Google kjøpte 100 millioner e-poster fra konkursboet til Spirit Airlines

Da Spirit Airlines gikk konkurs, ble selskapets interne kommunikasjon en eiendel som kunne selges. Google vant auksjonen med et bud på 10 millioner dollar, ifølge et rettsdokument datert 14. august, og slo dermed AI-rekrutteringsselskapet Mercor.io, som bød 7,5 millioner.

Pakken inneholder rundt 100 millioner e-poster og 500 millioner meldinger fra Microsoft Teams, sammen med lønnsdata, driftssystemer, prisdata og programvarekode. Ansattdataene strekker seg tilbake til 1986.

Google kaller det et bedriftsdatasett

En talsperson fra Google sier at selskapet kjøpte en del av et bedriftsdatasett fra Spirit Airlines, og at det kan være nyttig for å forbedre produktene og AI-modellene deres. Avtalen holder kunde- og lojalitetsdata utenfor, og en tredjepart skal fjerne personidentifiserende opplysninger før dataene overleveres. Google velger selv hvem den tredjeparten skal være, og betaler for jobben.

Rettsdokumentene lister rundt 80 000 e-postkontoer, 176 000 ansattoppføringer og 3,4 millioner lønnsposter, i tillegg til milliarder av rader med prisdata fra billettsystemet.

De ansatte som skrev e-postene, ble ikke spurt.

Fagforeningen stanset hastverket

Association of Flight Attendants-CWA, som organiserer over 5500 kabinansatte i Spirit Airlines, leverte innsigelse til retten. Forbundsleder Sara Nelson kalte salget «outrageous», opprørende, og sa at forbundet går til retten mot Googles forsøk på å kjøpe data som overhodet ikke burde selges.

Retten utsatte 18. august møtet som skulle godkjent salget dagen etter. Ny dato er 9. september.

Innvendingen er teknisk. Avtalen krever at koblingene mellom datasettene bevares, og da kan opplysninger om enkeltpersoner eller små grupper settes sammen igjen selv om navnene er strippet vekk.

Konkursboet er en bakdør

Personvernregler bygger på samtykke og formålsbegrensning: Data samlet inn til ett formål skal ikke uten videre brukes til noe annet. En konkurs river den logikken fra hverandre. Boet skal maksimere verdien for kreditorene, og et datasett har en pris.

Mekanismen er den samme som da gentestselskapet 23andMe gikk konkurs med kundenes DNA-profiler i boet, bortsett fra at de kundene i det minste hadde levert spyttet frivillig til et selskap de valgte selv.

For norske arbeidstagere er avstanden kortere enn den ser ut. Et hvilket som helst selskap med Microsoft 365 sitter på den samme typen arkiv, og en ansatt som skriver til en kollega har ingen praktisk kontroll over hvor arkivet havner den dagen selskapet ikke finnes lenger.

Ingen har designet dette som en vei rundt personvernlovgivningen. Det er derfor det kommer til å skje igjen.