同意管理プラットフォームを提供するSecure Privacy（セキュアプライバシー）は2026年10月14日、コネクテッドカーや専用アプリを通じたデータ共有の実態調査と、規制当局による法執行が一般企業に与える影響についての解説記事を公開した。自動車メーカーに限らず、アプリやウェブサイトにサードパーティーのソフトウェアを組み込む全ての企業にとって、データ共有と同意管理のあり方を見直す契機となる内容をまとめている。
2024年10月から2025年8月にかけて、Northeastern UniversityとConsumer Reportsは19ブランド21台の最新車両と30の専用アプリを対象に調査を実施した。この調査では、21台中19台がWi-Fi経由でサードパーティーと通信し、11台が広告やトラッキングのドメインに接触していることが判明した。さらに30中7つのアプリが車両識別番号や位置情報などの機密データを広告企業などへ送信しており、アプリの利用によって車両のトラッキング露出が約2倍に増えることも確認された。例えばGMのアプリは10社に対して車両識別番号を送信し、HondaLinkは正確な位置情報を分析会社へ送信していた。調査対象となった全てのメーカーはプライバシーポリシーでデータの共有可能性を示唆していたものの、共有先の企業名や目的を明記している企業は一つもなかった。指摘を受けたメーカーの多くはベンダーとの契約通りであると回答したが、Hondaのみが位置情報の削除と送信停止の対応を行った。
こうした不透明なデータ共有に対し、規制当局による法執行の波が押し寄せている。2025年1月にはテキサス州司法長官が、サードパーティー製アプリに組み込まれたソフトウェアを通じて同意なしに位置情報を収集したとしてAllstateとArityを提訴した。カリフォルニア州プライバシー保護局も、オプトアウト手順の不備を理由に2025年3月にHondaへ、2026年3月にFordへそれぞれ罰金を科している。また、連邦取引委員会は2026年1月に、有効な同意なしにデータを販売したGMとOnStarに対して20年間にわたる同意審決を下した。さらに2026年5月には、カリフォルニア州司法長官がデータブローカーへの運転データ販売と過剰なデータ保持を理由に、GMと1,275万ドルの和解案に合意している。
Secure Privacyは、これら連邦取引委員会やカリフォルニア州の命令が、位置情報を取り扱う全ての企業にとっての実質的な基準になると指摘している。具体的には、利用規約とは独立した肯定的な明示的同意の取得や、信用情報機関へのデータ提供制限、保持スケジュールの公開と期限切れデータの削除などが求められる。この規制強化は自動車業界にとどまらず、モバイルアプリやスマート家電、ウェブサイトを運営する全ての企業に適用される。企業は自社のポリシーの記述だけでなく、組み込まれたコードが実際に何のデータをどこへ送信しているのか、ネットワークトラフィックを直接監査して把握する必要がある。
企業が直ちに取り組むべき実践的な対策として、正確な位置情報の収集前には明確なオプトイン同意を取得し、オプトアウトの手続きを妨げない設計にすることが挙げられる。また、曖昧なポリシー表現を改めて共有目的と対象を具体化し、不要になったデータは速やかに削除しなければならない。これに加えて、コネクテッドカーの機能がDV被害者などの監視に悪用されるリスクへの配慮も求められる。カリフォルニア州の法律では不正なリモートアクセスを迅速に遮断することが義務付けられており、共有アクセス機能を持つ製品は、監視状況の確認と権限の取り消しが確実に行えるよう設計を見直す必要がある。
この製品の詳細については、Secure Privacy製品ページをご覧ください。
