GM·OnStar·LexisNexis Risk Solutions पर क्लास एक्शन मुकदमा [PDF]
(static01.nyt.com)- Florida निवासी Romeo Chicco ने Cadillac XT6 खरीदने के बाद उनके driving data को बिना सहमति collect और transmit कर insurance underwriting में इस्तेमाल किए जाने का आरोप लगाते हुए GM, OnStar और LexisNexis Risk Solutions के खिलाफ class action lawsuit दायर किया
- दावे का मुख्य आधार LexisNexis द्वारा Fair Credit Reporting Act का उल्लंघन, GM·OnStar द्वारा Florida Deceptive and Unfair Trade Practices Act का उल्लंघन, और Florida common law के तहत privacy invasion है
- वादी का कहना है कि purchase contract और OnStar guidance में उन्हें data sharing या OnStar Smart Driver की अलग subscription के बारे में जानकारी नहीं मिली, और उन्होंने इस program के लिए कभी सहमति भी नहीं दी
- जनवरी 2024 में मिली LexisNexis consumer disclosure report में Telematics item के तहत 258 driving events थे, जिनमें driving time, acceleration, hard braking, high-speed events, distance और VIN शामिल थे
- insurance enrollment अस्वीकार होना और premium में तेज बढ़ोतरी सीधे नुकसान के रूप में पेश किए गए हैं, और वादी का विवाद है कि driving events की definition, calculation method और context के बिना negative information का उपयोग किया गया
मुकदमे की मूल संरचना
- Romeo Chicco ने अपने जैसी स्थिति वाले लोगों का प्रतिनिधित्व करते हुए class action lawsuit दायर किया
- प्रतिवादी 3 entities हैं
- General Motors LLC
- OnStar LLC
- LexisNexis Risk Solutions Inc.
- दावे के आधार ये तीन हैं
- Fair Credit Reporting Act, 15 U.S.C. § 1681 et seq.
- Florida Deceptive and Unfair Trade Practices Act, Fla. Stat. § 501.201 et seq.
- Florida common law के तहत privacy invasion
- वादी का आरोप है कि inaccurate या negative driving information उनकी जानकारी और सहमति के बिना report की गई, और data transfer व disclosure privacy invasion के बराबर है
- इसमें यह दावा भी शामिल है कि प्रतिवादियों के आचरण से उन्हें नुकसान और काफी मानसिक पीड़ा हुई
Jurisdiction और पक्षकार
- मामला अमेरिका के Southern District of Florida में दायर किया गया
- federal law के उल्लंघन के आधार पर federal question jurisdiction लागू होता है, और state law claims supplemental jurisdiction पर आधारित हैं
- वादी Palm Beach County, Florida के निवासी natural person हैं, और FCRA के तहत खुद को consumer बताते हैं
- GM और OnStar Florida में business करने वाली entities हैं
- LexisNexis को Florida में business करने वाली global data और analytics company के रूप में पेश किया गया है
- complaint में GM और OnStar को consumer reporting agencies को information प्रदान करने वाले furnisher, और LexisNexis को FCRA के तहत consumer reporting agency बताया गया है
Cadillac की खरीद और OnStar guidance
- वादी ने लगभग 16 नवंबर 2021 को Delray Beach, Florida के Ed Morse Cadillac से 2021 model Cadillac XT6 नई car के रूप में खरीदी
- purchase contract में sale details थीं, लेकिन वादी का दावा है कि निम्न items नहीं थे
- OnStar
- LexisNexis
- data sharing
- personal information से जुड़े items
- वादी का दावा है कि dealership representative ने कहा कि OnStar Smart Driver “store में बेची जाने वाली चीज” नहीं है, और OnStar dealer को यह disclose नहीं करता कि data sharing program में कौन और कब enrolled हुआ
- खरीद के तुरंत बाद वादी ने mobile device पर MyCadillac Application download किया
- 18 नवंबर 2021 को उन्हें email मिला कि Cadillac Connected Services trial और Safety & Security coverage शुरू हो गए हैं
