汽车制造商的胜利：美国法院关于汽车信息娱乐系统传输用户数据的判决

2023年11月7日，美国第九巡回上诉法院判决确定，被告大众汽车存储联网手机的短信和通话记录并未违反法律。1本案是五起相关集体诉讼之一。原告称汽车的信息娱乐系统将拦截、记录和下载的通话记录和短信副本存储在非临时计算机内存中，车主无法访问或删除它。即使通话记录和短信已从智能手机中删除，并且手机已断开连接，车载系统中仍保留着其副本。上诉法院维持了地区法院的判决，理由是原告未能证明被告的行为违反《华盛顿隐私法》中规定的对其企业、个人或声誉造成损害。这项判决将对汽车用户的隐私和数据保护产生重大影响。一、背景该案由美国华盛顿州居民Gellert Dorna和Mark Jones对大众汽车美国集团公司（Volkswagen Group of America, Inc.，以下简称“大众公司”）提起，指控大众公司利用车辆的车载信息娱乐系统记录和拦截客户的私人信息，违反了《华盛顿隐私法》（Washington Privacy Act，以下简称“WPA”）2的规定。WPA旨在禁止任何主体在未事先获得通信中所有参与者同意的情况下，拦截或记录任何私人的通信3。本案是五起相关集体诉讼之一（见图1）。4在这五起相关集体诉讼中，原告是华盛顿州的居民，他们对包括福特、大众、丰田、本田和通用汽车公司在内的汽车制造商提起诉讼。原告诉称，被告制造生产的汽车在车主将手机连接到车辆的车载信息娱乐系统时，这些车载系统会自动录音和拦截他们私人的短信和通话记录。尽管这些集体诉讼面向不同的汽车制造商，但事实背景和法律问题基本相同。图1 相关的集体诉讼二、原告诉称：汽车信息娱乐系统非法储存用户数据原告诉称，被告至少从2014年开始生产的汽车信息娱乐系统将每条拦截、记录和下载的短信和通话记录副本存储在非临时性计算机内存中，车主无法访问或删除它。车主即使从智能手机中删除了短信和通话记录，并且智能手机已断开连接，被告的车载系统中仍然保留其副本。原告还指出，第三方Berla公司负责生产大众汽车信息娱乐系统中的设备，大众汽车的信息娱乐系统将存储的短信和通话记录传输到Berla。Berla的设备可供未经授权的机构访问储存在汽车娱乐系统上的短信和通话记录副本，而无需任何密码、指纹、面部图像或其他安全措施，从而绕过车主为保护其手机上的数据而采取的安全措施。原告作为大众汽车的车主，强调其从未同意大众公司记录或拦截他们的短信和通话记录。因此被告属于未经原告同意，违反WPA的规定，将其短信和通话记录拦截或记录，并将副本供Berla等第三方和执法部门访问，这对原告造成了人身损害。但由于原告对于Berla公司的相关描述来源于Berla公司在互联网上公开的信息和媒体的相关报道，这成为被告用以反驳原告，进而导致原告败诉的原因。三、被告辩称：原告的指控只是出于推测被告称原告没有证据证明被告存在未经同意记录或拦截私人通信的事实。被告认为，原告诉状中的内容只是根据几篇新闻文章和Berla首席执行官的博客拼凑而成。原告只能证明被告制造和生产的车辆中存在允许第三方连接和访问信息娱乐系统中存储信息的设备，但没有实际的证据证明原告的短信和通话记录已被自动下载或已被任何人访问。因此，原告对被告存在拦截或记录的行为只是猜测，而非事实。原告也未能证明其因手机和车辆之间的信息传输而遭受任何损害。四、法院判决上诉法院维持了地区法院的判决，即原告的主张未能满足WPA第9.73.060条规定的遭受损害的要求，原告必须证明被告对企业、个人或声誉造成损害，因此驳回原告的诉讼请求。1. 原告无法证明大众公司实施非法拦截或记录私人通信的行为地区法院认为，原告并没有举证证明大众公司拦截或记录了原告的通话记录或短信。原告声称拦截和记录通信的是信息娱乐系统，而不是大众公司本身。大众公司只是设计、制造和销售包含信息娱乐系统的车辆，WPA并不追究拦截通信设备的制造商、设计者或销售商的责任，并强调责任在于记录或拦截对话的一方。2. 隐私侵犯是潜在的而非实际的原告未能证明被告违反WPA的行为对其造成了损害。虽然WPA禁止“任何个人、合伙企业、公司、协会或华盛顿州的机构和政府部门”拦截或记录通过电话传输的任何私人通信，但与此同时还需要证明对企业、个人或声誉造成损害。根据原告提供的证据，只能说明信息娱乐系统存储的数据可能会在未来某个时候被第三方访问，然而这并不是真实的损害，只是在未来某个时刻可能会或可能不会发生的潜在伤害。因此，潜在伤害不是实际损害，不能满足WPA的损害要求，原告指控的严重程度不足以被视为违反WPA。五、本案对汽车行业数据保护以及个人隐私的影响在此之前，汽车行业的数据保护问题已经引起了公众的关注和担忧。根据Recorded Future News早些时候的报道，作为一种增加收入的策略，许多汽车制造商正在向广告商出售车主的数据。汽车制造商每年都在成倍增加他们在汽车中放置的传感器数量，而对这种做法几乎没有监管。