GM·OnStar·LexisNexis Risk Solutions toplu davası [PDF]
(static01.nyt.com)- Florida sakini Romeo Chicco, Cadillac XT6 satın aldıktan sonra sürüş verilerinin rızası olmadan toplanıp iletildiğini ve sigorta değerlendirmesinde kullanıldığını öne sürerek GM, OnStar ve LexisNexis Risk Solutions’a karşı toplu dava açtı
- İddiaların odağında LexisNexis’in Fair Credit Reporting Act ihlali, GM ve OnStar’ın Florida Deceptive and Unfair Trade Practices Act ihlali ve Florida ortak hukukuna göre mahremiyetin ihlali yer alıyor
- Davacı, satın alma sözleşmesinde ve OnStar bilgilendirmesinde veri paylaşımı ya da ayrı bir OnStar Smart Driver kaydını fark etmediğini ve bu programa hiçbir zaman onay vermediğini savunuyor
- Ocak 2024’te aldığı LexisNexis tüketici açıklama raporunda Telematics başlığı altında 258 sürüş olayı yer aldığı, bunların sürüş süresi, hızlanma, ani fren, yüksek hız olayları, mesafe ve VIN gibi verileri içerdiği belirtiliyor
- Sigorta başvurusunun reddedilmesi ve primlerin sert biçimde artması doğrudan zarar olarak gösterilirken, davacı sürüş olaylarına ilişkin tanım, hesaplama yöntemi ve bağlam olmadan olumsuz bilgilerin kullanıldığına itiraz ediyor
Davanın temel çerçevesi
- Romeo Chicco, kendisine benzer durumdaki kişileri temsilen toplu dava açtı
- Davalılar 3 tüzel kişilikten oluşuyor
- General Motors LLC
- OnStar LLC
- LexisNexis Risk Solutions Inc.
- Dayanılan hukuki gerekçeler şu üç başlıkta toplanıyor
- Fair Credit Reporting Act, 15 U.S.C. § 1681 ve devamı
- Florida Deceptive and Unfair Trade Practices Act, Fla. Stat. § 501.201 ve devamı
- Florida ortak hukukuna göre mahremiyetin ihlali
- Davacı, hatalı veya olumsuz sürüş bilgilerinin bilgisi ve rızası olmadan raporlandığını, verilerin aktarımı ve ifşasının mahremiyet ihlali oluşturduğunu ileri sürüyor
- Ayrıca davalıların eylemleri nedeniyle zarar gördüğünü ve ciddi manevi sıkıntı yaşadığını da öne sürüyor
Yetki ve taraflar
- Dava, ABD Florida Güney Bölgesi Bölge Mahkemesi'nde açıldı
- Federal yasa ihlali gerekçesiyle federal soru yetkisi uygulanıyor, eyalet hukuku talepleri ise ek yargı yetkisine dayanıyor
- Davacı, Florida Palm Beach County’de ikamet eden gerçek kişi olduğunu ve FCRA kapsamında consumer sayıldığını ileri sürüyor
- GM ve OnStar, Florida’da faaliyet gösteren şirketler olarak belirtiliyor
- LexisNexis, Florida’da faaliyet gösteren küresel bir veri ve analiz şirketi olarak tanımlanıyor
- Dava dilekçesinde GM ve OnStar, tüketici raporlama kuruluşlarına bilgi sağlayan furnisher; LexisNexis ise FCRA kapsamında consumer reporting agency olarak nitelendiriliyor
Cadillac satın alımı ve OnStar bilgilendirmesi
- Davacı, 16 Kasım 2021 civarında Florida, Delray Beach’teki Ed Morse Cadillac’tan 2021 model Cadillac XT6 sıfır araç satın aldı
- Satın alma sözleşmesinde satışa ilişkin ayrıntılar yer alsa da davacı şu unsurların bulunmadığını söylüyor
- OnStar
- LexisNexis
- veri paylaşımı
- kişisel verilerle ilgili maddeler
- Davacıya göre bayilik temsilcisi, OnStar Smart Driver’ın “mağazada satılan bir şey” olmadığını ve OnStar’ın veri paylaşım programına kimin ne zaman katıldığını bayiye açıklamadığını söyledi
- Davacı, satın alımdan hemen sonra mobil cihazına MyCadillac Application indirdi
