GM paga US$220M por vender datos de conductores

GM pagará US$220 millones por vender los datos de conducción de sus clientes

General Motors pagará US$220 millones para cerrar las acusaciones de una coalición bipartidista de 36 fiscales generales estatales —35 estados más el Distrito de Columbia— que sostenían que la automotriz vendió datos de conducción de sus clientes a corredores de datos que, a su vez, los revendieron a aseguradoras. El programa en cuestión, OnStar Smart Driver, está descontinuado desde 2024.

Para cualquier founder que construye sobre datos de usuarios —telemetría, IoT, wearables, apps de consumo— el caso importa menos por la cifra que por el mecanismo: el consentimiento se capturaba en un punto que la empresa no controlaba, con un incentivo económico para maximizar inscripciones. Y eso es un fallo de arquitectura, no un accidente.

¿Qué datos se recogieron y quién los terminó usando?

Smart Driver nació en 2016 como una herramienta para medir el historial de seguridad al volante. La automotriz lo presentaba como un sistema para que los padres monitorearan a sus hijos adolescentes o para que cualquier conductor midiera sus hábitos. La oficina de la fiscal general de Connecticut calculó que más de 10 millones de personas en Estados Unidos estuvieron inscritas en el programa entre 2016 y 2024, según recoge Auto Connected Car.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El detalle de lo que salía del vehículo es lo que convierte esto en un caso de privacidad y no en una multa administrativa:

Número de viajes realizados y hora de inicio y fin de cada trayecto.
Frenadas bruscas y aceleraciones rápidas, es decir, eventos de conducción registrados por el acelerómetro.
Excesos de velocidad y puntos de geolocalización de alta resolución.

El fiscal general de Washington, Nick Brown, lo resumió así al anunciar el acuerdo: las aseguradoras tenían información que mostraba cuántas veces una persona conducía, cuándo empezaba y terminaba cada viaje y si superaba el límite de velocidad. Con ese insumo, una póliza se puede recalcular sin que exista un siniestro de por medio.

La fiscalía de Nueva York citó una investigación de The New York Times para documentar el efecto: un propietario recibió un aumento del 22% en su prima y un informe de 130 páginas con cada trayecto de seis meses. El dato es reporting periodístico citado por la autoridad, no un hallazgo del acuerdo: GM no admitió responsabilidad, y el propio decreto lo deja por escrito.

El punto de fuga estaba en el concesionario

Aquí está la lección de gobernanza. Según los estados, la mayoría de las inscripciones ocurrieron en el momento de la compra del vehículo, y fueron empleados del concesionario quienes aceptaron los términos en nombre del cliente. La fiscalía de Nueva York añade que GM pagó bonos a concesionarios entre 2020 y 2024 calculados en parte por las inscripciones en Smart Driver, y que rankeaba las tiendas según su volumen de altas.

Un bono atado al número de inscripciones le da a la persona que está frente a la pantalla una razón para pulsar "aceptar". No hace falta mala fe: basta un incentivo mal alineado con el consentimiento del usuario final.

A eso se sumó un segundo problema, más difícil de justificar: la app OnStar informó a más de 370.000 conductores que no estaban inscritos cuando sí lo estaban. Según los fiscales, GM los dio de baja después sin avisarles, y sus datos siguieron en manos de corredores y aseguradoras. Un usuario no puede ejercer un derecho de baja sobre un programa que la propia app le dice que no tiene.

¿Cuánto cuesta monetizar datos de clientes? El cálculo completo

La cifra de US$220 millones es solo la capa de las multas estatales. Auto Connected Car reporta que, sumada a un acuerdo separado de US$12,75 millones con California alcanzado en mayo, el total asciende a US$232,75 millones. Michigan, por ejemplo, recibirá US$7.205.319, según el anuncio de su fiscal general, Dana Nessel.

Tres matices que suelen perderse en el titular:

No hay compensación para los conductores. El dinero va a los estados, no a las personas cuyos viajes quedaron registrados.
Texas no forma parte del acuerdo. El estado demandó a GM en 2024 por el mismo programa y ese litigio sigue abierto.
GM no admitió culpa. El decreto lo establece expresamente.

