Faalt Uw Bedrijf, Dan Worden Uw E-Mails Verkocht

De Veiling

Spirit Airlines stopte in mei 2026 met vliegen, opgebrand door brandstofkosten en de handelsschok van het Iran-conflict. Wat de sluiting overleefde, was geen vloot en geen routenetwerk - het was een database. Op 17 augustus eindigde een veiling voor een Amerikaanse faillissementsrechtbank in het zuidelijk district van New York met Google als hoogste bieder: 10 miljoen dollar voor een deel van de interne bedrijfsgegevens van de luchtvaartmaatschappij. Een bedrijf voor AI-trainingsdata, Mercor, had 7,5 miljoen dollar geboden voor dezelfde kavel en verloor.

Wat Google werkelijk kocht, is geen klantenlijst. Het is het binnenste van een bedrijf: meer dan 100 miljoen bedrijfs-e-mails, honderden miljoenen Microsoft Teams-chats, ruim 30 miljoen regels code, hr- en productiviteitsgegevens van personeel, interne audits, marketing- en strategiebestanden, en prijsinformatie opgebouwd uit het volgen van zo'n 7 miljard vluchten van concurrenten. Google noemt het zelf 'een deel van een bedrijfsdataset' die 'onze producten en AI-modellen zal helpen verbeteren'.

Wat Beschermd Was, En Wat Niet

Eén dataset werd expliciet buiten de verkoop gehouden: de 97,5 miljoen passagiersprofielen van Spirit en meer dan 50 miljoen loyaliteitsprogramma-gegevens. Dat was geen concessie van Google. De Amerikaanse faillissementsprocedure schrijft voor dat er een ombudsman voor consumentenprivacy wordt aangesteld zodra een failliete boedel data wil verkopen die onder het eigen privacybeleid van het bedrijf ten opzichte van klanten vielen - de rechtbank moet die specifieke categorie feitelijk goedkeuren.

Voor het eigen personeel van de luchtvaartmaatschappij bestaat geen vergelijkbaar mechanisme. De 100 miljoen e-mails, de Teams-chats, de hr- en productiviteitsbestanden - dat alles doorliep hetzelfde algemene verkoopproces van activa als de code en de prijsmodellen, want in een Chapter 11-liquidatie zijn gegevens die een bedrijf over zijn eigen werknemers bezit, standaard gewoon boedelbezit. De door Google genoemde bescherming bestaat eruit dat een derde partij persoonsgegevens opschoont voor levering. Dat is een belofte van de koper, gedaan nadat de verkoop al gesloten was, geen voorwaarde die de rechtbank vooraf had gesteld.

Het Gat Dat Niemand Inprijsde

Elke berichtgeving over deze deal tot nu toe meet hem af aan consumentenbescherming - zijn de passagiersgegevens gelekt, ja of nee. Dat mist waar het werkelijke risico ligt. De mailbox van een werknemer, zijn beoordelingen en productiviteitscijfers zijn precies zo goed persoonsgegevens van een identificeerbaar persoon als het boekingsdossier van een passagier; de enige reden dat ze hier anders werden behandeld, is dat het Amerikaanse faillissementsrecht toevallig één categorie noemt voor bijzondere toetsing en de andere aan de algemene boedel overlaat.

Loopt dezelfde transactie onder de AVG, dan verandert de rekensom. Een curator erft geen blanco cheque om over persoonsgegevens te beschikken enkel omdat het bedrijf dat ze verzamelde failliet is gegaan - de oorspronkelijke rechtsgrond en doelbinding waarop het bedrijf zich baseerde om die gegevens te bewaren, overleven de insolventie, en de latere belofte van een koper om identificatoren op te schonen voldoet op zichzelf niet aan de anonimiseringsnorm van de EU, die volgens meerdere toezichthouders vereist dat gegevens onomkeerbaar niet-identificeerbaar worden, niet slechts geheretiketteerd. Een opschoning door een leverancier die de verkoper zelf koos, zonder onafhankelijke controle, is precies het soort regeling waartegen Europese toezichthouders zich al hebben verzet bij vergelijkbare gegevensoverdrachten bij insolventie.

Wat Dit Voor Uw Bedrijf Betekent

Weinig eigenaren hebben zich ooit afgevraagd waartoe hun e-mailleverancier, hr-platform of chatdienst contractueel verplicht is als het bedrijf failliet gaat. Het standaardantwoord, bij gebrek aan een specifieke clausule, is: wat het faillissementsrecht van dat rechtsgebied toestaat - en dat kan, zoals Spirit Airlines net liet zien, aanzienlijk minder beschermend zijn dan eigenaren aannemen.

Twee controles zijn deze week de moeite waard, niet pas tijdens een crisis. Lees ten eerste de voorwaarden voor gegevensverwerking in uw e-mail-, hr- en samenwerkingscontracten op een clausule over verwijdering of teruggave van gegevens bij insolventie of contractbeëindiging - de meeste standaard SaaS-contracten bevatten die niet, tenzij specifiek onderhandeld. Controleer ten tweede, als uw bedrijf een afbouw- of continuïteitsplan heeft, of daarin is vastgelegd wie verantwoordelijk is voor het personeelsgegevensbeheer, want bij een echt faillissement valt die beslissing standaard toe aan een curator wiens taak het is de boedelwaarde te maximaliseren, niet de mensen te beschermen die er ooit werkten.

Lees hierna: Google heropent je account met een gezichtsvideo  |  De boete op papier is niet definitief