- email में Welcome Call शुरू करने के लिए नीला OnStar button दबाने को कहा गया था
- included items में Connected Navigation, OnStar Safety & Security, Remote Access, In-Vehicle Data आदि थे
- वादी का दावा है कि वे OnStar services नहीं चाहते थे, इसलिए उन्होंने नीला button नहीं दबाया, और email में OnStar Smart Driver Program का उल्लेख भी नहीं था
- बाद में उन्हें OnStar diagnostics emails मिले, लेकिन वादी का दावा है कि उन्होंने इसे MyCadillac app द्वारा दिए जाने वाला feature समझा
- उनका दावा है कि bill में OnStar-related services की कोई purchase या payment शामिल नहीं थी
Smart Driver consent का मुद्दा
- लगभग फरवरी 2024 में dealership ने वादी को OnStar Smart Driver FAQ दिया
- FAQ का relevant हिस्सा बताता है कि OnStar customer consent के बिना driving behavior data collect नहीं करता
- FAQ के अनुसार customer को basic OnStar services से अलग OnStar Smart Driver में enroll करना होता है, और Smart Driver के लिए अलग consent आवश्यक है
- consent और enrollment के बाद vehicle performance के आधार पर जो data collect हो सकता है, वह इस प्रकार है
- hard braking events
- hard acceleration events
- 80 mph से अधिक speed
- average speed
- late-night driving
- driving occurrence time
- driving distance
- 12 मार्च 2024 तक GM के online Cadillac Owner Center में वादी की Vehicle Profile दिखाती थी कि vehicle account से connected नहीं है
Insurance refusal और LexisNexis report
- वादी ने 2021, 2022 और 2023 के अधिकांश समय में उसी insurer का उपयोग किया, और उस insurer ने insurance को बार-बार renew किया
- लगभग दिसंबर 2023 में मौजूदा insurer ने वादी को बताया कि वह अब Florida residents को insurance प्रदान नहीं करेगा
- लगभग 18 दिसंबर 2023 को वादी ने कई insurers की online services के जरिए insurance लेने की कोशिश की, लेकिन हर insurer ने enrollment attempt reject कर दिया
- वादी का दावा है कि जब उन्होंने Liberty Mutual को call कर rejection का कारण पूछा, तो agent ने बताया कि यह वादी की LexisNexis report information के कारण है और report access करने का तरीका बताया
- वादी का कहना है कि उन्होंने LexisNexis report request की, और consumer disclosure materials मिलने में 2–3 हफ्ते लगे
- उस दौरान उन्होंने local insurance agent से बात कर insurer खोजने की कोशिश की, लेकिन उनका दावा है कि premium लगभग दोगुना हो गया
- वादी ने बताया कि इस प्रक्रिया में उन्हें गहरी निराशा और shock महसूस हुआ
Telematics records की सामग्री और सीमाएं
- जनवरी 2024 के आसपास वादी को मिली LexisNexis consumer disclosure report में 18 दिसंबर 2023 तक Telematics sub-item के तहत 258 driving events recorded थे
- हर driving event में निम्न details शामिल थीं
- trip start date और end date
- start time और end time
- acceleration events
- hard braking events
- high-speed events
- distance
- VIN
- वादी का दावा है कि report driving events के बारे में context प्रदान नहीं करती
- उदाहरण के लिए, एक specific record में 2 acceleration events और 1 hard braking event दिखाया गया था, लेकिन वादी का दावा है कि report में इन terms की definition या calculation method नहीं था
- वादी का दावा है कि report यह भी explain नहीं करती कि उन्हें ऐसे events क्यों हुए, और उस समय driving conditions व external factors क्या थे
LexisNexis·GM·OnStar के साथ phone calls
- 11 जनवरी 2024 को वादी ने LexisNexis को call कर पूछा कि बिना consent driving data क्यों collect किया गया
