Si Votre Entreprise Ferme, Vos Emails Sont Vendus

L'Enchère

Spirit Airlines a cessé de voler en mai 2026, terrassée par le coût du carburant et le choc commercial du conflit iranien. Ce qui a survécu à la fermeture n'était ni une flotte ni un réseau de routes, mais une base de données. Le 17 août, une enchère devant un tribunal des faillites américain du district sud de New York s'est conclue avec Google comme meilleur enchérisseur : 10 millions de dollars pour une partie des données d'entreprise internes de la compagnie. Une société de données d'entraînement pour l'IA, Mercor, avait proposé 7,5 millions de dollars pour le même lot et a perdu.

Ce que Google a réellement acheté n'est pas une liste de clients. C'est l'intérieur d'une entreprise : plus de 100 millions d'emails d'entreprise, des centaines de millions de conversations Microsoft Teams, plus de 30 millions de lignes de code, des données de ressources humaines et de productivité des employés, des audits internes, des fichiers marketing et stratégiques, et des informations tarifaires construites en observant environ 7 milliards de vols concurrents. La déclaration de Google qualifie cela de 'partie d'un jeu de données d'entreprise' qui va 'aider à améliorer nos produits et modèles d'IA'.

Ce Qui Était Protégé, Et Ce Qui Ne L'Était Pas

Un jeu de données a été explicitement exclu de la vente : les 97,5 millions de profils passagers de Spirit et plus de 50 millions d'enregistrements du programme de fidélité. Ce n'était pas une concession de Google. La procédure de faillite américaine prévoit la nomination d'un médiateur de la vie privée des consommateurs dès qu'une masse en faillite propose de vendre des données couvertes par la propre politique de confidentialité de l'entreprise envers ses clients - le tribunal doit en pratique valider cette catégorie précise.

Aucun mécanisme équivalent n'existe pour le personnel propre de la compagnie. Les 100 millions d'emails, les conversations Teams, les fichiers de ressources humaines et de productivité - tout cela est passé par le même processus général de vente d'actifs que le code et les modèles tarifaires, car dans une liquidation du Chapitre 11, les données qu'une entreprise détient sur ses propres employés sont, par défaut, simplement des biens de la masse. La protection annoncée par Google consiste en ce qu'un tiers nettoiera les données personnelles identifiables avant la livraison. Il s'agit d'une promesse de l'acheteur formulée après la conclusion de la vente, pas d'une condition imposée par le tribunal avant son approbation.

L'Écart Que Personne N'A Chiffré

Tous les comptes rendus de cet accord jusqu'ici le mesurent à l'aune de la protection des consommateurs - les données des passagers ont-elles fuité, oui ou non. Cela passe à côté de l'endroit où se situe la véritable exposition. La boîte mail d'un employé, ses évaluations de performance et ses indicateurs de productivité sont des données personnelles d'une personne identifiable exactement au même titre qu'un dossier de réservation de passager ; la seule raison pour laquelle elles ont été traitées différemment ici est que le droit des faillites américain nomme par hasard une catégorie pour un examen spécial et laisse l'autre à la masse générale.

Si la même opération se déroulait sous le RGPD, le calcul changerait. Un liquidateur n'hérite pas d'un chèque en blanc pour disposer de données personnelles au seul motif que l'entreprise qui les a collectées a fait faillite - la base légale d'origine et la limitation des finalités sur lesquelles l'entreprise s'appuyait pour conserver ces données survivent à l'insolvabilité, et la promesse ultérieure d'un acheteur de nettoyer les identifiants ne suffit pas, à elle seule, à satisfaire la norme d'anonymisation de l'UE, que plusieurs autorités de protection des données ont interprétée comme exigeant que les données deviennent irréversiblement non identifiables, et non simplement réétiquetées. Un nettoyage effectué par un prestataire choisi par le vendeur, sans vérification indépendante, est exactement le type d'arrangement auquel les régulateurs européens se sont opposés dans des transferts de données comparables en cas d'insolvabilité.

Ce Que Cela Signifie Pour Votre Entreprise

Peu de dirigeants se sont déjà demandé à quoi leur fournisseur de messagerie, leur plateforme RH ou leur service de chat sont contractuellement tenus si l'entreprise fait faillite. La réponse par défaut, en l'absence de clause spécifique, est : ce que permet le droit des faillites de cette juridiction - qui, comme Spirit Airlines vient de le démontrer, peut être bien moins protecteur que ce que les dirigeants supposent.

Deux vérifications valent la peine d'être faites cette semaine, pas en pleine crise. D'abord, lisez les conditions de traitement des données de vos contrats de messagerie, RH et collaboration à la recherche d'une clause sur la suppression ou la restitution des données en cas d'insolvabilité ou de fin de contrat - la plupart des contrats SaaS standards n'en comportent pas, sauf négociation spécifique. Ensuite, si votre entreprise dispose d'un plan de cessation d'activité ou de continuité, confirmez qu'il désigne un responsable de la gestion des données du personnel, car dans une véritable faillite, cette décision revient par défaut à un liquidateur dont le travail est de maximiser la valeur de la masse, pas de protéger les personnes qui y ont travaillé.

À lire ensuite: Google rouvrira votre compte avec une vidéo du visage  |  L'amende sur le papier n'est pas définitive