5非营利组织Mozilla基金会的研究显示，汽车公司的数据收集机会比我们使用的其他产品和应用程序要多得多，并且大多数汽车公司正在与其他企业共享或出售车主的个人数据，车主却不得不同意汽车公司制定的隐私政策。6而严重的数据泄露事件在汽车行业中已经司空见惯。7本案进一步加剧了人们对于联网汽车隐私保护问题的担忧，同时凸显了技术创新、消费者隐私权和现有法律框架之间存在的紧张关系。虽然本案法院认为原告无法证明被告的行为违反WPA的规定，但不可否认的是，原告对汽车制造商存储车主手机中的个人数据并可能产生隐私风险的担忧并非毫无道理。法院的判决意味着，在原告无法证明发生实际损害后果的情况下，汽车制造商在汽车上装有能够拦截或记录车主私人通信的设备是合法的。基于车载系统技术的复杂性，普通消费者难以了解并证明车载系统内部的运行机制。倘若汽车制造商与第三方存在不当的数据传输或交易行为，普通消费者更加难以证明这类隐蔽行为的违法性。这在一定程度上降低了法律对个人数据和隐私的保护水平。数据和隐私强调的是事前保护，事后救济措施难以弥补损害造成的不利后果。该判决可能会推动隐私团体呼吁立法者更新现行法律，即通过更加完善的数据和隐私保护立法规范汽车制造商收集和利用数据的行为，从而有效保护车主在物联网时代中个人数据和隐私的安全。六、结语本案的判决结果对于汽车制造商而言是一次巨大的胜利，但是车主对其隐私和数据安全的担忧将与日俱增。随着汽车与数字技术的融合程度加深，汽车行业正经历新一轮的转型升级，智能汽车的环境感知、智能决策、协同控制等功能需要收集和处理更多的数据才能得以实现。在国内外数据安全保护立法日渐完善的背景下，如何进一步保障汽车行业的消费者隐私和数据安全，是行业和立法者需要进一步关注并解决的问题。参考文献[1] Dornay v. Volkswagen Grp. of Am.，Inc.，No. 22-35451, 2023 WL 7318487 (9th Cir. Nov. 7, 2023)[2] See Rev. Code Wash. Chapter 9.73.[3] See Rev. Code Wash. (ARCW)§9.73.030.[4] See Jones v. Ford Motor Co., No. 22-35447, 2023 WL 7097365 (9th Cir. Oct. 27, 2023) (per curiam)；Dornay v. Volkswagen Grp. of Am., Inc., No. 22-35451；Goussev v. Toyota Motor Sales, U.S.A., Inc., No. 22-35454；McKee v.Gen. Motors Co., No. 22-35456；and Ritch v. Am. Honda Motor Co., Inc., No. 22-35448 (calendared separately in September 2023)[5] Suzanne Smalley: As cars hoover up more and more drivers’ data，is it time to regulate the industry？https://therecord.media/connected-cars-hoover-up-data, last visited 2024.1.25.[6] Mozilla Foundation：privacy not included. See https://foundation.mozilla.org/en/privacynotincluded/articles/its-official-cars-are-the-worst-product-category-we-have-ever-reviewed-for-privacy/, last visited：2024.1.25.[7] Mozilla Foundation:‘Privacy Nightmare on Wheels’:Every Car Brand Reviewed By Mozilla. See https://foundation.mozilla.org/en/blog/privacy-nightmare-on-wheels-every-car-brand-reviewed-by-mozilla-including-ford-volkswagen-and-toyota-flunks-privacy-test/，last visited 2024.1.25.寇晨雪 | 清华大学智能法治研究院实习生选题、指导 | 刘云编辑 | 刘懿阳注：本公众号原创文章的著作权均归属于清华大学智能法治研究院，需转载者请在本公众号后台留言或者发送申请至computational_law@tsinghua.edu.cn，申请需注明拟转载公众号/网站名称、主理者基本信息、拟转载的文章标题等基本信息。