A esto se suma el acuerdo previo con la FTC, finalizado a comienzos de este año, que prohíbe a GM y a OnStar compartir datos de geolocalización y de comportamiento de conducción durante cinco años y la obliga a ofrecer un mecanismo para que los clientes pidan eliminar sus datos.

¿Qué obliga el decreto a partir del 30 de noviembre de 2026?

El documento introduce cambios que cualquier equipo de producto debería leer como plantilla. Desde esa fecha, GM debe:

Obtener consentimiento expreso afirmativo antes de recoger, usar o revelar datos de conducción.
Pedir un consentimiento específico y separado antes de entregar datos a un tercero para seguros basados en uso.
Capacitar al personal del concesionario y revisar las divulgaciones antes de cualquier inscripción en OnStar.
Monitorear periódicamente los patrones de inscripción en los concesionarios para detectar altas agrupadas o anómalas.
Aplicar minimización de datos y someter su programa de privacidad a evaluaciones internas y externas.

El punto que TechCrunch destacó, y que recoge Ars Technica, es que el acuerdo no se queda en la palabra de la empresa: un tercero independiente determinará si GM cumple. Ese es el cambio de estándar. La autoevaluación deja de ser prueba.

¿Qué significa esto para tu startup?

Si tu producto genera datos de comportamiento —no solo autos: apps de salud, dispositivos conectados, software de logística, fintech con datos transaccionales— el precedente aplica igual. La diferencia entre una función de producto y un pasivo legal rara vez está en la tecnología; está en cómo se pidió el permiso.

Cuatro acciones concretas:

Audita cada punto de captura de consentimiento, sobre todo los que controla un canal. Si un partner, distribuidor o integrador activa funciones en nombre del cliente, necesitas evidencia de quién aceptó, cuándo y qué texto vio. Y revisa los incentivos de ese canal: si le pagas por volumen de altas, estás comprando inscripciones, no consentimientos.
Separa los consentimientos por finalidad. Un opt-in para el servicio principal no cubre la cesión a terceros ni la publicidad. La lógica del decreto es explícita: el consentimiento para el seguro basado en uso va aparte, con su propia pantalla.
Pon la monetización de datos en la hoja de riesgos, no en la de ingresos. Antes de incluir la venta de datos en el plan financiero, modela el escenario en que debas apagarla de un día para otro, con auditoría externa y obligación de eliminar lo ya recogido. Si el negocio no cierra sin esa línea, el problema no es legal, es de modelo.
Blinda la cadena de reventa por contrato. Si vendes datos a un intermediario, tu exposición no termina en la firma. Exige por escrito qué usos están permitidos, prohíbe la reventa y audita. En el caso GM, los corredores revendieron a aseguradoras y el costo reputacional lo pagó la marca.

La lección de fondo: el consentimiento no se delega

En España, el RGPD ya exige una base legal explícita y consentimiento granular para cada finalidad, con derecho de acceso y supresión. Lo que este caso muestra es que la discusión dejó de ser sobre marcos regulatorios y pasó a ser sobre ejecución en el último metro: la pantalla que ve el usuario, el empleado que la opera y el bono que ese empleado cobra.

Ese es el terreno donde se juega la confianza en la economía del dato. Una empresa puede tener la política de privacidad más pulida del sector y perderlo todo porque el formulario de alta lo completó un tercero con incentivos opuestos al cliente. Y como demuestra el acuerdo, el costo no se limita a la multa: incluye cinco años de auditoría, un producto eliminado y un tercero externo decidiendo si cumples.

Conclusión

GM resolvió con US$220 millones un problema que nació de haber puesto la captura del consentimiento en manos de quien tenía incentivo para maximizar inscripciones. El producto ya no existe, pero el criterio que impone el decreto —consentimiento expreso por finalidad, control del canal, auditoría independiente— se está convirtiendo en el piso del mercado para cualquier negocio que monetice datos de comportamiento. Para un founder, la conclusión es práctica: diseñar el consentimiento con la misma seriedad que el producto, y nunca asumir que el partner que capta usuarios lo hará con el cuidado que la marca necesita.