Auktionen

Spirit Airlines slutade flyga i maj 2026, nedbrutet av bränslekostnader och handelschocken från Iran-konflikten. Det som överlevde nedläggningen var varken en flotta eller ett ruttnät - det var en databas. Den 17 augusti avslutades en auktion inför en amerikansk konkursdomstol i södra distriktet av New York med Google som högstbjudande: 10 miljoner dollar för en del av flygbolagets interna företagsdata. Ett bolag för AI-träningsdata, Mercor, hade bjudit 7,5 miljoner dollar för samma post och förlorade.

Det Google faktiskt köpte är ingen kundlista. Det är insidan av ett företag: mer än 100 miljoner företagsmejl, hundratals miljoner Microsoft Teams-chattar, över 30 miljoner rader kod, hr- och medarbetarproduktivitetsdata, interna revisioner, marknadsförings- och strategifiler samt prisinformation byggd genom att följa cirka 7 miljarder konkurrentflygningar. Googles egen uppgift kallar det 'en del av ett företagsdataset' som 'kommer att hjälpa till att förbättra våra produkter och AI-modeller'.

Vad Som Var Skyddat, Och Vad Som Inte Var Det

Ett dataset undantogs uttryckligen från försäljningen: Spirits 97,5 miljoner passagerarprofiler och över 50 miljoner poster från lojalitetsprogrammet. Det var inget medgivande från Google. Amerikansk konkursprocess kräver att en konsumentintegritetsombudsman utses närhelst ett konkursbo föreslår att sälja data som omfattades av företagets egen integritetspolicy gentemot sina kunder - domstolen måste i praktiken godkänna just den kategorin.

Ingen motsvarande mekanism finns för flygbolagets egen personal. De 100 miljoner mejlen, Teams-chattarna, hr- och produktivitetsfilerna - allt gick genom samma allmänna tillgångsförsäljningsprocess som koden och prismodellerna, för i en Chapter 11-likvidation är data ett företag äger om sina egna anställda som standard bara boets egendom. Det skydd Google anger är att en tredje part rensar personuppgifter före leverans. Det är ett löfte från köparen som gavs efter att försäljningen avslutats, inte ett villkor domstolen ställde innan den godkändes.

Klyftan Ingen Prissatte

All bevakning av denna affär hittills mäter den mot konsumentskydd - läckte passagerardatan eller inte. Det missar var den verkliga exponeringen finns. En anställds brevlåda, dennes prestationsutvärderingar och produktivitetsmått är precis lika mycket personuppgifter om en identifierbar person som en passagerares bokningsjournal; det enda skälet till att de behandlades olika här är att amerikansk konkurslagstiftning råkar namnge en kategori för särskild granskning och lämnar den andra åt boet i allmänhet.

Körs samma transaktion under GDPR förändras kalkylen. En konkursförvaltare ärver ingen blankocheck att förfoga över personuppgifter bara för att företaget som samlade in dem gick i konkurs - den ursprungliga rättsliga grunden och ändamålsbegränsningen som företaget stödde sig på för att behålla datan överlever insolvensen, och en köpares efterhandslöfte att rensa identifierare uppfyller inte på egen hand EU:s anonymiseringsstandard, som flera dataskyddsmyndigheter har slagit fast kräver att uppgifterna blir oåterkalleligt oidentifierbara, inte bara omdöpta. En rensning utförd av en leverantör som säljaren själv valt, utan oberoende kontroll, är precis den typ av upplägg som EU:s tillsynsmyndigheter redan har motsatt sig vid jämförbara dataöverföringar i samband med insolvens.

Vad Detta Betyder För Ditt Företag

Få ägare har någonsin frågat vad deras mejlleverantör, hr-plattform eller chattjänst är kontraktsmässigt skyldiga att göra om företaget går i konkurs. Standardsvaret, i avsaknad av en specifik klausul, är: vad konkurslagstiftningen i den jurisdiktionen tillåter - vilket, som Spirit Airlines just visat, kan vara betydligt mindre skyddande än ägare antar.

Två kontroller är värda att göra denna vecka, inte mitt i en kris. Läs först databehandlingsvillkoren i dina mejl-, hr- och samarbetsavtal efter en klausul om radering eller återlämnande av data vid insolvens eller avtalets upphörande - de flesta standardiserade SaaS-avtal saknar en sådan om den inte specifikt förhandlats fram. Bekräfta sedan, om ditt företag har en avvecklings- eller kontinuitetsplan, att den namnger vem som är ansvarig för personaldatans hantering, för vid en verklig konkurs faller det beslutet som standard till en konkursförvaltare vars uppgift är att maximera boets värde, inte att skydda de människor som en gång arbetade där.

Läs vidare: Google öppnar ditt konto igen med en ansiktsvideo  |  Böterna på papperet är inte slutgiltiga