GM paga US$220M por vender datos de conductores

GM pagará US$220 millones a 36 estados: qué exige el acuerdo

General Motors aceptó pagar US$220 millones a una coalición de 36 estados para cerrar las acusaciones de que vendió ilegalmente datos privados de comportamiento de conducción y ubicación a corredores de datos. El acuerdo se anunció el jueves y llega más de dos años después de que un reportaje de The New York Times expusiera cómo GM y su servicio OnStar recolectaban, usaban y vendían geolocalización precisa y hábitos de manejo a terceros.

Para un founder, la cifra no es lo relevante. Lo relevante es la arquitectura del acuerdo: obliga a GM a obtener consentimiento expreso antes de recolectar o compartir datos de conducción y ubicación, y añade un requisito nuevo —una evaluación externa por parte de un tercero que verifique el cumplimiento del programa de privacidad.

Qué exige exactamente el acuerdo a GM

Los términos se alinean con acuerdos previos que GM alcanzó con California y con la Comisión Federal de Comercio (FTC) de Estados Unidos. Pero este pacto multiestatal va más lejos en un punto: la auditoría independiente.

• Consentimiento expreso: GM debe pedir autorización afirmativa antes de recolectar o compartir datos de comportamiento y ubicación.
• Minimización de datos: el fabricante debe reducir el volumen de datos de conducción que extrae de los usuarios.
• Evaluación de terceros: una firma externa audita el programa de privacidad, algo que no estaba en los acuerdos anteriores.
• Capacitación de concesionarios: GM se comprometió a reforzar la supervisión y el entrenamiento del personal de ventas para que no inscriba a clientes en programas de recolección de datos sin su aprobación.

Según el comunicado de la oficina del fiscal general de Washington, Nick Brown, quien co-lideró la coalición junto al fiscal de Oregon, Dan Rayfield, los términos son "significativamente más fuertes que cualquier otra resolución alcanzada con GM por esta conducta".

Cómo GM convirtió los datos de conducción en un negocio

El centro del caso es Smart Driver, una función gratuita dentro de las apps conectadas de GM que rastreaba y calificaba hábitos de manejo y uso del cinturón de seguridad. Según The Record, el programa operó entre 2016 y 2024 y enroló a millones de personas.

La mecánica que describe la demanda es la parte incómoda para cualquier empresa que monetice datos: GM habría prometido a los clientes que no compartiría su información con aseguradoras sin consentimiento afirmativo, y habría vendido esos datos a corredores de todos modos. Los corredores —LexisNexis Risk Solutions y Verisk Analytics— los transformaban en puntajes de conducción que las aseguradoras compraban para fijar primas.

El detalle más citado del caso: la recolección no siempre fue voluntaria. Según The Record, la mayoría de los clientes se enroló en el concesionario durante la compra, con tácticas de presión, y los empleados recibían bonos por inscribir clientes. Además, GM informó por error a más de 370.000 clientes que sus datos no estaban siendo monitoreados, y luego los desenroló en silencio.

El daño fue concreto. Temieka Clay, una conductora de Chevrolet Camaro, contó a la cadena WSB-TV que su prima de seguro se disparó un 80% después de que GM compartiera 603 registros de datos de su auto con corredores, incluyendo eventos de alta velocidad, aceleración y frenado brusco.

El precedente: California, la FTC y las demandas que siguen

Este acuerdo no llega solo. Es la pieza más reciente de una secuencia regulatoria que conviene entender:

• California: GM aceptó pagar US$12,75 millones para resolver acusaciones similares, según reportó The Verge. La oficina del fiscal general de California alegó que GM vendió datos a LexisNexis y Verisk entre 2020 y 2024 y obtuvo cerca de US$20 millones a nivel nacional con esas ventas, según recogió AOL. Fue la mayor sanción bajo la ley de privacidad de California (CCPA) hasta la fecha.
• FTC: en enero, la agencia finalizó una orden que prohíbe a GM y a OnStar compartir ciertos datos de consumidores. Según AOL, la orden bloquea la divulgación de geolocalización y comportamiento de conducción a agencias de reporte de crédito por cinco años, y exige consentimiento afirmativo por 20 años. También obliga a borrar los datos retenidos en un plazo de 180 días.
• Texas: el fiscal general Ken Paxton demandó a GM en 2024 y el caso sigue abierto. Busca un jurado y multas de hasta US$10.000 por infracción, según The Record.
• Otras acciones: Arkansas demandó a GM y OnStar en febrero de 2025 y Nebraska hizo lo propio en julio de 2025, según AOL.

