A Califórnia impõe um novo teste para a privacidade de carros conectados
A General Motors concordou com um acordo de US$ 12,75 milhões com agências de aplicação da lei da Califórnia sobre a coleta e venda de dados de motoristas, marcando um dos sinais estaduais mais claros até agora de que o negócio de carros conectados enfrentará limites mais rígidos quando consentimento e uso de dados se afastarem. O caso gira em torno de alegações de que a GM, por meio do programa OnStar, vendeu informações pessoais e comportamentais de centenas de milhares de californianos a corretores de dados sem conhecimento ou permissão adequados dos clientes.
O acordo, anunciado pelo escritório do procurador-geral da Califórnia, Rob Bonta, vai além de uma penalidade financeira. A GM também concordou em parar de vender dados de direção para agências de relatórios ao consumidor por cinco anos, excluir dados de motoristas retidos em até 180 dias, a menos que obtenha consentimento do cliente, e pedir à LexisNexis Risk Solutions e à Verisk Analytics que excluam os dados que receberam. Na prática, essa combinação torna isso mais do que uma multa. É uma desmontagem, determinada por reguladores, de um pipeline de compartilhamento de dados que, segundo eles, não deveria existir na forma alegada.
O que a Califórnia diz que aconteceu
De acordo com a descrição do acordo citada no texto-fonte fornecido, a GM vendeu nomes, informações de contato, dados de geolocalização e dados de comportamento ao dirigir coletados por meio do OnStar. A Califórnia alega que a empresa ganhou cerca de US$ 20 milhões com essas vendas. A preocupação subjacente não é apenas que a informação circulou entre empresas, mas que os consumidores não foram informados de forma significativa e não consentiram com um uso secundário que poderia afetá-los de maneiras relevantes.
O contexto político e regulatório importa aqui. Reportagens de 2024 já haviam atraído atenção nacional para montadoras que compartilhavam informações de comportamento ao dirigir com ecossistemas ligados ao seguro, levantando temores de que dados telemáticos pudessem alimentar decisões de preço ou pontuação de risco. Na Califórnia, o escritório de Bonta disse que os dados em questão provavelmente não aumentaram os prêmios de seguro porque a lei estadual proíbe as seguradoras de usar dados de direção para definir tarifas. Ainda assim, a posição do estado é que a suposta venda em si violou expectativas de privacidade e as regras de minimização de dados da Califórnia.
Essa distinção é importante. Uma violação de privacidade não precisa resultar em aumento mensurável de prêmio para se tornar um grande problema de fiscalização. Reguladores estão cada vez mais focados em saber se as empresas coletaram mais do que o necessário, retiveram os dados por mais tempo do que o devido ou os reaproveitaram de maneiras que os consumidores não esperariam razoavelmente. O acordo com a GM se encaixa exatamente nesse quadro.
Por que este caso vai além de uma montadora
O problema mais amplo é que os veículos modernos se tornaram plataformas de sensores sobre rodas. Serviços conectados podem capturar localização, padrões de viagem, comportamento ao dirigir e outras telemetrias que geram valor para navegação, segurança, manutenção e resposta a emergências. Mas os mesmos sistemas também podem gerar um fluxo monetizável de dados do consumidor. Quando essas informações passam a corretores de dados, empresas de análise ou intermediários próximos ao crédito, a linha entre prestação de serviço e vigilância fica muito mais difícil de defender.
A ação da Califórnia sugere que os reguladores já não se satisfazem com divulgações vagas, opt-ins enterrados ou permissões amplas vinculadas a ecossistemas complexos de software veicular. Se uma empresa diz uma coisa aos clientes sobre o tratamento dos dados e faz outra, essa diferença por si só pode se tornar o núcleo da responsabilidade. A declaração de Bonta no material de origem destacou exatamente esse ponto, alegando que a GM garantiu aos motoristas que não venderia os dados enquanto fazia isso mesmo assim.
Para a indústria automotiva, isso cria um desafio prático de conformidade. As montadoras dependem cada vez mais de modelos de negócio definidos por software e serviços digitais recorrentes. Essas estratégias muitas vezes assumem que os dados gerados pelo veículo são um ativo estratégico. Mas, se os reguladores exigirem limites de consentimento mais rígidos e janelas de retenção mais curtas, a economia desses dados pode mudar rapidamente. Um conjunto de dados vale menos quando os consumidores podem recusá-lo, quando as empresas precisam excluí-lo prontamente e quando o compartilhamento subsequente se torna juridicamente arriscado.
A verdadeira mensagem do acordo
A restrição de cinco anos sobre vendas para agências de relatórios ao consumidor pode ser especialmente influente. Ela mira uma categoria sensível de uso subsequente, em que os dados podem moldar decisões que parecem menos publicidade e mais acesso, preço ou classificação de risco. Mesmo que a Califórnia tenha dito que suas regras de seguro provavelmente bloquearam aumentos de tarifa a partir desse fluxo específico de dados, o estado ainda tratou o arranjo como sério o suficiente para justificar medidas estruturais.
Essa medida também vem depois de a GM ter firmado um acordo anterior com a Comissão Federal de Comércio sobre vendas de dados, com uma ordem final que proibiu GM e OnStar de vender certos dados para agências de relatórios ao consumidor. Juntas, as ações federal e da Califórnia mostram convergência, não duplicação. Washington e Sacramento não estão apenas punindo comportamentos passados; estão estreitando o modelo operacional aceitável para negócios de dados de carros conectados.
Os consumidores não devem assumir que este é apenas um problema da GM. A indústria de veículos conectados passou anos ampliando o que os carros podem observar, armazenar e transmitir. Essa tendência provavelmente não vai se reverter. O que pode mudar é a tolerância regulatória para a intermediação opaca de dados sobre essas capacidades. As empresas enfrentarão pressão para tornar o consentimento explícito, específico para cada finalidade e revogável, enquanto provam que as regras de retenção e compartilhamento correspondem ao que foi informado aos motoristas.
O que vem a seguir
Para a GM, o caminho imediato é operacional: cumprir os prazos de exclusão, interromper as vendas restritas e reconstruir a confiança sobre como seus serviços conectados lidam com dados pessoais. Para os concorrentes, a lição é auditar os caminhos dos dados agora, antes que reguladores estaduais façam isso por eles. O acordo mostra que, mesmo quando o dano financeiro direto é contestado ou limitado, a mera discrepância entre coleta, divulgação e revenda pode desencadear penalidades significativas.
Para formuladores de políticas, a Califórnia adicionou mais um marco na governança em evolução dos produtos digitais que atravessam o mundo físico. Carros já não são apenas dispositivos de transporte. São plataformas de dados com sensores, assinaturas e relações com terceiros. Essa realidade eleva o risco da lei de privacidade porque as informações envolvidas são íntimas e comportamentais, frequentemente ligadas a rotinas diárias, locais e padrões que as pessoas não conseguem esconder facilmente.
O acordo com a GM não resolve todas as questões sobre privacidade em carros conectados, mas esclarece uma coisa: os reguladores esperam cada vez mais que as montadoras tratem a telemetria como dados sensíveis do consumidor, e não como um subproduto pouco governado. Essa mudança pode remodelar a forma como os negócios de software automotivo são projetados, comercializados e monetizados nos próximos anos.
Este artigo é baseado em reportagens da TechCrunch. Leia o artigo original.
Originally published on techcrunch.com
