买了一辆汽车，自己的驾驶习惯、出行时间甚至行驶路线，却可能在不知情的情况下被收集、分析，再转手卖给数据经纪商，最终影响汽车保险费用。

这样的隐私风险，正在受到美国监管机构的持续关注。

2026年10月29日，美国通用汽车公司(General Motors，简称GM)与由35个州及哥伦比亚特区的36名总检察长组成的执法联盟达成一项价值2.2亿美元(约220 Million USD)的和解协议。

这起案件涉及通用汽车旗下OnStar智能车载服务收集、使用和出售驾驶行为及位置数据的行为。根据监管机构披露的信息，部分数据被出售给第三方数据经纪商，再提供给保险公司，用于评估驾驶风险及调整保险费率。而这并非通用汽车首次因相关问题受到监管调查。

此前，美国联邦贸易委员会(FTC)与加利福尼亚州监管机构已分别就相关数据处理行为采取执法行动。

从联邦执法到州级隐私法监管，再到多州联合执行消费者保护法律，这起案件展现出美国隐私监管日益复杂的执法格局。对于企业隐私合规负责人，以及正在学习IAPP相关知识体系的从业者而言，其中涉及的数据处理合法性、有效同意、数据最小化和第三方风险管理，尤其值得关注。

事情要从通用汽车推出的OnStar Smart Driver项目说起。该项目旨在帮助消费者了解自身驾驶习惯，收集的信息包括急刹车、急加速、驾驶时间、车辆位置等数据。

根据相关监管指控，该项目还涉及更精细的位置追踪。自2018年起，相关系统能够在车辆行驶期间以约每三秒一次的频率记录位置数据。这些信息看起来只是车辆运行记录，却能够反映驾驶者的活动轨迹、出行规律和驾驶行为。

问题出现在数据的后续使用环节。

监管机构指出，通用汽车将部分驾驶行为数据和位置数据提供给Verisk、LexisNexis等数据经纪商。相关企业进一步加工这些信息，形成驾驶风险评估产品，并向保险公司提供。意味着，原本用于驾驶行为分析的数据，可能通过第三方流转，成为保险公司评估客户风险及调整保费的依据。而不少消费者并不了解这一数据流转过程。

监管机构还发现，部分消费者在汽车经销商处开通服务时，销售人员涉嫌代替消费者接受相关条款，而没有充分说明数据收集和共享的具体用途。

通用汽车的系统还曾出现一项问题：超过37万名驾驶者在应用程序中看到的是未加入Smart Driver项目的状态，但实际上仍被纳入相关数据收集和共享体系。

2024年，随着相关调查报道引发关注，通用汽车停止了Smart Driver项目。

这起事件暴露出的合规问题，不只是企业是否获得用户同意，而是消费者是否充分理解个人信息将如何被使用，以及企业能否保证实际数据处理活动与用户选择保持一致。

通用汽车隐私事件的另一项重要特点，是多层级监管机构针对相关行为采取了不同的执法措施。

FTC：关注消费者知情权与数据使用控制

2026年1月，美国联邦贸易委员会正式批准针对通用汽车及OnStar的最终命令。

FTC认为，相关企业涉嫌在缺乏充分告知和有效同意的情况下收集、使用及出售消费者的位置和驾驶行为数据。

最终命令要求，通用汽车在五年内不得向消费者报告机构披露特定驾驶行为和位置数据。

在长达20年的命令期限内，企业还须落实相应的消费者控制措施，包括在适用情况下取得明确的肯定性同意、提供数据访问和删除渠道，并允许消费者对特定数据收集行为作出选择。

这说明，监管关注的不只是企业有没有隐私政策，还包括消费者是否具备可实际行使的数据控制权。

加州：强调CCPA下的数据最小化和目的限制

2026年5月，加利福尼亚州总检察长办公室宣布与通用汽车达成涉及1275万美元民事罚款的和解协议。

相关执法涉及《加州消费者隐私法》(California Consumer Privacy Act，CCPA)及加州反不正当竞争法律。加州监管机构特别强调，企业收集、使用及披露个人信息，应当符合数据处理目的和数据最小化要求。即使消费者尚未遭受直接的经济损失，未经适当披露而出售其个人信息的行为，也可能构成独立的隐私合规问题。

多州联合执法：将隐私治理落实到企业管理体系

2026年10月达成的2.2亿美元和解，则进一步要求通用汽车完善内部隐私治理机制。

除支付和解款项外，企业还需要建立更加系统的数据保护计划，完善用户同意机制，加强经销商管理，并接受内部及外部合规评估。

这些要求并非简单的制度修订，而是涉及隐私管理组织架构、员工培训、第三方合作和持续监督的整体整改。

从监管要求来看，这起案件至少涉及四个值得企业重视的隐私治理方向。

1.用户同意不能只是形式上的勾选

在隐私合规实践中，Consent(同意)并不等同于消费者点击一个确认按钮。有效同意还需要考虑信息告知是否充分、使用目的是否明确，以及用户是否能够自主作出选择。

此次多州和解针对Affirmative Express Consent(明确的肯定性同意)提出了较为具体的要求，包括不得通过预先勾选或具有误导性的界面设计引导消费者授权。