- वादी का दावा है कि LexisNexis ने उन्हें GM को call करने को कहा
- उसी दिन जब वादी ने GM को call किया, तो GM ने explain किया कि telematics data OnStar के जरिए transmit होता है
- वादी ने जब कहा कि उन्होंने OnStar में कभी enroll नहीं किया, तो GM representative ने confirm किया कि वादी की vehicle से OnStar plan जुड़ा है और उन्हें OnStar representative से connect किया
- वादी का दावा है कि OnStar representative ने कहा कि telematics data insurers तक पहुंचने का एकमात्र तरीका यह है कि वादी ने insurer के जरिए safe-driving discount program में opt in किया हो
- वादी का दावा है कि उन्होंने ऐसे किसी insurance program में opt in नहीं किया
- इसके बाद उन्होंने दूसरे OnStar representatives से भी बात की, लेकिन वादी का दावा है कि कोई भी यह explain नहीं कर सका कि OnStar ने consent के बिना telematics information distribute क्यों की
1 टिप्पणियां
Hacker News की राय
मुकदमे के अनुसार, वादी OnStar सेवा नहीं चाहता था, इसलिए उसने “शुरू करने के लिए” नीला बटन नहीं दबाया था, और ईमेल में भी OnStar के Smart Driver Program का कोई उल्लेख नहीं था
लेकिन जनवरी 2024 के आसपास प्राप्त LexisNexis उपभोक्ता खुलासा रिपोर्ट में 18 दिसंबर 2023 की स्थिति के अनुसार “Telematics” श्रेणी के तहत 258 ड्राइविंग इवेंट दर्ज थे, और हर इवेंट में शुरुआत/समाप्ति की तारीख और समय, तेज acceleration, तेज braking, high-speed driving, दूरी, और VIN शामिल थे
वादी ने कभी भी ऐसी किसी insurance program में नामांकन नहीं किया था जो उसकी जानकारी साझा करने की अनुमति देता हो
संबंधित पोस्ट: “Automakers are sharing consumers' driving behavior with insurance companies” - https://news.ycombinator.com/item?id=39666976
अगर आपके पास पिछले लगभग 5 साल के भीतर बनी कार है, तो आप LexisNexis की “Consumer Disclosure Report” यहाँ से माँग सकते हैं: https://consumer.risk.lexisnexis.com/
NYT के अनुसार LexisNexis को GM, Ford, Kia, Subaru, Mitsubishi से कुछ डेटा मिलता है
Verisk को भी GM, Hyundai, Honda आदि से डेटा मिलता है, और इसे यहाँ से माँगा जा सकता है: https://fcra.verisk.com/#/
वह पोस्ट front page पर सिर्फ 3 घंटे रही थी, इसलिए यह पोस्ट फिर से आना उचित है
GM सारे telematics data को 100Gbps स्तर पर प्रोसेस करने वाले एक बड़े data cluster में भेज रहा था, और Cisco के 400Gbps support जारी करते ही डेटा भी दोगुना होने वाला था
मूल उद्देश्य used car pricing तय करने में मदद करना था, और वह अपने आप में ठीक इरादा था इसलिए मैं उसके पक्ष में था, लेकिन यह insurance brokers को बेचा जा रहा है, यह मुझे नहीं पता था, हालाँकि सच कहूँ तो मुझे इसका अंदाज़ा होना चाहिए था
अब Pandora’s box खुल चुका है, और वे इस फीचर को वापस नहीं लेंगे। वे जुर्माना भरेंगे, कुछ users को opt-out देंगे, लेकिन वास्तव में इसे चुनने वाले शायद 5% के आसपास होंगे, और 10 साल बाद insurers द्वारा driving habits की निगरानी करना सामान्य माना जाएगा
real-time location data की बिक्री पर विवाद हुए 10 साल हो चुके हैं, और कल रात भी मैंने देखा कि मेरा home IP address मेरी location को 0.25 mile की सटीकता से बता रहा था। शायद Verizon से मिला 5 डॉलर का चेक उसी जुर्माने का हिस्सा था
ऐसे कारोबार छाया में, भुला दिए जाने की स्थिति में काम करने के आदी होते हैं, इसलिए अगर ज़्यादा लोग रिपोर्ट माँगें, तो सिर्फ वही इस बात का छोटा संकेत हो सकता है कि लोग देख रहे हैं
मैं कोई अतिरिक्त feature या monthly subscription इस्तेमाल नहीं करता, इसलिए यह जानने की बहुत उत्सुकता है कि क्या मेरी कार से भी कुछ रिपोर्ट किया गया है
