Se La Tua Azienda Fallisce, Le Email Si Vendono

L'Asta

Spirit Airlines ha smesso di volare nel maggio 2026, piegata dai costi del carburante e dallo shock commerciale del conflitto in Iran. Ciò che è sopravvissuto alla chiusura non è stata una flotta né una rete di rotte, ma un database. Il 17 agosto un'asta davanti a un tribunale fallimentare statunitense nel distretto meridionale di New York si è chiusa con Google come miglior offerente: 10 milioni di dollari per una parte dei dati aziendali interni della compagnia. Un'azienda di dati di addestramento per l'IA, Mercor, aveva offerto 7,5 milioni di dollari per lo stesso lotto e ha perso.

Ciò che Google ha realmente acquistato non è un elenco di clienti. È l'interno di un'azienda: oltre 100 milioni di email aziendali, centinaia di milioni di chat Microsoft Teams, oltre 30 milioni di righe di codice, dati di risorse umane e produttività dei dipendenti, audit interni, file di marketing e strategia, e informazioni sui prezzi costruite osservando circa 7 miliardi di voli della concorrenza. La dichiarazione di Google stessa la definisce 'parte di un set di dati aziendali' che 'aiuterà a migliorare i nostri prodotti e modelli di IA'.

Cosa Era Protetto E Cosa No

Un set di dati è stato esplicitamente escluso dalla vendita: i 97,5 milioni di profili passeggeri di Spirit e oltre 50 milioni di record del programma fedeltà. Non è stata una concessione di Google. La procedura fallimentare statunitense prevede la nomina di un garante della privacy dei consumatori ogni volta che una massa fallimentare propone di vendere dati coperti dalla stessa informativa sulla privacy che l'azienda aveva verso i propri clienti - il tribunale deve di fatto dare il via libera per quella categoria specifica.

Per il personale della compagnia non esiste un meccanismo equivalente. I 100 milioni di email, le chat Teams, i file di risorse umane e produttività - tutto è passato attraverso lo stesso processo generale di vendita dei beni del codice e dei modelli di prezzo, perché in una liquidazione Chapter 11 i dati che un'azienda possiede sui propri dipendenti sono, per default, semplicemente proprietà della massa fallimentare. La protezione dichiarata da Google consiste nel fatto che una terza parte ripulirà i dati personali identificabili prima della consegna. Si tratta di una promessa del fornitore fatta dopo la chiusura della vendita, non di una condizione imposta dal tribunale prima dell'approvazione.

Il Divario Che Nessuno Ha Prezzato

Ogni resoconto di questo accordo finora lo misura sulla protezione dei consumatori - se i dati dei passeggeri sono trapelati o no. Questo non coglie dove si trovi la vera esposizione. La casella di posta di un dipendente, le sue valutazioni delle prestazioni e le metriche di produttività sono dati personali di una persona identificabile esattamente quanto lo è la prenotazione di un passeggero; l'unico motivo per cui qui sono stati trattati diversamente è che la legge fallimentare statunitense nomina per caso una categoria per una revisione speciale e lascia l'altra alla massa generale.

Se la stessa operazione avvenisse sotto il GDPR, il calcolo cambierebbe. Un curatore fallimentare non eredita un assegno in bianco per disporre di dati personali solo perché l'azienda che li ha raccolti è fallita - la base giuridica originaria e la limitazione delle finalità su cui l'azienda si basava per conservare quei dati sopravvivono all'insolvenza, e la promessa successiva di un acquirente di ripulire gli identificatori non basta da sola a soddisfare lo standard di anonimizzazione dell'UE, che diverse autorità di protezione dei dati hanno interpretato come un requisito di irreversibile non identificabilità dei dati, non una semplice rietichettatura. Una ripulitura eseguita da un fornitore scelto dal venditore, senza verifica indipendente, è esattamente il tipo di accordo a cui le autorità di regolamentazione dell'UE si sono opposte in trasferimenti di dati comparabili in caso di insolvenza.

Cosa Significa Per La Tua Azienda

Pochi imprenditori si sono mai chiesti a cosa sia contrattualmente obbligato il proprio fornitore di posta elettronica, la piattaforma delle risorse umane o il servizio di chat se l'azienda dovesse fallire. La risposta di default, in assenza di una clausola specifica, è: ciò che la legge fallimentare di quella giurisdizione consente - che, come Spirit Airlines ha appena dimostrato, può essere molto meno protettiva di quanto gli imprenditori suppongano.

Vale la pena fare due verifiche questa settimana, non durante una crisi. Primo, leggete le condizioni di trattamento dei dati dei vostri contratti di posta, risorse umane e collaborazione alla ricerca di una clausola sulla cancellazione o restituzione dei dati in caso di insolvenza o fine contratto - la maggior parte dei contratti SaaS standard non ne include una a meno che non sia stata negoziata appositamente. Secondo, se la vostra azienda ha un piano di liquidazione o continuità operativa, verificate che indichi chi è responsabile della gestione dei dati del personale, perché in un fallimento reale quella decisione ricade per default su un curatore il cui compito è massimizzare il valore della massa, non proteggere le persone che vi hanno lavorato.

Da leggere ora: Google riaprirà il tuo account con un video del viso  |  La sanzione sulla carta non è definitiva