Caso GM: como a indústria automobilística transformou veículos em fontes de informações pessoais

Acordo nos Estados Unidos expõe um mercado pouco transparente de dados de localização e comportamento ao volante, utilizados até mesmo para calcular preços de seguros. Na Europa, o GDPR e o Data Act estabelecem regras mais abrangentes para o tratamento e o compartilhamento dessas informações, mas não proíbem sua comercialização em todas as circunstâncias.

A General Motors (GM), uma das maiores fabricantes de automóveis do mundo, concordou em pagar US$ 220 milhões para encerrar uma investigação conduzida por uma coalizão de 36 procuradores-gerais estaduais e do Distrito de Columbia, nos Estados Unidos, representados conjuntamente como 36 jurisdições.

O acordo, anunciado em 29 de outubro de 2026, envolve acusações de coleta e comercialização de dados pessoais de milhões de motoristas sem conhecimento ou consentimento adequado dos titulares.

As informações incluíam históricos de deslocamento, localização dos veículos, horários das viagens, velocidade e padrões de condução. Segundo os investigadores, parte desses dados foi vendida a empresas intermediárias, conhecidas como data brokers, que posteriormente os forneceram a seguradoras.

Essas informações podiam influenciar a avaliação de risco dos motoristas e, consequentemente, o valor cobrado por suas apólices de seguro.

Em 6 de novembro, novos documentos judiciais apresentados em Nova York formalizaram desdobramentos do acordo. A General Motors aceitou a composição sem admitir responsabilidade pelas acusações.

O episódio evidencia uma transformação importante na indústria automobilística: veículos que antes eram essencialmente meios de transporte passaram a funcionar como plataformas digitais capazes de produzir informações comercialmente valiosas sobre seus ocupantes.

A controvérsia deixa uma questão central para consumidores, fabricantes e autoridades reguladoras: até que ponto a compra de um automóvel autoriza sua fabricante a acompanhar o comportamento do motorista e compartilhar essas informações com terceiros?

Como funcionava o sistema de coleta de dados da General Motors

O centro da investigação foi o programa OnStar Smart Driver, oferecido pela General Motors entre 2016 e 2024.

O serviço era apresentado aos consumidores como uma ferramenta para acompanhar hábitos de direção e ajudar a melhorar a segurança ao volante.

A proposta parecia relativamente simples: coletar informações sobre a forma como o motorista utilizava o veículo e apresentar indicadores relacionados ao seu desempenho.

Na prática, entretanto, o sistema podia produzir registros detalhados da utilização dos automóveis.

Entre as informações identificadas pelas autoridades estavam:

• Datas, horários e duração dos deslocamentos.
• Localização e pontos de início e término das viagens.
• Quantidade de viagens realizadas.
• Eventos de aceleração ou frenagem brusca.
• Ocorrências de velocidade superior aos limites estabelecidos.
• Outros indicadores sobre o comportamento dos condutores.

Isoladamente, determinados registros poderiam parecer informações técnicas necessárias ao funcionamento de serviços automotivos.

Quando associados a identificadores pessoais e analisados em conjunto, porém, permitem construir perfis detalhados sobre hábitos de deslocamento e padrões de comportamento.

Uma sequência de registros de localização pode revelar onde uma pessoa mora, trabalha, realiza compras ou costuma passar determinados períodos do dia.

A análise de deslocamentos também pode permitir inferências sobre frequência a estabelecimentos de saúde, locais de culto religioso, encontros pessoais e outras atividades da vida privada.

O valor econômico dessas informações aumenta quando elas podem ser associadas a uma pessoa identificada ou identificável.

O problema não estava apenas na coleta

Segundo a investigação, a General Motors comercializou informações do Smart Driver com intermediários que atuavam no fornecimento de produtos de dados ao setor de seguros.

Os procuradores-gerais identificaram contratos que previam a utilização dessas informações em produtos relacionados à atividade securitária.

As autoridades também alegaram que a fabricante não havia esclarecido adequadamente aos consumidores essa finalidade comercial.

O ponto crítico é que o serviço era apresentado como um recurso para melhorar os hábitos de direção, mas os dados também podiam ser utilizados por empresas interessadas em avaliar financeiramente o risco representado pelos motoristas.

Isso caracteriza uma mudança significativa de finalidade: informações fornecidas ou coletadas no contexto de uma funcionalidade automotiva passaram a integrar processos comerciais de terceiros.

A investigação apontou ainda que a adesão ao serviço nem sempre refletia uma manifestação válida de vontade dos consumidores.

Consumidores foram inscritos sem autorização adequada

Uma das constatações mais relevantes da investigação envolveu o processo de cadastramento dos motoristas.

Conforme os documentos divulgados pelos procuradores-gerais, muitos consumidores eram inscritos no programa Smart Driver durante a compra do veículo, nas próprias concessionárias.

Em determinados casos, funcionários teriam aceitado termos e condições em nome dos compradores, sem autorização efetiva.

A investigação também identificou incentivos comerciais para aumentar a quantidade de consumidores cadastrados nos serviços conectados da General Motors.

Entre 2020 e 2024, concessionárias e funcionários recebiam incentivos relacionados à adesão a esses serviços.

O resultado foi um processo no qual o interesse comercial pela ampliação da base de usuários poderia comprometer a manifestação livre e informada da vontade do consumidor.

Ainda mais significativo foi o problema identificado no aplicativo OnStar.

