【KEYWORD SYNC】走行データは誰に渡っているか — 社用車とリース契約の確認事項

米連邦取引委員会(FTC)は 2026 年 1 月 14 日、GM と OnStar に対する命令を確定した。位置情報と運転挙動データを信用情報機関へ渡すことを 5 年間禁じ、命令そのものは 20 年続く。社用車を運用する企業にとってこれは、車が集めたデータが誰の手に渡るのかを、購入やリースの契約書の側で確かめておく話になる。

何が起きたか — 車が集めていたもの

FTC が 2025 年 1 月に出した申立てによれば、GM は OnStar の Smart Driver 機能を通じて、一部の利用者から 3 秒ごとに精密な位置情報を収集していた。記録されていたのは場所だけではない。急ブレーキ、深夜の運転、速度超過といった運転の挙動が、個別の項目として残されていた。

FTC は、加入の導線が紛らわしく誤解を招くものだったと指摘している。自分が Smart Driver に登録されていることを知らない利用者がいた。ある利用者は GM の担当者に対し、契約したのは OnStar に自分を追跡してもらうためであって、第三者に報告されるとは聞いていない、という趣旨を伝えていたことが申立てに記されている。

集められたデータは信用情報機関に渡り、そこで編集されたレポートを保険会社が参照した。引き受けの可否や料率の判断に使われた、というのが FTC の説明である。確定した命令は、位置情報と運転挙動データを信用情報機関へ開示することを 5 年間禁じる。加えて命令の有効期間である 20 年にわたり、コネクテッド車両データを収集・利用・共有する前に本人の明示的な同意を取ること、利用者がデータの写しを請求し削除を求められる窓口を用意すること、精密な位置情報の収集を利用者の側で止められるようにすることを求めている。

州法の側からも同じ結論 — 1,275 万ドルの和解

2026 年 5 月 8 日、カリフォルニア州司法長官は GM との和解を発表した。民事制裁金は 1,275 万ドル。州の消費者プライバシー法のもとでは最大規模とされ、データ最小化と目的制限の条項に焦点を当てた最初の執行案件だと位置づけられている。

売却先として名指しされたのは Verisk Analytics と LexisNexis Risk Solutions である。GM がこの販売から得ていたのは、2020 年から 2024 年にかけて全米で約 2,000 万ドルだった。和解の条件には、保有している走行データを本人の明示的な同意がない限り 180 日以内に削除すること、信用情報機関への販売を 5 年間停止すること、両社に対して提供済みデータの削除を要求することが含まれる。州司法長官は、GM がそうしないと繰り返し表明していたにもかかわらず、本人の知らないうちに、同意なくカリフォルニアのドライバーのデータを売却したと述べている。

技術の要点 — 同意した人と、運転する人がずれる

コネクテッドカーが外に出すのは、走行中に車両側で拾われる位置・速度・車両状態などのデータである。一件ずつを見れば無味乾燥な数列だが、同じ車両から継続して蓄積すると、どこに住み、どこへ通い、誰を訪ねているかという生活の輪郭が浮かぶ。だから位置情報は他の項目と扱いが違う。

日本の実務でも整理は近い。走行データは、それ単体でただちに個人情報になるわけではない。所有者や運転者の情報と結びつく場合、あるいは同一車両から集めたデータを蓄積することで個人を特定できる場合には、個人情報として取り扱う必要がある、とされている。第三者へ提供するなら本人の同意が要る。

ここに社用車固有のねじれがある。契約の名義は会社で、実際に運転してデータを生むのは従業員である。一台の車を家族や従業員が共同で使う場面では誰から同意を取るべきかが問題になる、という論点は国内でも早くから指摘されてきた。会社が車載サービスの利用規約に同意したという事実だけを根拠に、従業員個人の移動履歴を外部へ渡す同意まで成立していると読むのは、無理がある。

