GM·OnStar·LexisNexis Risk Solutions 집단 소송 [PDF]

 (static01.nyt.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 플로리다 거주자 Romeo Chicco는 Cadillac XT6 구매 후 운전 데이터가 동의 없이 수집·전송돼 보험 심사에 쓰였다고 보고 GM, OnStar, LexisNexis Risk Solutions를 상대로 집단 소송을 제기함
  • 청구의 핵심은 LexisNexis의 Fair Credit Reporting Act 위반, GM·OnStar의 Florida Deceptive and Unfair Trade Practices Act 위반, 플로리다 보통법상 사생활 침해임
  • 원고는 구매 계약서와 OnStar 안내에서 데이터 공유나 OnStar Smart Driver 별도 가입을 인지하지 못했고, 해당 프로그램에 동의한 적도 없다고 주장함
  • 2024년 1월 받은 LexisNexis 소비자 공개 보고서에는 Telematics 항목으로 258개의 운전 이벤트가 있었고, 주행 시간·가속·급제동·고속 이벤트·거리·VIN 등이 포함됨
  • 보험 가입 거절과 보험료 급등이 문제의 직접 피해로 제시됐으며, 원고는 운전 이벤트의 정의·계산 방식·맥락 없이 부정적 정보가 사용됐다고 다툼

소송의 기본 구도

  • Romeo Chicco는 본인과 유사한 처지의 사람들을 대표해 집단 소송을 제기함
  • 피고는 3개 법인임
    • General Motors LLC
    • OnStar LLC
    • LexisNexis Risk Solutions Inc.
  • 청구 근거는 다음 세 가지임
    • Fair Credit Reporting Act, 15 U.S.C. § 1681 이하
    • Florida Deceptive and Unfair Trade Practices Act, Fla. Stat. § 501.201 이하
    • 플로리다 보통법상 사생활 침해
  • 원고는 부정확하거나 부정적인 운전 정보가 본인의 인지와 동의 없이 보고됐고, 데이터 이전과 공개가 사생활 침해에 해당한다고 주장함
  • 피고들의 행위로 손해와 상당한 정신적 고통을 겪었다는 주장도 포함됨

관할과 당사자

  • 사건은 미국 플로리다 남부지방법원에 제기됨
  • 연방법 위반을 이유로 연방문제 관할권이 적용되고, 주법 청구는 보충 관할권에 근거함
  • 원고는 플로리다주 Palm Beach County 거주 자연인으로, FCRA상 consumer라고 주장함
  • GM과 OnStar는 플로리다에서 영업하는 법인임
  • LexisNexis는 플로리다에서 영업하는 글로벌 데이터·분석 회사로 제시됨
  • 소장상 GM과 OnStar는 소비자 보고 기관에 정보를 제공하는 furnisher, LexisNexis는 FCRA상 consumer reporting agency로 규정됨

Cadillac 구매와 OnStar 안내

  • 원고는 2021년 11월 16일경 플로리다 Delray Beach의 Ed Morse Cadillac에서 2021년형 Cadillac XT6를 새 차로 구매함
  • 구매 계약서에는 판매 세부 항목이 있었지만, 원고는 다음 항목이 없었다고 주장함
    • OnStar
    • LexisNexis
    • 데이터 공유
    • 개인정보 관련 항목
  • 딜러십 관계자는 OnStar Smart Driver가 “매장에서 판매하는 것”이 아니며, OnStar가 데이터 공유 프로그램에 누가 언제 가입했는지 딜러에게 공개하지 않는다고 말했다고 원고는 주장함
  • 구매 직후 원고는 모바일 기기에 MyCadillac Application을 다운로드함
  • 2021년 11월 18일에는 Cadillac Connected Services 체험 및 Safety & Security 보장이 시작됐다는 이메일을 받음
    • 이메일은 파란색 OnStar 버튼을 눌러 Welcome Call을 시작하라고 안내함
    • 포함 항목은 Connected Navigation, OnStar Safety & Security, Remote Access, In-Vehicle Data 등이었음
    • 원고는 OnStar 서비스를 원하지 않아 파란색 버튼을 누르지 않았고, 이메일에 OnStar Smart Driver Program 언급도 없었다고 주장함
  • 이후 OnStar 진단 이메일을 받았지만, 원고는 이를 MyCadillac 앱에서 제공하는 기능으로 이해했다고 주장함
  • 청구서에는 OnStar 관련 서비스 구매나 결제가 포함되지 않았다고 주장함