Segundo as autoridades, mais de 370 mil motoristas receberam a informação incorreta de que não estavam inscritos no Smart Driver, embora seus dados estivessem sendo coletados e comercializados.

A fabricante posteriormente retirou esses usuários do programa, mas, de acordo com a investigação, não os informou adequadamente sobre o erro nem assegurou, naquele momento, a eliminação dos registros que já haviam sido fornecidos aos intermediários e seguradoras.

O episódio demonstra que a disponibilização de uma política de privacidade ou de uma opção de adesão não garante, isoladamente, a regularidade do tratamento.

É necessário que os mecanismos tecnológicos, os procedimentos comerciais e as informações apresentadas aos consumidores correspondam ao funcionamento real do serviço.

O caminho dos dados: do veículo ao preço do seguro

A operação investigada envolvia uma cadeia de compartilhamento de informações que pode ser resumida em quatro etapas.

1. Coleta pelo veículo conectado

O automóvel produzia registros de telemetria e comportamento durante sua utilização, associados aos serviços conectados da fabricante.

2. Tratamento pela General Motors

As informações eram recebidas e organizadas nos sistemas relacionados aos serviços da montadora, podendo ser associadas aos veículos e respectivos usuários.

3. Transferência aos intermediários de dados

Empresas especializadas adquiriam informações relacionadas ao comportamento de condução para utilização em produtos comerciais destinados ao mercado de seguros.

4. Utilização por seguradoras

As companhias de seguros podiam adquirir esses produtos para avaliar características dos motoristas e utilizar os resultados na composição de seus modelos de precificação.

Do ponto de vista econômico, a telemetria permite que seguradoras desenvolvam modelos conhecidos como usage-based insurance (UBI), nos quais determinados parâmetros de utilização do veículo influenciam a avaliação do risco.

Essa tecnologia não é necessariamente ilícita.

Há programas de seguro baseados em telemetria que são oferecidos de forma transparente, com adesão voluntária e benefícios aos consumidores que aceitam compartilhar informações específicas.

O problema surge quando a coleta e a transferência de dados ocorrem sem informação adequada, sem uma base jurídica válida ou em desacordo com as expectativas legitimamente criadas no momento da contratação.

Também existe uma diferença importante entre utilizar uma pontuação de condução fornecida voluntariamente pelo consumidor e permitir que uma seguradora tenha acesso a registros detalhados de suas viagens.

Quanto maior a granularidade dos dados, maior tende a ser a capacidade de reconstruir comportamentos individuais.

O que determina o acordo de US$ 220 milhões

A composição anunciada pelas autoridades norte-americanas não se limita ao pagamento financeiro.

O acordo estabelece obrigações destinadas a modificar os procedimentos de coleta, utilização e compartilhamento de informações relacionadas aos veículos conectados.

A General Motors deverá obter consentimento afirmativo e expresso, observadas as exceções previstas no instrumento, antes de determinadas operações envolvendo dados de direção e localização.

Também deverá implementar um programa abrangente de privacidade, limitar a coleta de informações e submeter seus mecanismos de conformidade a avaliações internas e externas.

Outra exigência envolve a supervisão dos processos realizados pelas concessionárias, incluindo treinamento e controles para prevenir a inscrição de consumidores em programas de coleta sem autorização.

O instrumento também estabelece medidas sobre conservação e eliminação de dados anteriormente armazenados, com exceções específicas relacionadas, entre outras finalidades, a obrigações legais, segurança, diagnóstico e defesa de direitos.

É importante observar que os US$ 220 milhões serão destinados às jurisdições participantes do acordo. A composição não estabelece um programa de indenização individual direta aos motoristas afetados.

Permanece em discussão judicial uma ação coletiva privada que busca reparação financeira para consumidores.

A General Motors informou que o acordo se refere a um programa encerrado em 2024 e reforça medidas adotadas para aperfeiçoar suas práticas de privacidade e oferecer maior clareza aos clientes.

O caso já havia provocado uma intervenção federal

O acordo multijurisdicional é mais um capítulo de uma controvérsia que já havia mobilizado a Federal Trade Commission (FTC), autoridade federal norte-americana responsável, entre outras atribuições, pela repressão a práticas comerciais desleais ou enganosas.

Em janeiro de 2025, a FTC anunciou medidas contra a General Motors e a OnStar relacionadas à coleta e comercialização de informações de geolocalização e comportamento de direção.

A ordem administrativa foi finalizada em janeiro de 2026.

Entre suas determinações estão:

• Proibição, por cinco anos, de compartilhar determinadas informações de localização e comportamento ao volante com agências de relatórios de consumidores.
• Exigências de consentimento afirmativo para determinadas operações de tratamento durante a vigência de 20 anos da ordem.
• Mecanismos para consumidores solicitarem acesso e exclusão de informações.
• Possibilidade de desabilitar determinadas modalidades de coleta de localização, quando houver suporte tecnológico.
• Opções para recusar a coleta de informações de localização e comportamento, sujeitas a exceções limitadas.

A atuação da FTC e o acordo de outubro de 2026 possuem fundamentos e obrigações próprios. Não devem ser interpretados como uma única penalidade.

Juntos, os procedimentos demonstram como a proteção de dados nos Estados Unidos depende da combinação entre legislação estadual, defesa do consumidor e atuação de órgãos reguladores federais.

O país não possui um regulamento federal geral de proteção de dados equivalente, em alcance, ao GDPR europeu.

Isso não significa ausência de proteção jurídica, mas um modelo regulatório fragmentado, com diferentes leis, competências e mecanismos de fiscalização.