对于涉及保险定价等用途的数据处理，还需要进行更加明确的单独告知。企业需要关注的是：用户同意的究竟是什么，以及实际数据使用是否超出了原先披露的范围。

2.数据最小化不仅是技术问题

Data Minimization(数据最小化)是隐私保护中的重要原则。

在智能汽车、可穿戴设备和物联网场景中，企业往往具备持续采集大量行为数据的技术能力。但技术上能够收集，并不意味着在法律和合规层面就有充分理由收集。

企业需要审视所收集的数据是否与明确的业务目的相关，以及数据处理的范围和保留期限是否合理。尤其是精确地理位置等敏感程度较高的信息，可能受到更严格的数据保护要求。

3.第三方数据共享不能脱离企业监管

在通用汽车事件中，数据从汽车制造商流向数据经纪商，再进入保险行业的应用场景。这一链条说明，企业的隐私风险并不会随着数据被交付给第三方而自动结束。

根据此次和解要求，通用汽车需要建立第三方尽职调查、书面合同及后续监督机制，识别合作方是否存在与约定不一致的数据使用行为。对于涉及跨企业共享数据的业务，Third-Party Risk Management(第三方风险管理)应成为企业隐私治理体系的重要环节。

4.隐私治理正在成为管理层需要承担的责任

此次多州和解还对企业内部隐私治理提出了具体要求。

根据和解条款，通用汽车须在规定期限内建立成文的综合隐私管理计划，并配置具备相应能力和资源的首席隐私官(Chief Privacy Officer，CPO)。相关隐私负责人还需要定期向企业首席执行官、董事会或相关委员会，以及总法律顾问汇报隐私合规情况。

与此同时，企业须开展高风险数据处理评估、员工隐私培训及第三方独立评估。隐私合规已经不只是法务或IT部门负责的工作，而是需要管理层参与、多个业务部门协同执行的持续性治理活动。

从这起案件可以观察到，美国隐私监管具有一个值得关注的特点：

专门的消费者隐私法律与传统消费者保护法律，正在形成相互补充的执法机制。

在美国，各州隐私立法及其生效时间存在差异。

部分涉嫌不当的数据处理行为发生时，相关州的综合性消费者隐私法律尚未正式生效，但州总检察长仍可能依据消费者保护法律处理涉及误导性宣传、不充分披露和不当商业行为的问题。

例如，俄勒冈州在此次行动中运用了该州长期实施的消费者保护法律。而康涅狄格州则结合《康涅狄格州数据隐私法》(Connecticut Data Privacy Act，CTDPA)，进一步针对隐私告知、目的限制、数据最小化、敏感数据处理及消费者权利等方面提出指控。

企业不能仅通过核对某一部隐私法的适用范围，就判断自身是否存在监管风险。尤其对于面向美国市场开展业务的企业，隐私合规评估还应综合考虑联邦监管、州消费者隐私法律，以及相关消费者保护规定。

从通用汽车2.2亿美元隐私和解案可以看出，数据隐私问题早已不只是信息泄露那么简单。

如今，人工智能、大数据、智能汽车、金融科技等行业不断发展，企业对个人信息的收集、分析和商业化应用日益深入。与此同时，全球隐私监管也在持续完善，数据处理的合法性、用户知情同意、跨境数据流动以及第三方风险管理，正在成为企业经营过程中需要认真面对的合规议题。

对于企业而言，隐私合规不再只是满足监管要求的被动选择，更关系到业务稳定性、客户信任和长期发展。

这也对法律、合规、风控、IT及数据治理等领域的从业人员提出了新的专业要求。仅仅了解法律条文已经不够，如何建立隐私管理体系、开展数据保护影响评估、识别业务中的合规风险，并将监管要求落实到企业运营中，正成为值得持续提升的职业能力。

对于希望系统进入隐私保护领域，或计划向隐私合规管理岗位发展的从业者，可以关注国际隐私专业协会(IAPP)推出的相关专业认证：

• CIPP/US(美国隐私专家认证)：侧重美国隐私法律、监管制度及合规要求。

• CIPM(隐私管理专家认证)：侧重企业隐私管理体系建设、风险管理与合规项目实施。

• CIPT(隐私技术专家认证)：侧重隐私保护技术、隐私设计及数据生命周期管理。

• AIGP(人工智能治理专家认证)：侧重AI治理框架、风险管理及人工智能合规实践。

不同认证对应不同的知识领域，能够帮助从业者结合自身职业方向，系统完善隐私保护与数据治理知识体系。数据应用越广泛，隐私保护越需要专业能力作为支撑。

如果你正在考虑报考CIPP/US、CIPM、CIPT或AIGP，也可以+vx：yinxiaosi00进一步了解各项认证的考试内容、适合人群及备考路径，为下一阶段的专业能力提升做好准备！

参考资料：

本文根据IAPP公开分析文章及美国监管机构公开资料整理，涉及的违法行为描述以监管机构的指控和相关和解文件为依据。