Smart Driver 동의 쟁점

  • 2024년 2월경 딜러십은 원고에게 OnStar Smart Driver FAQ를 제공함
  • FAQ의 관련 부분은 OnStar가 고객 동의 없이는 운전 행동 데이터를 수집하지 않는다고 설명함
  • FAQ에 따르면 고객은 기본 OnStar 서비스와 별도로 OnStar Smart Driver에 가입해야 하며, Smart Driver에 대한 별도 동의가 필요함
  • 동의 및 가입 후 차량 성능에 따라 수집될 수 있는 데이터는 다음과 같음
    • 급제동 이벤트
    • 급가속 이벤트
    • 시속 80마일 초과 속도
    • 평균 속도
    • 심야 운전
    • 주행 발생 시점
    • 주행 거리
  • 2024년 3월 12일 기준 GM의 온라인 Cadillac Owner Center에 있는 원고의 Vehicle Profile은 차량이 계정에 연결돼 있지 않다고 표시함

보험 거절과 LexisNexis 보고서

  • 원고는 2021년, 2022년, 2023년 대부분 기간 동안 같은 보험사를 이용했고, 해당 보험사는 보험을 반복 갱신함
  • 2023년 12월경 기존 보험사는 플로리다주 거주자에게 더 이상 보험을 제공하지 않는다고 원고에게 알림
  • 2023년 12월 18일경 원고는 여러 보험사의 온라인 서비스를 통해 보험 가입을 시도했지만, 각 보험사가 가입 시도를 거절함
  • 원고가 Liberty Mutual에 전화해 거절 이유를 묻자, 상담원은 원고의 LexisNexis 보고서 정보 때문이라고 설명하고 보고서 접근 방법을 안내했다고 주장함
  • 원고는 LexisNexis 보고서를 요청했고, 소비자 공개 자료를 받기까지 2~3주가 걸렸다고 주장함
  • 그 기간 지역 보험 에이전트와 통화해 보험사를 찾았지만, 보험료가 거의 두 배가 됐다고 주장함
  • 원고는 이 과정에서 큰 좌절감과 충격을 느꼈다고 밝힘

Telematics 기록의 내용과 한계

  • 2024년 1월경 원고가 받은 LexisNexis 소비자 공개 보고서에는 2023년 12월 18일 기준 Telematics 하위 항목에 258개의 운전 이벤트가 기록돼 있었음
  • 각 운전 이벤트에는 다음 세부 정보가 포함됨
    • 주행 시작일과 종료일
    • 시작 시간과 종료 시간
    • 가속 이벤트
    • 급제동 이벤트
    • 고속 이벤트
    • 거리
    • VIN
  • 원고는 보고서가 운전 이벤트에 관한 맥락을 제공하지 않는다고 주장함
  • 예를 들어 특정 기록에는 가속 이벤트 2건과 급제동 이벤트 1건이 표시됐지만, 해당 용어의 정의나 계산 방식은 보고서에 없었다고 주장함
  • 보고서는 원고가 왜 그런 이벤트를 겪었는지, 당시의 주행 조건과 외부 요인이 무엇이었는지도 설명하지 않는다고 주장함

LexisNexis·GM·OnStar와의 통화

  • 2024년 1월 11일 원고는 LexisNexis에 전화해 동의 없이 운전 데이터가 수집된 이유를 물음
  • LexisNexis는 원고에게 GM에 전화하라고 안내했다고 주장함
  • 같은 날 원고가 GM에 전화하자, GM은 텔레매틱스 데이터가 OnStar를 통해 전송된다고 설명했다고 주장함
  • 원고가 OnStar에 가입한 적이 없다고 말하자, GM 담당자는 원고 차량에 OnStar 플랜이 연결돼 있다고 확인하고 OnStar 담당자에게 연결했다고 주장함
  • OnStar 담당자는 텔레매틱스 데이터가 보험사에 전달되는 유일한 방식은 원고가 보험사를 통해 안전운전 할인 프로그램에 옵트인한 경우라고 말했다고 주장함
  • 원고는 그런 보험 프로그램에 옵트인한 적이 없다고 주장함
  • 이후 다른 OnStar 담당자와도 통화했지만, 누구도 OnStar가 왜 동의 없이 텔레매틱스 정보를 배포했는지 설명하지 못했다고 주장함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 고소장에 따르면 원고는 OnStar 서비스를 원하지 않아 “시작하려면” 파란 버튼을 누르지 않았고, 이메일에도 OnStar의 Smart Driver Program 언급이 없었음
    그런데 2024년 1월쯤 받은 LexisNexis 소비자 공개 보고서에는 2023년 12월 18일 기준으로 “Telematics” 항목 아래 258건의 운전 이벤트가 기록돼 있었고, 각 이벤트에는 시작/종료 날짜와 시간, 급가속, 급제동, 고속 주행, 거리, VIN이 포함돼 있었음
    원고는 자신의 정보 공유를 허용하는 어떤 보험 프로그램에도 가입한 적이 없었음
    관련 글: “Automakers are sharing consumers' driving behavior with insurance companies” - https://news.ycombinator.com/item?id=39666976
    최근 약 5년 내 생산된 차를 갖고 있다면 LexisNexis의 “Consumer Disclosure Report”를 여기서 요청할 수 있음: https://consumer.risk.lexisnexis.com/
    NYT에 따르면 LexisNexis는 GM, Ford, Kia, Subaru, Mitsubishi에서 일부 데이터를 받는다고 함
    Verisk도 GM, Hyundai, Honda 등에서 데이터를 받으며 여기서 요청 가능함: https://fcra.verisk.com/#/