अगर किसी को सच में यह पसंद नहीं कि LexisNexis ऐसा डेटा इकट्ठा करे, या वह अपनी credit status पर लगातार नज़र रखना चाहता हो, तो क्या कोई वजह है कि वह हर दिन डाक से रिपोर्ट मँगाने वाली script न चलाए? प्रति डाक भेजने की लागत कितनी है, पता नहीं, लेकिन 365 चिट्ठियाँ सस्ती नहीं होंगी
मुकदमे के आरोप मोटे तौर पर तीन हैं: वादी के driving data को बिना सहमति अनुचित तरीके से साझा और रिपोर्ट करके उसकी auto insurance लेने की क्षमता और premium को प्रभावित करना, जो Fair Credit Reporting Act (FCRA) का उल्लंघन है; वाहन मालिक की जानकारी या सहमति के बिना व्यक्तिगत driving data साझा करना, जो Florida Deceptive and Unfair Trade Practices Act का उल्लंघन है; और बिना सहमति tracking, collection और sharing के जरिए निजता में दखल और असुविधा पहुँचाना, जो Florida common law के तहत privacy invasion है
आने वाले कुछ वर्षों में हमें यह बहुत अधिक पता चलेगा कि data brokers, और सच तो यह है कि लगभग सभी बड़े corporations, कितनी घिनौनी चीजें कर रहे थे
कहीं किसी गलती से मेरा personal number पहुँच जाने के बाद, अब जब भी spam call आती है, मैं उनसे जानकारी के स्रोत के बारे में बताने को कहता हूँ। पहले वे “हमारी data team” कहकर टालते हैं, लेकिन पूछते रहो तो बता देते हैं
ऐसी data trading companies वाकई घिनौनी हैं
cellular के ज़रिए tracking कभी सच में बंद नहीं होती, लेकिन emergency में अगर आप subscription fee नहीं देते, तो यह आपकी तरफ़ से emergency services को कॉल भी नहीं करता
आख़िरकार इसका मतलब यही है कि आपका data, आपसे ज़्यादा महत्वपूर्ण है
मैं कई सालों तक सरकारी एजेंसियों के निशाने पर रहा हूँ और मुझे तकनीकी जानकारी भी है, इसलिए मैंने देखा है कि इस तरह की privacy intrusion और control का असल में कैसे इस्तेमाल होता है. ऐसी बहुत-सी चीज़ें हैं जो technology या internet के बिना संभव ही नहीं होतीं
यह सिर्फ़ मोबाइल फ़ोन छोड़ देने से कहीं बड़ा मुद्दा है. यह शब्दशः एक surveillance state है, और अगर आप शहरों को छोड़कर suburb में भी चले जाएँ, जहाँ शहर concrete जेल जैसे हो चुके हैं, तब भी हर घर पर doorbell camera लगा है और law enforcement उस तक पहुँच सकती है
इन चीज़ों का दुरुपयोग करने और किसी खास व्यक्ति के ख़िलाफ़ इन्हें हथियार बनाने के लिए court order या warrant की भी हमेशा ज़रूरत नहीं होती. बस सही लोग और एक भरोसेमंद narrative चाहिए, फिर कंपनियाँ अपने customers के साथ भी हर तरह की हरकतें करती हैं
SIM card निकाल देने और किसी तरह emergency services को भी disable कर देने के बाद भी, फ़ोन अब भी signal भेजता रहता है और कई scanner उन्हें इकट्ठा कर लेते हैं
बहुत कम लोग यह तक स्वीकार करते हैं कि यह सब इतने बड़े पैमाने पर हो रहा है, और इससे भी कम लोग इसके नतीजों पर सच में विचार कर पाते हैं. आम लोगों को इस सबके परिणामों के बारे में कहीं ज़्यादा पता होना चाहिए
काफ़ी अच्छी तरह काम करता है
लगता है GM सचमुच बहुत मेहनत कर रहा है ताकि उसे भविष्य में मेरा पैसा न मिले
नई EVs में CarPlay और Android Auto support हटाने के बाद अब यह भी सामने आ गया. बस शर्मनाक
बिना प्रेरणा वाले plastic box बनाकर निकाल रहा है और customers से लगातार और पैसे निचोड़ना चाहता है. मेरी नज़र में foreign manufacturers अब पूरी तरह आगे निकल चुके हैं
मैं automotive industry वाले परिवार में बड़ा हुआ हूँ और Big 3 के लिए मेरी गहरी निष्ठा थी, लेकिन अब मैंने उनकी गाड़ियाँ लेना टालना शुरू कर दिया है. वे लंबे समय तक चल तो सकती हैं, लेकिन जगह-जगह टूट-फूट शुरू हो जाती है
इस एक छोटे से feature ने दुनिया भर की parking lots में बेहिसाब भ्रम पैदा किया है
https://www.reddit.com/r/cars/comments/rshlke/why_do_gm_vehi...