- 18 Kasım 2021’de Cadillac Connected Services denemesi ile Safety & Security teminatının başladığını bildiren bir e-posta aldı
- E-postada Welcome Call’u başlatmak için mavi OnStar düğmesine basması söyleniyordu
- Dahil olan başlıklar Connected Navigation, OnStar Safety & Security, Remote Access ve In-Vehicle Data idi
- Davacı, OnStar hizmetlerini istemediği için mavi düğmeye basmadığını ve e-postada OnStar Smart Driver Program ifadesinin de geçmediğini ileri sürüyor
- Daha sonra OnStar teşhis e-postaları aldı, ancak bunları MyCadillac uygulamasının sunduğu işlevler olarak anladığını söylüyor
- Fatura kayıtlarında OnStar ile ilgili bir hizmet satın alımı veya ödeme bulunmadığını da savunuyor
Smart Driver onayı tartışması
- Şubat 2024 civarında bayilik, davacıya OnStar Smart Driver SSS belgesini verdi
- SSS’nin ilgili kısmı, OnStar’ın müşteri onayı olmadan sürüş davranışı verisi toplamadığını açıklıyor
- SSS’ye göre müşterinin temel OnStar hizmetlerinden ayrı olarak OnStar Smart Driver'a kaydolması gerekiyor ve Smart Driver için ayrıca onay verilmesi şart
- Onay ve kayıt sonrasında, aracın özelliklerine bağlı olarak toplanabilecek veriler şunlar
- ani fren olayları
- ani hızlanma olayları
- saatte 80 mil üzeri hız
- ortalama hız
- gece geç saatlerde sürüş
- sürüşün gerçekleştiği zaman
- kat edilen mesafe
- 12 Mart 2024 itibarıyla GM’in çevrimiçi Cadillac Owner Center’ındaki davacıya ait Vehicle Profile sayfasında aracın hesaba bağlı olmadığı görülüyor
Sigorta reddi ve LexisNexis raporu
- Davacı, 2021, 2022 ve 2023 yıllarının büyük bölümünde aynı sigorta şirketini kullandı ve bu şirket poliçeyi tekrar tekrar yeniledi
- Aralık 2023 civarında mevcut sigortacı, Florida sakinlerine artık sigorta sunmayacağını davacıya bildirdi
- 18 Aralık 2023 civarında davacı, çeşitli sigorta şirketlerinin çevrimiçi hizmetleri üzerinden sigorta yaptırmaya çalıştı ancak hepsi başvuruyu reddetti
- Davacı, Liberty Mutual’ı arayıp ret nedenini sorduğunda, müşteri temsilcisinin bunun davacının LexisNexis raporundaki bilgilerden kaynaklandığını açıkladığını ve rapora nasıl erişeceğini anlattığını iddia ediyor
- Davacı, LexisNexis raporunu talep ettiğini ve tüketici açıklama belgelerini almasının 2-3 hafta sürdüğünü söylüyor
- Bu süreçte yerel bir sigorta acentesiyle görüşerek sigortacı bulduğunu, ancak primin neredeyse iki katına çıktığını belirtiyor
- Bu süreçte büyük hayal kırıklığı ve şok yaşadığını da ekliyor
Telematics kayıtlarının içeriği ve sınırları
- Davacının Ocak 2024 civarında aldığı LexisNexis tüketici açıklama raporunda, 18 Aralık 2023 tarihi itibarıyla Telematics alt başlığı altında 258 sürüş olayı kaydedilmişti
- Her sürüş olayında şu ayrıntılar yer alıyordu
- sürüş başlangıç ve bitiş tarihi
- başlangıç ve bitiş saati
- hızlanma olayları
- ani fren olayları
- yüksek hız olayları
- mesafe
- VIN
- Davacı, raporun sürüş olaylarına ilişkin bağlam sunmadığını ileri sürüyor
- Örneğin bazı kayıtlarda 2 hızlanma olayı ve 1 ani fren olayı görünmesine rağmen, bu terimlerin tanımı veya hesaplama yöntemi raporda yer almıyordu
- Davacıya göre rapor, bu olayların neden yaşandığını, o andaki sürüş koşullarını ve dış etkenleri de açıklamıyor
LexisNexis, GM ve OnStar ile yapılan görüşmeler