    • 어제 올라온 관련 글도 있음: Automakers are sharing consumers' driving behavior with insurance companies - https://news.ycombinator.com/item?id=39666976 - 2024년 3월, 댓글 321개
      그 글은 프론트 페이지에 3시간밖에 머물지 않았으니 이번 글도 다시 올라올 만함
    • 비밀유지 명령이 끝난 뒤 이 얘기를 쓴 적이 있음
      GM은 모든 텔레매틱스 데이터를 100Gbps 규모로 처리하는 대형 데이터 클러스터로 보내고 있었고, Cisco가 400Gbps 지원을 내놓으면 데이터도 두 배가 될 예정이었음
      원래 목적은 중고차 가격 산정을 돕는 것이었고 그 자체는 괜찮은 취지라 지지했지만, 보험 중개업자에게 판매되는 줄은 몰랐고 사실 예상했어야 했음
      이제 판도라의 상자는 열렸고, 이 기능을 되돌리지는 않을 것임. 벌금을 내고, 일부 사용자에게 opt-out을 제공하겠지만 실제로 선택하는 사람은 5% 정도일 것이고, 10년 뒤에는 보험사가 운전 습관을 감시하는 게 당연하게 여겨질 것임
      실시간 위치 데이터 판매 논란이 난 지 10년이 지났는데, 어젯밤에도 집 IP 주소가 내 위치를 0.25마일 정확도로 보고하는 걸 봤음. Verizon에서 받은 5달러 수표가 그 벌금이었나 봄
    • 링크가 유용함. 목록에 있는 브랜드는 아니고 Mazda를 타지만, 이런 데이터 중개업자들이 전반적으로 내 정보를 얼마나 갖고 있는지 궁금함
      이런 업체들은 그림자 속에서 잊힌 채 운영되는 데 익숙할 테니, 더 많은 사람이 보고서를 요청하는 것만으로도 사람들이 지켜보고 있다는 작은 신호가 될 수 있음
    • 오늘 아침 다른 곳에서 알게 되어 소비자 공개 보고서를 막 신청했음
      추가 기능이나 월 구독을 쓰지 않는데도 내 차에서 뭔가 보고됐는지 매우 궁금함
    • LexisNexis가 선의로 이 보고서를 제공하는 건 아닐 테고, 아마 FCRA상 의무일 것 같음
      LexisNexis가 이런 데이터를 수집하는 게 정말 싫거나 신용 상태를 계속 확인하고 싶다면, 매일 우편 보고서를 요청하는 스크립트를 돌리지 말아야 할 이유가 있을까 싶음. 우편 한 통당 비용이 얼마인지는 몰라도 365통이면 싸지는 않을 것임

  • 고소 내용은 크게 세 가지임: 원고의 운전 데이터를 동의 없이 부적절하게 공유·보고해 자동차 보험 가입 능력과 보험료에 영향을 줬다는 공정신용보고법(FCRA) 위반, 차주가 알거나 동의하지 않은 상태에서 개인 운전 데이터를 공유했다는 Florida Deceptive and Unfair Trade Practices Act 위반, 동의 없는 추적·수집·공유가 사생활에 침입하고 불쾌감을 준다는 Florida 보통법상 사생활 침해