経営層への影響 / 日本企業への含意

自社で営業車を何台か持っている、あるいはリースで借りている。その時点で、確認すべき相手は三者に分かれる。車両メーカー(車載通信サービスの提供者)、リース会社やフリート管理サービスの事業者、そして車両保険の引受先である。米国の二件が示したのは、データが移動するのはこの三者のあいだであって、利用者の目に触れる画面の上ではない、ということだ。

契約側で確かめる項目は多くない。第一に、車載サービスが収集するデータ項目と送信先が契約書または付属の規約に列挙されているか。第二に、運転挙動データが保険会社や信用情報機関に相当する第三者へ渡る条項があるか、あるとすれば解除できるか。第三に、契約終了時と車両返却時にデータが削除されるか、その期限が書かれているか。第四に、収集を止めるスイッチが管理者側にあるのか、運転者側にしかないのか。

社内側の宿題も一つある。従業員に対して、社用車が何を記録し、どこまで会社が見るのかを書面で示しているか。就業時間外の移動まで記録が続く設定になっていないか。GPS を社用車に付けること自体は違法ではないが、説明のないまま勤務時間外の位置を取り続ければ、話は別の問題になる。

SYNCON の視点 — 同意の名義と、ハンドルを握る人の名前

この件を「米国の自動車メーカーの不祥事」として読むと、取るべき行動が出てこない。読み替えるべきは、同意の名義人と、データを実際に生んでいる人が一致しない契約が、自社にどれだけあるかという問いである。社用車はその典型だが、同じ構図は社給スマートフォン、業務用ウェアラブル、入退室のログにもある。会社が結んだ契約の下で、従業員の行動が外部の事業者に流れていく。渡した覚えがないのは、渡していないからではなく、契約書を読んでいないからであることが多い。

もう一つ。米国では規制当局が動いたことでデータの流れが可視化されたが、可視化されるまでに数年かかった。自社が先に把握する手段は、告発でも報道でもなく、調達と法務が契約を一度洗うことしかない。台数が少ない会社ほど、この作業は半日で終わる。来週の経営会議で問うべきは、当社の社用車が記録している走行データは、契約上いま誰に渡り得るのか、そして止める手段は誰の手にあるのか、である。

要点まとめ

• FTC は 2026 年 1 月 14 日、GM と OnStar への命令を確定。位置情報と運転挙動データの信用情報機関への提供を 5 年間禁止し、命令は 20 年続く
• FTC の申立てでは、一部の利用者から 3 秒ごとに精密な位置情報が収集され、急ブレーキ・深夜運転・速度超過が記録されていた
• カリフォルニア州は 2026 年 5 月 8 日に 1,275 万ドルで和解。売却先は Verisk Analytics と LexisNexis Risk Solutions、GM の収入は全米で約 2,000 万ドル
• 和解条件には、保有する走行データを 180 日以内に削除することが含まれる
• 日本でも、走行データが運転者と結びつけば個人情報として扱う必要があり、第三者提供には本人の同意が要る
• 社用車は契約名義(会社)とデータを生む人(従業員)がずれる。購入・リース契約のデータ条項と、従業員への説明を同時に点検する

情報ソース:
・Federal Trade Commission「FTC Finalizes Order Settling Allegations that GM and OnStar Collected and Sold Geolocation Data Without Consumers’ Informed Consent」(2026 年 1 月 14 日)
・Federal Trade Commission「FTC Takes Action Against General Motors for Sharing Drivers’ Precise Location and Driving Behavior Data Without Consent」(2025 年 1 月 16 日)
・California Department of Justice「Attorney General Bonta, Partners Secure $12.75 Million General Motors Privacy Settlement」(2026 年 5 月 8 日)
・Hunton Andrews Kurth「California AG Announces Record $12.75M Settlement with GM over CCPA Data Minimization and Purpose Limitation Violations」(2026 年 5 月)
・ベンチャースタートアップ弁護士の部屋「自動車プローブデータと個人情報」

PR