Auktionen
Spirit Airlines stoppede med at flyve i maj 2026, udmattet af brændstofomkostninger og handelschokket fra Iran-konflikten. Det, der overlevede lukningen, var hverken en flåde eller et rutenet - det var en database. Den 17. august sluttede en auktion for en amerikansk konkursdomstol i det sydlige distrikt af New York med Google som højestbydende: 10 millioner dollar for en del af flyselskabets interne virksomhedsdata. Et firma inden for AI-træningsdata, Mercor, havde budt 7,5 millioner dollar på samme parti og tabte.
Det, Google faktisk købte, er ikke en kundeliste. Det er indersiden af en virksomhed: mere end 100 millioner virksomhedsmails, hundredvis af millioner Microsoft Teams-chats, over 30 millioner linjer kode, hr- og medarbejderproduktivitetsdata, interne revisioner, marketing- og strategifiler samt prisoplysninger opbygget ved at følge omkring 7 milliarder konkurrentflyvninger. Googles egen udtalelse kalder det 'en del af et virksomhedsdatasæt', der 'vil hjælpe med at forbedre vores produkter og AI-modeller'.
Hvad Der Var Beskyttet, Og Hvad Der Ikke Var
Ét datasæt blev udtrykkeligt holdt ude af salget: Spirits 97,5 millioner passagerprofiler og over 50 millioner data fra loyalitetsprogrammet. Det var ikke en indrømmelse fra Google. Amerikansk konkursprocedure kræver udpegning af en forbrugerprivatlivs-ombudsmand, når et konkursbo foreslår at sælge data, der var dækket af firmaets egen privatlivspolitik over for sine kunder - domstolen skal reelt godkende netop den kategori.
Der findes ingen tilsvarende mekanisme for flyselskabets eget personale. De 100 millioner mails, Teams-chattene, hr- og produktivitetsfilerne - alt sammen gik gennem samme generelle salgsproces som koden og prismodellerne, for i en Chapter 11-likvidation er data, et firma ejer om sine egne medarbejdere, som udgangspunkt bare boaktiver. Googles nævnte beskyttelse består i, at en tredjepart renser personhenførbare oplysninger inden levering. Det er et leverandørløfte givet efter salgets afslutning, ikke en betingelse domstolen stillede før godkendelsen.
Hullet, Ingen Prissatte
Al dækning af denne aftale hidtil måler den på forbrugerbeskyttelse - lækkede passagerdataene eller ej. Det overser, hvor den reelle eksponering ligger. En medarbejders postkasse, dennes præstationsevalueringer og produktivitetsmål er lige så meget personoplysninger om en identificerbar person som en passagers bookingjournal; den eneste grund til, at de blev behandlet forskelligt her, er, at amerikansk konkurslovgivning tilfældigvis navngiver én kategori til særlig gennemgang og overlader den anden til boet generelt.
Kører samme transaktion under GDPR, ændres regnestykket. En kurator arver ikke en blankocheck til at disponere over personoplysninger, blot fordi firmaet, der indsamlede dem, gik konkurs - det oprindelige retsgrundlag og formålsbegrænsningen, firmaet støttede sig til for at opbevare dataene, overlever insolvensen, og en købers efterfølgende løfte om at rense identifikatorer opfylder ikke alene EU's anonymiseringsstandard, som flere databeskyttelsesmyndigheder har fastslået kræver, at data bliver uigenkaldeligt ikke-identificerbare, ikke blot omdøbt. En rensning udført af en leverandør, som sælgeren selv har valgt, uden uafhængig kontrol, er præcis den slags aftale, som EU's tilsynsmyndigheder allerede har sat sig imod ved sammenlignelige dataoverdragelser i forbindelse med insolvens.
Hvad Dette Betyder For Din Virksomhed
De færreste ejere har nogensinde spurgt, hvad deres mailudbyder, hr-platform eller chattjeneste kontraktligt er forpligtet til, hvis firmaet går konkurs. Standardsvaret uden en specifik klausul er: hvad den pågældende jurisdiktions konkurslovgivning tillader - hvilket, som Spirit Airlines lige har vist, kan være betydeligt mindre beskyttende, end ejere antager.
To tjek er værd at lave denne uge, ikke midt i en krise. Læs først databehandlingsvilkårene i dine mail-, hr- og samarbejdskontrakter for en klausul om sletning eller tilbagelevering af data ved insolvens eller kontraktophør - de fleste standard-SaaS-aftaler indeholder ikke én, medmindre den specifikt er forhandlet. Bekræft dernæst, hvis din virksomhed har en afviklings- eller kontinuitetsplan, at den navngiver, hvem der er ansvarlig for medarbejderdata, for i en reel konkurs falder den beslutning som udgangspunkt til en kurator, hvis job er at maksimere boets værdi, ikke at beskytte de mennesker, der engang arbejdede der.
Læs videre: Google genåbner din konto med en ansigtsvideo | Bøden på papiret er ikke endelig