ज़्यादातर brands अपने पुराने रूप की सिर्फ़ खोखली परछाईं भर रह गए हैं, खासकर Cadillac, और मुझे याद भी नहीं कि आख़िरी बार कोई Chevy मुझे कब पसंद आई थी
wallet से vote करना चाहिए. अगर आप बिना अनुमति मेरा data लेते हैं, तो आप मेरा business भी खो देते हैं
Japanese, German, और कुछ हद तक Korean कारें भी इससे कहीं बेहतर हैं, और अगर pickup truck चाहिए तो Ford बहुत बेहतर है
telematics को disable कर देना चाहिए, और अगर संभव हो तो modem chip के power input को physically disconnect करना बेहतर है
मुझे conspiracy theorist कह लें, लेकिन जब 23andMe को किसी insurance company द्वारा खरीदे जाने की बात सोचते हैं, तो इसमें कई मिलती-जुलती बातें दिखती हैं कि बिना साफ़ opt-in के एक तरफ़ का data दूसरी तरफ़ चला जाए और उससे insurance eligibility की समस्या पैदा हो
DCSनाम का fuse होता है जो modem power बंद कर देता हैGM से मिले email के मुताबिक OnStar Smart Driver subscribers data sharing से इंकार नहीं कर सकते
मेरी राय में यह कम-से-कम California privacy regulations, और शायद दूसरे states के क़ानूनों का भी उल्लंघन है. उन नियमों में opt-out अनिवार्य है. सच में मन करता है कि कार से modem ही उखाड़ फेंकूँ
खास तौर पर “Do Not Sell or Share My Personal Information” लिंक अनिवार्य है
https://oag.ca.gov/privacy/ccpa#sectionh
https://oag.ca.gov/contact/consumer-complaint-against-busine...
personal data इकट्ठा करने और store करने की लागत बेहूदगी की हद तक महंगी होनी चाहिए
LexisNexis को ठीक-ठीक पता था कि वह क्या कर रहा था, और शायद उसने product cost में litigation cost भी पहले से जोड़ रखी होगी
Experian को इतना data leak करने पर ऐसे जुर्माने लगने चाहिए थे कि कंपनी ही ख़त्म हो जाती. उस चिता की आग उसी रास्ते पर चलने वाली दूसरी कंपनियों के लिए चेतावनी बनती
काश आम data के लिए भी HIPAA जैसे क़ानून होते
मैंने हाल ही में Toyota खरीदने का एक कारण यह था कि खरीद के तुरंत बाद कार के अंदर “SOS” बटन दबाकर telematics बंद करने का अनुरोध किया जा सकता था
वास्तव में location data का collection रुका या नहीं, या बाद में इसे मनमाने ढंग से फिर से चालू किया जा सकता है या नहीं, यह नहीं पता, इसलिए मैंने transmitter को power देने वाला fuse भी निकाल दिया। एहतियातन कुछ हिस्सों को Faraday cage से ढकने पर भी विचार कर रहा हूँ
नई कार चुनते समय यह बात कि कार मेरी निगरानी न कर सके, मेरी चाही गई features की सूची में लगभग सबसे ऊपर थी। यही एक बड़ा कारण है कि मैं फिर से EV नहीं खरीद पा रहा हूँ
जहाँ मैं रहता हूँ, वहाँ के बाज़ार में ऐसी कोई कार उपलब्ध नहीं है जो लगातार निगरानी न करती हो या जिसे बंद किया जा सके
Mozilla का यह लेख भी पढ़ने लायक है: https://foundation.mozilla.org/en/privacynotincluded/article...
मुझे बस ऐसी “dumb” कार चाहिए जिसमें petrol की जगह battery हो
मेरे एक परिचित के पास Mitsubishi electric minivan का Japan model है, और अब तक जो मैंने देखा है उसमें वह लगभग एकदम सही “dumb EV” के सबसे करीब है। उसे चलाने का अनुभव भी शानदार है। बस ठंडे और बर्फ़ीले इलाकों में ज़रूरी 4x4 model अभी तक नहीं बनाया गया है
Massachusetts में बेची जाने वाली गाड़ियों में राज्य के “right to repair” कानून के विरोध में यह default रूप से disabled है, और दूसरे इलाकों में इसे खुद बंद किया जा सकता है
अगर Toyota खुलकर झूठ नहीं बोल रही, तो मुझे काफ़ी हद तक भरोसा था कि मैंने opt-out कर दिया है। पक्का करने के लिए शायद मुझे अपना data request करना चाहिए
Mozilla की सामग्री और car forums में privacy issues और telematics on/off की संभावना के बारे में पढ़ा है, लेकिन क्या इससे वास्तव में data collection रुकता है, इस पर कोई ठोस निष्कर्ष नहीं मिला
जानना चाहता हूँ कि आपने physically कौन-सा fuse निकाला था, क्या उसके लिए कोई संदर्भ लिंक है
उसे निकालने से telematics हटाया जा सकता है। फिर भी मैं अपनी 24 साल पुरानी Lexus ही चलाता रहूँगा
Privacy Bill of Rights की ज़रूरत है
सच कहें तो दूसरा कोई तरीका काम नहीं करता