions, des droits d’accès et de partage concernant les données produites par les produits connectés, dont les automobiles. Le texte ouvre des possibilités pour des réparateurs et prestataires indépendants, dans le respect des règles de protection des données personnelles. Les orientations automobiles publiées par la Commission le même jour expliquent cette articulation. Le droit d’accès vise les données brutes ou prétraitées aisément disponibles ; les orientations citent les scores de conduite parmi les exemples de données inférées ou dérivées, issues d’analyses apportant des informations nouvelles et exclues du champ de ce chapitre du Data Act. L’observation de départ et l’évaluation commerciale conservent donc des régimes distincts. S08S09
Une autre date compte pour les véhicules récents : l’obligation de conception facilitant l’accès aux données concerne les produits connectés et services associés mis sur le marché après le 12 septembre 2026. Ce calendrier spécifique s’ajoute à l’application générale du règlement depuis septembre 2025. S14
Adapter la collecte au besoin du service
Une application d’assistance en cas de panne peut avoir besoin de la position du véhicule au moment de l’appel. Une fonction de diagnostic peut demander un code de défaut et le kilométrage. Un service de tarification fondé sur les kilomètres peut avoir besoin d’un total parcouru. La collecte d’un historique précis de tous les déplacements pour accomplir chacune de ces tâches demanderait une justification bien différente.
Cette réflexion dépasse le consentement affiché sur un écran. Les interfaces doivent rendre lisibles les destinataires, les finalités et la portée des choix. Un automobiliste peut également demander l’accès aux données personnelles pertinentes et examiner les options de désactivation et d’effacement applicables, en tenant compte des fonctions de sécurité qui pourraient être affectées. La CNIL insiste sur la nécessité de gérer les données lors d’un changement de propriétaire ou d’utilisateur. S05S06
Les contrats à examiner pour une enquête en France
La prochaine étape d’une enquête sur la France serait contractuelle : identifier les fabricants et fournisseurs de télématique actifs sur le marché, demander leurs catégories exactes de destinataires, confronter leurs politiques de confidentialité aux flux techniques et solliciter les assureurs sur les variables de tarification effectivement employées. Il faudrait enfin établir si des données vendues ont joué un rôle mesurable dans une décision individuelle. Cette dernière étape permettrait de relier les flux techniques à leurs effets sur les automobilistes.
Le dossier GM montre combien une fonction utile peut alimenter une économie moins visible. Il pose une question d’une simplicité embarrassante : lorsqu’une voiture devient une source permanente d’informations, qui peut décider de la destination de ces informations, et comment le conducteur peut-il contrôler cette décision ?
Méthode. Enquête documentaire arrêtée au 31 octobre 2026, heure de Paris. Plaintes, ordonnances, accords publiés et recommandations institutionnelles sont distingués selon leur statut. Les faits contestés restent attribués aux autorités ; les déclarations de GM sont présentées comme telles. Le trajet d’ouverture est une illustration narrative. Les schémas exposent des relations et des calendriers, sans données quantitatives inventées. L’image d’ouverture est une illustration conceptuelle générée pour cet article. L’analyse française porte sur les droits et les pièces à examiner.
Pour prolonger la lecture
Notre analyse des acheteurs de données personnelles et de leurs contrats détaille la distinction entre contenu livré et produit commercialisé. Ce nouveau volet ajoute l’accord annoncé le 29 octobre et les droits propres aux véhicules connectés. S10
Sources et références
Documents consultés le 31 octobre 2026. Chaque notice distingue le statut du document, le périmètre utilisé et les limites de l’interprétation.
- FTC Finalizes Order Settling Allegations that GM and OnStar Collected and Sold Geolocation Data Without Consumers’ Informed Consent
Annonce de l’ordonnance finale et synthèse des restrictions imposées à GM et OnStar.
Passages et périmètre
Introduction et liste des obligations ; publication du 14 janvier 2026.
Communiqué de l’autorité poursuivante. Les accusations sont réglées par accord ; la portée exacte résulte de S02.
- General Motors LLC., et al., In the Matter of : dossier 2423052, C-4828
Dossier FTC C-4828 : plainte et ordonnance finale émise le 13 janvier 2026.
Passages et périmètre
Ordonnance §§I–II, pages 5–6 ; §§VII–X, pages 8–10 ; §XVI, page 13. Plainte finale §§46–48 et 57.
L’interdiction de cinq ans subsiste malgré les exceptions de la section II. La durée générale de vingt ans peut être prolongée par une action ultérieure pour violation. Accord sans admission générale des allégations.
- When It Comes to Data Privacy, Consumers Must Be in the Driver’s Seat: Attorney General Bonta, Partners Secure $12.75 Million General Motors Privacy Settlement
Accord californien annoncé le 8 mai : pénalité civile de 12,75 millions de dollars et résultats de l’enquête.
Passages et périmètre
Communiqué, sections de contexte et obligations ; projet de jugement §§30 et 40. Ventes visées de 2020 à 2024.
Le communiqué soumet l’accord à l’approbation du tribunal. La copie publiée porte la mention « proposed » et des lignes judiciaires vierges. Les 20 millions de recettes rapportées ont un périmètre national.
- The People of the State of California v. General Motors LLC and OnStar LLC : Complaint for Injunction, Civil Penalties, and Other Equitable Relief
Plainte originale : données et contrats Verisk/LexisNexis, recettes rapportées et commandes des assureurs.
Passages et périmètre
Paragraphes 12–15, pages 6–7 ; paragraphe 19, page 8. Document déposé le 8 mai 2026.