- 11 Ocak 2024’te davacı, rızası olmadan sürüş verilerinin neden toplandığını sormak için LexisNexis’i aradı
- LexisNexis’in kendisine GM’i aramasını söylediğini iddia ediyor
- Aynı gün GM’i aradığında, GM’in telematik verilerin OnStar üzerinden iletildiğini açıkladığını ileri sürüyor
- OnStar’a hiç abone olmadığını söylediğinde, GM temsilcisinin aracına bir OnStar planının bağlı olduğunu doğruladığını ve kendisini bir OnStar temsilcisine aktardığını iddia ediyor
- Davacıya göre OnStar temsilcisi, telematik verilerin sigorta şirketlerine aktarılmasının tek yolunun, davacının sigorta şirketi üzerinden güvenli sürüş indirim programına opt-in yapmış olması olduğunu söyledi
- Davacı, böyle bir sigorta programına hiç opt-in yapmadığını savunuyor
- Daha sonra başka bir OnStar temsilcisiyle de görüştüğünü, ancak hiç kimsenin OnStar’ın telematik bilgileri neden rızası olmadan dağıttığını açıklayamadığını söylüyor
1 yorum
Hacker News görüşleri
Şikâyet dilekçesine göre davacı OnStar hizmetini istemediği için “başlamak için” mavi düğmeye basmamıştı; e-postada da OnStar’ın Smart Driver Program’ından söz edilmiyordu.
Ancak Ocak 2024 civarında aldığı LexisNexis tüketici açıklama raporunda, 18 Aralık 2023 itibarıyla “Telematics” başlığı altında 258 sürüş olayı kaydedilmişti; her olayda başlangıç/bitiş tarihi ve saati, ani hızlanma, ani fren, yüksek hızlı sürüş, mesafe ve VIN yer alıyordu.
Davacı, bilgilerinin paylaşılmasına izin veren herhangi bir sigorta programına hiç katılmamıştı.
İlgili yazı: “Automakers are sharing consumers' driving behavior with insurance companies” - https://news.ycombinator.com/item?id=39666976
Son yaklaşık 5 yıl içinde üretilmiş bir arabanız varsa LexisNexis’in “Consumer Disclosure Report” raporunu buradan talep edebilirsiniz: https://consumer.risk.lexisnexis.com/
NYT’ye göre LexisNexis, GM, Ford, Kia, Subaru ve Mitsubishi’den bazı veriler alıyor.
Verisk de GM, Hyundai, Honda ve benzerlerinden veri alıyor; buradan talep edilebilir: https://fcra.verisk.com/#/
O yazı ana sayfada yalnızca 3 saat kaldığı için bu yazının yeniden gündeme gelmesi de makul.
GM, tüm telematik verilerini 100Gbps ölçeğinde işleyen büyük bir veri kümesine gönderiyordu; Cisco 400Gbps desteğini çıkarınca verinin de ikiye katlanması bekleniyordu.
Asıl amaç ikinci el araç fiyatlandırmasına yardımcı olmaktı ve bu başlı başına makul bir niyet olduğu için desteklemiştim; ama sigorta aracılık şirketlerine satıldığını bilmiyordum, gerçi bunu tahmin etmeliydim.
Artık Pandora’nın kutusu açıldı ve bu özellik geri alınmayacak. Para cezası ödeyecekler, bazı kullanıcılara opt-out sunacaklar ama gerçekten seçenlerin oranı yaklaşık %5 olacak; 10 yıl sonra da sigorta şirketlerinin sürüş alışkanlıklarını izlemesi olağan kabul edilecek.
Gerçek zamanlı konum verisi satışı tartışmasının üzerinden 10 yıl geçti; dün gece bile ev IP adresimin konumumu 0,25 mil doğrulukla bildirdiğini gördüm. Verizon’dan aldığım 5 dolarlık çek herhâlde o cezanın karşılığıydı.
Bu şirketler gölgede unutulmuş şekilde çalışmaya alışkın olmalı; daha fazla kişinin rapor istemesi bile insanların onları izlediğine dair küçük bir işaret olabilir.
Ek özellik ya da aylık abonelik kullanmadığım hâlde arabamdan bir şey raporlanıp raporlanmadığını çok merak ediyorum.
