GM sürücü verilerini sigorta şirketlerine sattı: 220 milyon dolarlık ceza

Smart Driver özelliği cüzdanları nasıl vurdu?

2016 ile 2024 yılları arasında GM bayileri, yeni araç alan müşterileri 'Smart Driver' adlı bir özelliğe kaydetti. Çoğu tüketiciye cazip bir bağlantılı araç hizmeti gibi sunulan bu sistem, arka planda araçları adeta birer gözetleme istasyonuna çevirdi. Otomobiller ani frenleri, sert hızlanmaları, hız sınırının aşıldığı anları ve ayrıntılı seyahat rotalarını anlık kaydederek doğrudan GM sunucularına aktardı.

Bu telemetri verilerinin üçüncü taraf veri aracılarına satılması, doğrudan tüketicilerin sigorta poliçelerine yansıdı. Sigorta şirketleri, aracı firmalardan aldıkları bu sürüş profilleriyle müşterilerin risk puanlarını baştan hesapladı. New York Başsavcılığı'nın paylaştığı somut bir örnekte, arkasından dönen bu veri ticaretinden habersiz bir araç sahibinin kasko primine tam %22 zam yapıldı.

Artan tepkiler üzerine GM, Smart Driver özelliğini 2024 yılında rafa kaldırmak zorunda kaldı. Federal Ticaret Komisyonu da (FTC) 2025'te otomobil devine beş yıllık veri satışı yasağı getirmişti. Eyaletlerle varılan 220 milyon dolarlık son anlaşma ise şirkete kesin ve açık rıza şartı getirerek hukuki süreci noktalamış oldu.

Otomotiv sektörü dev bir veri toplama ağına dönüştü

En ağır darbeyi GM almış olsa da veri simsarlığı bağlantılı araç pazarının tamamına yayılmış durumda. Günümüz otomobilleri dahili hücresel modemleri üzerinden teşhis raporlarını, telefon rehberlerini, dinlenen medyaları ve GPS koordinatlarını üretici merkezine düzenli olarak iletiyor. Tıpkı şirketlerin güvenlik kamerası yazılımı ağlara arka kapı açtı haberinde gördüğümüz denetimsiz donanım açıkları gibi, modern araçlar da sürücülerin fark etmediği devasa bir veri toplama hattı oluşturuyor.

Otomobil üreticileri bu veri akışını genellikle bayilerde aceleyle imzalatılan sayfalarca uzunluktaki kullanıcı sözleşmelerinin arkasına gizledi. Ancak GM dosyası önemli bir emsal oluşturdu: Muğlak ve üstünkörü onay formları, artık sürücünün hareketlerini paraya dönüştüren şirketleri yasal yaptırımlardan kurtaramayacak.

Eyalet düzenleyicileri şimdi benzer veri ticareti yapan diğer üreticilerin de peşine düşebilir. 220 milyon dolarlık bu ceza, sürücü telemetrisini risk analiz firmalarına pazarlayan diğer markalar için de ciddi bir uyarı niteliğinde.

Türkiye'de durum ne?

Söz konusu uzlaşma doğrudan ABD pazarına sunulan Chevrolet, GMC, Cadillac ve Buick modellerini kapsıyor. Türkiye'de resmi kanallardan satılan GM menşeili araç sayısı son yıllarda oldukça sınırlı kalsa da gri pazar veya özel ithalat yoluyla ülkeye giren 2016-2024 model araçlarda benzer telemetri özellikleri yer alabiliyor.

Türkiye'deki araç sahipleri açısından esas risk, diğer küresel markaların da benzer veri toplama sistemlerine sahip olması. Kişisel Verileri Koruma Kanunu (KVKK) uyarınca sürücülerin konum ve sürüş tarzı gibi verilerinin sigorta şirketleriyle açık rıza olmadan paylaşılması yasak. Yine de bağlantılı araç kullanan sürücülerin araç bilgi-eğlence ekranındaki gizlilik ayarlarını kontrol etmeleri ve telemetri veri paylaşım izinlerini kapatmaları öneriliyor.

Bağlantılı araçlar artık akıllı telefonlar kadar kişisel veri topluyor ancak denetimleri çok daha zayıf. GM'e kesilen bu ceza yetkililerin harekete geçtiğini gösterse de otomotiv sektöründeki veri avcılığını tamamen durdurmak çok daha sıkı yasal denetimler gerektiriyor.