La ombudsman de privacidad aprueba la venta de datos de Spirit a Google por $10 millones

La ombudsman de protección de datos personales en el caso de quiebra de Spirit Airlines ha recomendado al tribunal aprobar la venta a Google de datos desidentificados de la aerolínea. En su informe del 5 de octubre, Lucy Thomson señala que Spirit y Google excluyeron de la operación las bases de datos de pasajeros. Google ganó la subasta con una oferta de $10 millones, según informó Business Insider. La recomendación no sustituye a la decisión judicial: el tribunal de quiebras todavía debe aprobar la venta en una audiencia.

Qué ha comprado exactamente Google

Hay pocos detalles públicos. Lo esencial es lo siguiente: el objeto de la venta son datos deidentified, es decir, información de la que se han eliminado los identificadores directos. Según la ombudsman, las bases de datos de pasajeros no forman parte de la operación. Del texto disponible no queda claro qué conjuntos de datos recibirá Google, de qué periodo proceden ni para qué los necesita el comprador. Nadie ha declarado oficialmente que vayan a usarse para entrenar modelos o en productos publicitarios, y atribuir a Google esos planes sería una conjetura.

La cifra es pequeña para una empresa del tamaño de Google. Para la masa concursal de una aerolínea, en cambio, $10 millones son una cantidad relevante: en estos procedimientos, los datos, los programas de fidelización y las marcas suelen figurar entre los pocos activos que se logran vender en subasta.

El papel de la ombudsman y por qué importa

En los casos de quiebra en Estados Unidos se designa a un ombudsman de privacidad del consumidor cuando el deudor quiere vender datos personales de sus clientes. Su tarea es comprobar si la venta contradice las promesas de la política de privacidad de la empresa y presentar al tribunal un dictamen. Para el tribunal sirve de referencia, aunque formalmente no es vinculante.

Thomson recomienda la aprobación precisamente porque se ha reducido el alcance de la operación. Las bases de pasajeros, que contienen nombres, datos de contacto e información sobre viajes, han quedado fuera. La información desidentificada entraña menos riesgo, pero no es un riesgo nulo: a veces es posible cruzar conjuntos desidentificados con otras fuentes y restablecer el vínculo con una persona concreta. Del fragmento disponible del informe no se desprende hasta qué punto Spirit trató los datos de forma fiable.

Parámetros clave de la operación

• Vendedor: Spirit Airlines, empresa en quiebra. • Comprador: Google, ganadora de la subasta. • Precio: $10 millones. • Objeto: datos desidentificados de la aerolínea. • Excluido de la operación: las bases de datos de pasajeros. • Recomendación de la ombudsman: aprobar; el informe se presentó el 5 de octubre. • Siguiente paso: audiencia y decisión del tribunal de quiebras.

Qué conviene comprobar en la práctica

Los antiguos pasajeros de Spirit harían bien en mirar no los titulares, sino los documentos del caso: allí debería figurar una descripción de qué campos de datos se transfieren y cómo se realizó la desidentificación. Si en su país rige el GDPR o una ley similar, es posible que tengan derechos propios de acceso y supresión de sus datos, incluso si la empresa que los trató ha quebrado.

Para las empresas que almacenan datos de clientes, este caso recuerda algo sencillo: la política de privacidad sigue vigente también en una quiebra. Los datos de los clientes serán un activo que los acreedores querrán vender. Separar los conjuntos identificables de los desidentificados, documentar el método de desidentificación y fijar de antemano en la política las condiciones de cesión en caso de reestructuración sale más barato que dar explicaciones ante una ombudsman.

La gran pregunta sigue abierta: para qué quiere Google estos datos. Lo más probable es que la respuesta llegue en la audiencia o en los documentos del caso que se hagan públicos.