LexisNexis’in bu tür verileri toplamasından gerçekten rahatsızsanız ya da kredi durumunuzu sürekli kontrol etmek istiyorsanız, her gün posta yoluyla rapor talep eden bir script çalıştırmamak için neden var mı, merak ediyorum. Bir mektubun maliyeti ne kadar bilmiyorum ama 365 mektup ucuz olmayacaktır.
İddialar kabaca üç başlıkta toplanıyor: Davacının sürüş verilerinin onayı olmadan uygunsuz biçimde paylaşılması ve raporlanması yoluyla otomobil sigortası yaptırma imkânını ve primlerini etkilediği gerekçesiyle Fair Credit Reporting Act (FCRA) ihlali; araç sahipleri bilmeden ya da onay vermeden kişisel sürüş verilerinin paylaşılması nedeniyle Florida Deceptive and Unfair Trade Practices Act ihlali; izinsiz takip, toplama ve paylaşımın mahremiyete müdahale ettiği ve rahatsızlık verdiği gerekçesiyle Florida örf ve adet hukukuna göre mahremiyet ihlali.
Önümüzdeki birkaç yıl boyunca veri aracıları —fiilen neredeyse tüm büyük şirketler de dâhil— ne kadar rahatsız edici işler yapmış, bunların çoğunu öğreneceğiz.
Bir yerde hata yapılıp kişisel numaram yayıldığından beri, her spam aramada bilginin kaynağını söylemelerini istiyorum. Başta “veri ekibimiz” diye geçiştiriyorlar ama sormaya devam edince söylüyorlar.
Bu veri ticareti şirketleri gerçekten iğrenç.
Hücresel ağ üzerinden takip asla durmuyor ama acil bir durumda abonelik ücreti ödemezsen senin yerine acil servisleri aramıyorlar
Sonuçta bu, verilerinin senden daha önemli olduğu anlamına geliyor
Yıllar boyunca devlet kurumlarının hedefi olmuş ve teknik bilgisi de olan biri olarak, bu tür mahremiyet ihlallerinin ve kontrolün gerçekte nasıl kullanıldığını gördüm. Teknoloji ya da internet olmasaydı imkânsız olacak pek çok şey var
Mesele telefonu bırakma seviyesinden çok daha büyük. Kelimenin tam anlamıyla bir gözetim devleti; şehirler beton hapishanelere dönüşmüş yerlerden ayrılıp banliyölere gitsen bile her evde kapı kamerası var ve kolluk kuvvetleri bunlara erişebiliyor
Bunları kötüye kullanmak ve belirli kişilere karşı silaha dönüştürmek için mahkeme kararı ya da arama izni şart da değil. Doğru kişi ve kulağa makul gelen bir anlatı varsa şirketler müşterilerine bile her şeyi yapıyor
SIM kartı çıkarıp acil servisleri bile bir şekilde devre dışı bıraksan da telefon hâlâ sinyal gönderiyor ve çeşitli tarayıcılar bunları topluyor
Bunun büyük ölçekte gerçekleştiğini bile kabul eden çok az kişi var; sonuçlarını doğru düzgün düşünebilenler ise daha da az. Kamuoyu tüm bunların sonuçlarını daha iyi bilmeli
Gayet işe yarıyor
GM, gelecekte paramı almamak için gerçekten çok çalışıyor gibi
Yeni elektrikli araçlardan CarPlay ve Android Auto desteğini çıkardılar, şimdi de bu çıktı. Düpedüz sinir bozucu
İlham vermeyen plastik kutular basıp müşteriden sürekli bozuk para koparmaya çalışıyorlar. Kişisel olarak yabancı üreticilerin tamamen öne geçtiğini düşünüyorum
Otomotiv sektöründen bir ailede büyüdüm ve Big 3'ye derin bir sadakatim vardı ama artık o araçlardan kaçınmaya başladım. Uzun süre gidebiliyorlar ama orasından burasından bozulmaya başlıyorlar
Bu küçücük özellik, dünyanın dört bir yanındaki otoparklarda sayısız karışıklık yarattı
https://www.reddit.com/r/cars/comments/rshlke/why_do_gm_vehi...