Allégations de l’autorité ; les contrats privés intégraux restent hors des pièces étudiées. Le contrat Verisk exclut le GPS précis tout en conservant des identifiants ; cette clause ne constitue pas un audit technique des livraisons.
- Véhicules connectés : la CNIL publie sa recommandation sur l’utilisation des données de localisation
Recommandation finale sur l’utilisation des données de localisation des véhicules connectés.
Passages et périmètre
PDF de 60 pages : pages 4–5, 8–10, 13–28 et 57–59. Publication du 30 juin 2026.
Particuliers propriétaires ou locataires ; véhicules de salariés exclus de ce document. Obligations juridiques, recommandations et bonnes pratiques sont distinguées. Le caractère personnel dépend de l’identification possible.
- Véhicules connectés : dans quelles conditions vos données de localisation peuvent être utilisées ?
Explication destinée aux automobilistes : collecte limitée, réglages, profils et changement d’utilisateur.
Passages et périmètre
« Limiter les données collectées », outils proposés, droits et bons réflexes ; 30 juin 2026.
Les droits s’exercent dans leurs conditions légales. La désactivation d’un service doit être examinée avec ses conséquences sur les fonctions concernées.
- Guidelines 01/2020 on processing personal data in the context of connected vehicles and mobility related applications
Lignes directrices européennes, version 2 adoptée le 9 mars 2021 : traitements locaux, ePrivacy et assurance à l’usage.
Passages et périmètre
Pages 6–8, 18–20 et 27–29 ; paragraphes 13–16, 73–78 et 106–120.
Orientations juridiques, distinctes d’une enquête sur les pratiques actuelles des assureurs français. Le consentement relatif à l’accès au terminal et la base juridique RGPD appellent des analyses distinctes.
- Guidance on vehicle data, accompanying the Data Act
Orientations automobiles accompagnant le Data Act, C(2025) 6119 final du 12 septembre 2025.
Passages et périmètre
PDF de 13 pages : §§4–8, 25–38 et 40–46 ; §29 sur les traitements, §35(d) sur les scores.
Orientations non contraignantes. Le chapitre II vise les données brutes ou prétraitées aisément disponibles ; un calcul simple ne suffit pas à rendre une donnée « dérivée ». Les analyses apportant des informations nouvelles ont un traitement distinct.
- Data Act
Page de la Commission sur le champ du Data Act et son application générale depuis le 12 septembre 2025.
Passages et périmètre
Contexte, accès aux données et réparation ; page actualisée le 2 juillet 2026.
La date d’application est distincte de la date de mise à jour de cette page. Les bénéfices présentés par la Commission constituent des objectifs, à distinguer de baisses de prix observées.
- Données personnelles : les acheteurs et leurs contrats
Analyse l0g antérieure sur les acheteurs de données personnelles et leurs contrats.
Passages et périmètre
Volet consacré à GM, Verisk et LexisNexis ; publication du 19 septembre 2026.
Lien de continuité éditoriale. Les faits juridiques et contractuels de cette nouvelle analyse ont été revérifiés dans les sources primaires.
- Attorney General James Secures $220 Million from General Motors for Selling Drivers’ Private Data
Accord de 220 millions de dollars annoncé le 29 octobre 2026 par une coalition de 36 procureurs généraux.
Passages et périmètre
Introduction, ventes aux courtiers, contrôles des concessions et paiement aux États participants.
Communiqué de l’autorité poursuivante. Le montant annoncé ne confirme pas un paiement déjà effectué ; le calendrier contractuel figure dans S12.
- Commonwealth of Pennsylvania v. General Motors LLC, General Motors Holdings LLC and OnStar LLC : Consent Petition for Final Decree et complaint, case 261004104
Texte officiel du règlement multistate : nature du paiement et calendrier prévu.
Passages et périmètre
Consent decree : page 1 ; §17, page 7 ; §§31–69, pages 9–28 ; §71, page 30 ; signatures judiciaires, page 36.
La copie prévoit une prise d’effet au 30 novembre 2026 et le paiement aux États dans les trente jours suivants. Lignes judiciaires vierges dans le document publié ; absence d’admission des faits ou de responsabilité. Le montant ne désigne pas une indemnisation directe des conducteurs.
- Based on customer feedback, GM is discontinuing Smart Driver
Déclaration de GM sur l’arrêt du partage avec LexisNexis et Verisk et l’abandon de Smart Driver.
Passages et périmètre
Communiqué du 24 avril 2024 ; rubrique sur la fin des partenariats ; arrêt du partage déclaré au 20 mars 2024.
Source de la position de GM. Cette déclaration ne constitue pas une vérification technique indépendante de l’arrêt effectif.
- Regulation (EU) 2023/2854 (Data Act), Articles 1, 3–5 and 50
Règlement européen sur les données : champ, articulation avec le RGPD et calendrier spécifique de conception.
Passages et périmètre
Articles 1, 3–5 et 50 ; Journal officiel du 22 décembre 2023.
Application générale au 12 septembre 2025 ; article 3(1) applicable aux produits connectés et services associés mis sur le marché après le 12 septembre 2026. Le RGPD conserve ses exigences lorsque l’utilisateur du produit et la personne concernée diffèrent.
// l’hebdo l0g
N° 13 · 25 oct.Les dossiers à retenir, leurs limites et les prochaines vérifications.
Lire la revue ↗Cet article ne constitue en aucun cas un conseil en investissement.
// historique des révisions
- publication
- révisionaucune révision publiée
Les corrections substantielles suivent la politique de correction et sont consignées dans le changelog éditorial.
$ cd ..