  • 앞으로 몇 년 동안 데이터 중개업자들이, 사실상 거의 모든 대기업까지 포함해, 얼마나 불쾌한 일을 하고 있었는지 많이 알게 될 것임

    • 고위 경영진과 이사회 구성원이 형사 유죄 판결과 징역형을 받지 않는 한 계속될 것이고, “불쾌함”은 사라지는 게 아니라 정상화될 뿐임
    • 건강보험 산업이 자동차보험보다 몇 배 크다면, Ancestry나 23&me가 호기심 많은 이모의 DNA 데이터를 팔 유인이 매우 클 수밖에 없음. 그 데이터는 친족 관계와도 연결돼 있음
    • 제발 이런 업체들을 제대로 제어할 수 있으면 좋겠음
    • 이런 현상에도 새로운 “-flation” 용어가 필요함. 예를 들면 privacyflation처럼, 돈뿐 아니라 프라이버시로도 비용을 치르는 상황임
    • 내 스팸 전화의 압도적 다수는 ZoomInfo, Apollo 같은 곳에서 내 정보를 산 쪽에서 옴
      어딘가에서 실수해 개인 번호가 넘어간 뒤로, 스팸 전화가 올 때마다 정보 출처를 말하라고 요구함. 처음엔 “우리 데이터팀”이라고 둘러대지만 계속 묻다 보면 알려줌
      이런 데이터 거래 회사들은 정말 역겨움

  • 셀룰러를 통한 추적은 절대 멈추지 않지만, 긴급 상황에서 구독료를 내지 않으면 응급 서비스를 대신 불러주지는 않음
    결국 네 데이터가 너보다 더 중요하다는 뜻임

    • 이 스레드를 보며 사람들이 드디어 감시의 전체 범위를 깨닫고 있다는 점은 좋음
      몇 년 동안 정부기관의 표적이 된 적이 있고 기술 지식도 있어서, 이런 사생활 침해와 통제가 실제로 어떻게 쓰이는지 봐 왔음. 기술이나 인터넷이 없었다면 불가능했을 일도 많음
      휴대폰을 포기하는 수준보다 훨씬 큰 문제임. 말 그대로 감시 국가이고, 도시가 콘크리트 감옥처럼 바뀐 곳을 떠나 교외로 가도 집집마다 현관 카메라가 있으며 법 집행기관이 접근할 수 있음
      이런 것을 남용하고 특정인에게 무기화하는 데 법원 명령이나 영장이 꼭 필요한 것도 아님. 적절한 사람과 그럴듯한 서사만 있으면, 회사들은 고객에게도 온갖 일을 함
      SIM 카드를 빼고 긴급 서비스까지 어떻게든 비활성화해도, 휴대폰은 여전히 신호를 보내고 여러 스캐너가 이를 수집함
      이런 일이 대규모로 일어난다는 사실조차 받아들이는 사람이 거의 없고, 그 함의를 제대로 생각할 수 있는 사람은 더 적음. 대중은 이 모든 결과를 더 잘 알아야 함
    • 셀룰러 추적이 멈추지 않는다면 휴대폰을 안 들고 다니면 됨
      꽤 잘 통함

  • GM은 앞으로 내 돈을 받지 않으려고 정말 열심히 노력하는 것 같음
    새 전기차에서 CarPlay와 Android Auto 지원을 빼더니 이제는 이것까지 나옴. 그냥 지침

    • GM은 지금 평범함 속에서 허우적대는 것 같음
      영감 없는 플라스틱 상자를 찍어내고 고객에게 계속 잔돈을 뜯어내려 함. 개인적으로는 해외 제조사들이 완전히 앞서가고 있음
      자동차 업계 집안에서 자라 Big 3에 충성심이 깊었지만 이제는 그 차들을 피하기 시작했음. 오래 달릴 수는 있어도 여기저기 망가지기 시작함
    • GM이 후진 중이 아닐 때 후진등을 켜는 걸 멈추기 전까지는 절대 GM을 사지 않을 것임
      이 작은 기능 하나가 전 세계 주차장에서 헤아릴 수 없는 혼란을 만들었음
      https://www.reddit.com/r/cars/comments/rshlke/why_do_gm_vehi...
    • GM은 이미 전반적으로 김빠진 차만 내놓으면서 나에게는 충분히 그렇게 해왔음
      대부분 브랜드가 예전의 껍데기만 남았고, 특히 Cadillac이 그렇고, 마음에 든 Chevy를 마지막으로 본 게 언제인지 기억나지 않음
    • 이 이유만으로 이미 GM을 포함해 여러 제조사를 구매 목록에서 뺐음
      지갑으로 투표해야 함. 허락 없이 내 데이터를 가져가면 내 거래도 잃는 것임
    • 애초에 왜 GM을 원하겠음?
      일본차, 독일차, 어느 정도는 한국차도 훨씬 낫고, 픽업트럭을 원한다면 Ford가 훨씬 나음