Çoğu marka eski halinin kabuğundan ibaret kaldı; özellikle Cadillac öyle ve en son ne zaman hoşuma giden bir Chevy gördüğümü hatırlamıyorum
Cüzdanımızla oy vermeliyiz. İznim olmadan verimi alırsan benim işimi de kaybedersin
Japon arabaları, Alman arabaları ve bir ölçüde Kore arabaları çok daha iyi; pikap istiyorsan Ford çok daha iyi
Telematik devre dışı bırakılmalı; mümkünse modem çipinin güç girişini fiziksel olarak kesmek en iyisi
Bana komplo teorisyeni diyebilirsiniz ama 23andMe'nin bir sigorta şirketi tarafından satın alınacağı zamanı düşününce, açık bir opt-in olmadan bir taraftaki verinin diğer tarafa geçmesi durumunda sigortalanabilirlik sorunları doğması açısından pek çok benzerlik var
DCSadlı bir sigorta varGM'den gelen e-postaya göre OnStar Smart Driver aboneleri veri paylaşımını reddedemiyor
Bunun en azından California gizlilik düzenlemelerini, muhtemelen başka eyalet yasalarını da ihlal ettiğini düşünüyorum. Bu düzenlemeler opt-out seçeneğini zorunlu kılıyor. Cidden arabadaki modemi söküp atmak istiyorum
Özellikle “Do Not Sell or Share My Personal Information” bağlantısı zorunlu
https://oag.ca.gov/privacy/ccpa#sectionh
https://oag.ca.gov/contact/consumer-complaint-against-busine...
Kişisel bilgileri toplamanın ve saklamanın maliyeti akıl almaz derecede pahalı hâle gelmeli
LexisNexis ne yaptığını tam olarak biliyordu ve muhtemelen dava maliyetlerini bile ürünün fiyatına çoktan yedirmiştir
Experian, o kadar çok veriyi sızdırdığında şirketi yok edecek düzeyde para cezası almalıydı. O cenaze ateşi, aynı yoldan giden şirketlere uyarı olurdu
Genel veriler için de HIPAA benzeri bir yasa olmasını isterdim
Yakın zamanda Toyota almamın nedenlerinden biri, satın aldıktan hemen sonra aracın içindeki “SOS” düğmesine basıp telematiğin kapatılmasını isteyebilmemdi
Gerçekten konum bilgisi toplamayı durdurup durdurmadığını ya da daha sonra kendi kendine tekrar açılıp açılamayacağını bilmediğim için vericiye güç veren sigortayı da çıkardım. Ne olur ne olmaz diye bazı parçaları Faraday kafesiyle sarmayı da düşünüyorum
Yeni araba seçerken, aracın beni gözetlemesini engelleyip engelleyememek istediğim özellikler listesinin neredeyse en üstündeydi. Bu, bir daha elektrikli araç almamı engelleyen büyük nedenlerden biri
Yaşadığım yerdeki pazarda sürekli gözetlemeyen ya da kapatma seçeneği sunan bir araç olmadığını biliyorum
Mozilla’nın şu yazısı da okunmaya değer: https://foundation.mozilla.org/en/privacynotincluded/article...
Ben sadece benzin yerine batarya konmuş “akılsız” bir araba istiyorum
Bir tanıdığımda Mitsubishi’nin elektrikli minivanının Japonya modeli var; şimdiye kadar gördüklerim içinde mükemmel “akılsız elektrikli araç”a en yakını. Sürüş hissi de harika. Ama soğuk ve karlı bölgelerde önemli olan 4x4 modelini hâlâ üretmiyorlar
Massachusetts’te satılan araçlarda, eyaletin “onarım hakkı” yasasını protesto etmek için varsayılan olarak devre dışı bırakılmış; diğer bölgelerde ise kendiniz kapatabiliyorsunuz
Toyota açıkça yalan söylemiyorsa, opt-out yaptığımıza nispeten inanıyordum. Emin olmak için bilgilerimi talep etmem gerekecek
Mozilla’nın materyallerinde ve otomobil forumlarında gizlilik sorunlarını ve telematiğin açılıp kapatılabilirliğini okudum, ama gerçekten veri toplamayı durdurup durdurmadığı konusunda bir sonuca varamadım
Fiziksel olarak hangi sigortayı çıkardığınıza dair başvurduğunuz bir bağlantı var mı merak ediyorum
Onu çıkarırsanız telematiği ortadan kaldırabilirsiniz. Yine de ben 24 yaşındaki Lexus’umu kullanmaya devam edeceğim
Bir gizlilik hakları bildirgesine ihtiyacımız var
Aslında başka hiçbir yaklaşım işe yaramıyor