El sector completo está bajo la lupa. En 2025, el fiscal general de Texas demandó a Allstate y su subsidiaria Arity, alegando que recolectaron y vendieron datos de ubicación y movimiento de más de 45 millones de viajes sin consentimiento adecuado, según TheZebra.com.

Por qué esto importa más allá de los autos

El caso de GM es la versión más visible de un problema que atraviesa toda la economía de datos. El contexto lo agrava: hay más de 470 millones de vehículos conectados en el mundo, más de 100 millones solo en Estados Unidos, y más del 93% de los vehículos nuevos vendidos en Norteamérica incluyen telemática embebida de fábrica, según TheZebra.com.

Y GM no está retrocediendo en conectividad: está añadiendo un asistente de IA personal a OnStar, su servicio de seguridad y asistencia en carretera de 30 años. Las cámaras del vehículo se conectarán al software para ofrecer vistas en vivo y grabaciones de seguridad. La compañía dijo que los clientes podrán decidir qué datos se comparten y que las grabaciones tienen límites de tiempo y están cifradas. Pero también admitió que quienes opten por no compartir datos tendrán acceso limitado a ciertas funciones.

Ese es el patrón que debería encender alarmas en cualquier startup: el consentimiento como moneda de cambio por funcionalidad. Si tu producto solo funciona cuando el usuario entrega datos sensibles, el diseño de ese intercambio es tu riesgo legal, no un detalle de UX.

¿Qué significa esto para tu startup?

La lección no es "no recolectes datos". Es que la recolección sin consentimiento claro ya tiene precio de mercado, y es alto.

1. Audita tu flujo de consentimiento hoy, no cuando llegue la carta. Pregúntate si el usuario entiende, en el momento de aceptar, qué datos entregas y a quién. El caso de GM se construyó sobre una promesa incumplida: la empresa dijo que no compartiría datos con aseguradoras sin permiso y lo hizo igual. La brecha entre tu política de privacidad y tu práctica real es exactamente donde vive el riesgo.

2. Aplica minimización de datos por diseño. El principio que California hizo valer —no puedes recolectar datos sensibles para un fin y luego monetizarlos para otro— es la nueva línea base regulatoria. Antes de agregar un campo de datos a tu producto, pregúntate si lo necesitas para la función que prometes. Si no, no lo recolectes. Borrar después es más caro que no recolectar.

3. Si monetizas datos, documenta la cadena completa. GM no cayó solo por vender datos: cayó porque no podía demostrar que los usuarios habían consentido esa venta específica. Si tu modelo de negocio incluye compartir datos con terceros, necesitas trazabilidad de punta a punta —quién dio el consentimiento, para qué fin y cuándo—. Esa documentación es tu defensa.

4. Trata el consentimiento como parte del producto, no del departamento legal. El caso muestra que las tácticas de venta agresivas (bonos por enrolar clientes, inscripción en el concesionario) se convierten en evidencia en tu contra. Si tu equipo comercial tiene incentivos para captar datos, tus incentivos están mal diseñados.

Conclusión

Los US$220 millones que GM pagará a 36 estados son la factura de haber tratado los datos de sus clientes como un activo monetizable antes que como una responsabilidad. El acuerdo no prohíbe recolectar datos de vehículos conectados: prohíbe hacerlo sin consentimiento expreso, sin minimización y sin auditoría externa.

Para cualquier startup que construya sobre datos de usuarios, el mensaje es directo: la era del consentimiento enterrado en la letra pequeña se está cerrando, y el costo de cerrarla mal ya tiene cifra. Diseña tu recolección asumiendo que un día tendrás que explicarla frente a un regulador.

Fuentes

• GM reaches $220M settlement over selling drivers' private data (fuente original)
• GM to pay $220 million to resolve claims it sold driving habits data
• GM settles with 36 states for selling driver data, agrees to $220 million fine and reforms
• Is your car sharing your data with insurers?
• GM's Data Privacy Scandal Shows Why Your Driving Data Became So Valuable