  • 텔레매틱스는 비활성화해야 하고, 가능하면 모뎀 칩의 전원 입력을 물리적으로 차단하는 방식이 좋음
    음모론자라고 불러도 좋지만, 23andMe가 보험회사에 인수될 때를 생각하면, 선명한 opt-in 없이 한쪽 데이터가 다른 쪽에 넘어갈 때 보험 가입 가능성 문제가 생길 유사점이 많음

    • 다행히 대부분의 최신 Toyota 차량에는 모뎀 전원을 끄는 DCS라는 퓨즈가 있음
    • 다행히 GINA는 23andMe 데이터를 건강보험에 사용하는 것을 불법으로 만듦

  • GM에서 받은 이메일에 따르면 OnStar Smart Driver 가입자는 데이터 공유를 거부할 수 없다고 함
    이는 적어도 California 개인정보 규정, 아마 다른 주 법도 위반한다고 봄. 해당 규정들은 opt-out을 의무화함. 진심으로 차에서 모뎀을 뜯어내고 싶음

  • 개인정보를 수집하고 저장하는 비용은 터무니없이 비싸져야 함
    LexisNexis는 자신들이 뭘 하는지 정확히 알고 있었고, 아마 이미 제품 비용에 소송 비용까지 반영했을 것임
    Experian은 그 많은 데이터를 유출했을 때 회사가 사라질 정도로 벌금을 맞았어야 했음. 그 장례 화염이 같은 길로 가는 회사들에게 경고가 됐을 것임

    • 정말 분노가 남. 받아야 했던 수준에 비하면 아무런 결과도 없었을 뿐 아니라, 여전히 모든 대출과 신용한도 신청 때마다 동결을 풀어야 하는 유일한 보고서가 Experian임
      일반 데이터에도 HIPAA 같은 법이 있었으면 좋겠음

  • 최근 Toyota를 산 이유 중 하나는 구매 직후 차 안의 “SOS” 버튼을 눌러 텔레매틱스를 꺼 달라고 요청할 수 있었기 때문임
    실제로 위치정보 수집을 멈췄는지, 또는 나중에 임의로 다시 켤 수 있는지는 모르겠어서 송신기에 전원을 공급하는 퓨즈도 뽑았음. 혹시 몰라 일부 부품을 패러데이 케이지로 감싸는 것도 고민 중임
    새 차를 고를 때 차가 나를 감시하지 못하게 할 수 있는지가 원하는 기능 목록의 거의 최상단에 있었음. 이게 전기차를 또 사지 못하게 하는 큰 이유 중 하나임
    내가 사는 곳의 시장에는 계속 감시하지 않거나 끌 수 있는 선택지가 있는 차가 없는 것으로 알고 있음
    Mozilla의 이 글도 읽을 만함: https://foundation.mozilla.org/en/privacynotincluded/article...

    • “전기차”가 이제 바퀴 달린 태블릿을 뜻하는 것 같아 매우 짜증남
      그냥 휘발유 대신 배터리가 들어간 “멍청한” 차를 원함
      지인이 Mitsubishi 전기 미니밴 일본 모델을 갖고 있는데, 지금까지 본 것 중 완벽한 “멍청한 전기차”에 가장 가까움. 주행감도 훌륭함. 다만 추운 눈 많은 지역에서는 중요한 4x4 모델을 아직 만들지 않음
    • Kia EV6에는 숨겨진 엔지니어링 메뉴에 텔레매틱스 토글이 있음
      Massachusetts에서 판매되는 차량은 주의 “수리할 권리” 법에 항의하는 차원에서 기본 비활성화되어 있고, 다른 지역에서는 직접 끌 수 있음
    • 작년에 Toyota를 샀고 앱에 여러 opt-in/out 옵션이 명확히 보였음
      Toyota가 대놓고 거짓말을 하는 게 아니라면 나는 opt-out했다고 비교적 믿고 있었음. 확실히 보려면 내 정보를 요청해 봐야겠음
    • 차를 사려는 중이고 2024 Prius로 거의 좁혔음
      Mozilla 자료와 자동차 포럼에서 개인정보 문제와 텔레매틱스 on/off 가능성을 읽어봤지만, 실제로 수집을 멈추는지는 결론이 안 남
      물리적으로 어떤 퓨즈를 뽑았는지 참고한 링크가 있는지 궁금함
    • 모뎀 전용 퓨즈가 따로 있다고 함
      그걸 빼면 텔레매틱스를 없앨 수 있음. 그래도 나는 24년 된 Lexus를 계속 탈 것임

  • 프라이버시 권리장전이 필요함
    사실 다른 접근법은 통하지 않음

    • 여기에 어떤 서비스 약관에도 넣을 수 없는 조항을 다루는 부분도 포함되면 좋겠음
    • GDPR 같은 것 말인가?
답변달기