案例解读 | Nebraska AG起诉通用汽车未经同意非法收集和出售敏感驾驶数据

案件背景与核心问题

2025年7月8日，美国内布拉斯加州总检察长（Nebraska AG）宣布，已向兰开斯特县地区法院对通用汽车有限责任公司（以下简称“通用汽车”）及其子公司 OnStar LLC 提起诉讼，指控两家公司在未获得车主知情同意的情况下，非法收集、处理并出售州内居民的敏感驾驶数据，涉嫌违反《内布拉斯加州消费者保护法》和《统一欺骗性贸易行为法》。

通用汽车通过其远程信息系统收集并出售了大量汽车驾驶数据，包括但不限于虚拟钥匙、行程ID、元素时间戳、事件代码、元素代码及元素值、GPS相关信息（如过时标识、方向、水平定位误差估值、海拔、时间、纬度、经度及位置时间偏差）、车辆速度信息（如当前车速、车速有效性标识、车速变化率、正向车速变化标识）、驾驶员安全带状态、发动机相关数据（如怠速运行支持标识、怠速运行时间总计、PTO运行时间及总运行支持标识、发动机运行支持标识及运行时间总计）、总燃油使用量和电能总消耗、里程表读数、点火系统电源模式、急加速与急刹车状态、熄火和点火状态、以及车辆时速是否超过或低于80英里等多项指标。

根据诉状，通用汽车在其车辆中预装了远程信息处理系统，持续记录车速、安全带使用情况、驾驶行为和定位信息。相关数据被打包出售给第三方数据经纪商，用于生成所谓“驾驶评分”（Driving Scores），再提供给保险公司作为调整保费或拒保依据，但是消费者对此并不知情。

各项指控及其法律依据

Nebraska AG列举的通用汽车的主要违法行为包括：

• 通用汽车在销售环节对消费者进行误导，歪曲OnStar提供服务的性质与范围；

• 消费者被误导认为注册 OnStar 是获取基本安全功能的必要前提；

• 通用汽车未能充分披露，其移动应用程序或联网车辆服务的注册将授权其收集和出售详尽的个人数据；

• 经销商员工在未适当披露，甚至在完全未获同意的情况下注册客户账户，并因此获得激励。

诉讼请求

• 确认被告违反了《消费者保护法》第59-1602条及《统一欺骗性贸易行为法》第87-302条、第87-303条；

• 责令被告就每一项违反《统一欺骗性贸易行为法》（UDTPA）与《消费者保护法》（CPA）的行为分别支付2,000美元的民事罚金；

• 永久禁止被告及其代理人、雇员及其他相关人员再次从事类似违法行为；

• 责令被告退还因违法行为所获的全部款项；

• 责令被告支付本案产生的全部诉讼费用及律师费。

合规要求

近期，美国内布拉斯加州总检察长起诉通用汽车公司（GM）及其旗下数据服务公司OnStar，指控其在未获得用户明确知情同意的情况下，系统性地向第三方（包括数据经纪商和保险公司）出售数千万用户的驾驶数据和个人信息，涉嫌欺骗性商业行为与显失公平的交易行为。该事件的核心在于：数据收集范围不透明、数据共享环节用户知情同意的缺失。

企业应高度重视用户授权机制的合法合规，避免默认勾选、预置同意或模糊提示，确保所有个人信息采集均基于用户主动明确同意。本案中，通用汽车因未经明确同意收集出售驾驶数据、发布误导隐私政策，被指控违反了内布拉斯加州统一欺骗性贸易行为法相关规定。为此，授权界面应清晰告知数据采集目的和范围，禁止误导或隐瞒，同时严禁销售或客服在用户不知情下强制或诱导开通服务，且须完整保存用户授权记录，便于审计和纠纷处理。

在与保险公司及其他第三方合作时，企业应以书面形式明确数据使用的目的和范围，严禁将用户数据用于保费调整、拒保等不利于消费者的决策，确保合作的透明和公平。通用汽车在本案中隐瞒数据用途，诱导用户下载相关软件，建立复杂不透明的数据交易体系，导致显失公平。因此，企业应向用户公开披露数据合作模式及流转环节，保障用户的知情权和控制权，提供便捷的撤回授权和异议处理渠道，尊重用户选择。

在协议中明确限定数据类型、处理方式和使用范围，禁止未经脱敏的原始数据被二次转售或超范围使用。本案中，通用公司未经脱敏将原始驾驶数据直接传输给第三方，缺乏对数据再加工的限制，存在欺骗和误导，违反了UDTPA第115条及内布拉斯加州消费者保护法（CPA）相关规定。企业应优先采用脱敏或匿名化数据，以降低隐私风险。同时，应建立第三方合规评估和定期审计机制，确保合作方严格履行数据保护义务，强化对数据流转链条的透明管理，防止过度处理。

销售流程中，企业应加强对经销商和销售团队的合规培训，禁止任何形式的强制或诱导开通服务行为，确保用户授权真实、自愿且可追溯。后台系统应保存完整的授权路径和操作记录，支持授权行为的真实还原和核查，并建立有效的投诉与监督机制，及时纠正违规行为，维护企业声誉和用户信任。

01

精读《网络数据安全管理条例》

环球企业全球化指南系列

美国网络安全与数据跨境监管观察

“数据+”各专题年度回顾与未来展望

网络数据安全和个人信息保护：构建安全屏障，筑牢合规之基

数据跨境流动：探索安全、合规的传输机制

算法与人工智能：紧追时代，拥抱重塑未来的力量

数据要素市场建设：释放数据价值，驱动经济发展

未成年人保护：守护祖国花朵，共建清朗网络空间

网络暴力防范：倡导文明上网，共建和谐网络社区

汽车及出行行业合规：识别、评估与应对，打好合规持久战

金融行业合规：把握关键法律动向，构建合规金融圈

企业ESG体系构建：塑造可持续竞争力的关键路径