Le médiateur chargé de la vie privée donne son feu vert à la vente à Google des données de Spirit pour 10 millions de dollars

La médiatrice chargée de la protection des données personnelles dans la procédure de faillite de Spirit Airlines a recommandé au tribunal d'approuver la vente à Google des données dépersonnalisées du transporteur. Dans son rapport du 5 octobre, Lucy Thomson écrit que Spirit et Google ont retiré de la transaction les bases de données des passagers. Google a remporté l'enchère avec une offre de 10 millions de dollars, selon Business Insider. Cette recommandation ne remplace pas une décision de justice : le tribunal des faillites doit encore valider la vente lors d'une audience.

Ce que Google a acheté exactement

Peu de détails sont publics. L'essentiel est connu : la vente porte sur des données « deidentified », c'est-à-dire des informations dont les identifiants directs ont été retirés. Selon la médiatrice, les bases de données des passagers ne font pas partie de la transaction. Le texte disponible ne permet pas de savoir quels jeux de données Google reçoit, sur quelle période ils ont été collectés, ni à quoi l'acheteur les destine. Personne n'a déclaré officiellement qu'ils serviraient à entraîner des modèles ou à alimenter des produits publicitaires, et prêter de tels projets à Google relèverait de la conjecture.

La somme est modeste pour une entreprise de la taille de Google. Pour la masse de la faillite de la compagnie, en revanche, 10 millions de dollars comptent : dans ce type de procédure, les données, les programmes de fidélité et les marques figurent souvent parmi les rares actifs que l'on parvient à vendre aux enchères.

Le rôle du médiateur et pourquoi il compte

Aux États-Unis, un médiateur chargé de la vie privée des consommateurs est nommé dans les procédures de faillite lorsque le débiteur souhaite vendre les données personnelles de ses clients. Sa mission consiste à vérifier que la vente ne contredit pas les engagements de la politique de confidentialité de l'entreprise, puis à remettre un avis au tribunal. Cet avis sert de repère au juge, même s'il ne le lie pas formellement.

Lucy Thomson recommande l'approbation précisément parce que le périmètre de la vente a été réduit. Les bases de données des passagers, qui contiennent noms, coordonnées et données de voyage, restent en dehors de la transaction. Les informations dépersonnalisées présentent moins de risques, mais pas un risque nul : on parvient parfois à croiser des jeux de données dépersonnalisés avec d'autres sources pour retrouver le lien avec une personne précise. Le fragment du rapport disponible ne permet pas de savoir si Spirit a traité ses données de façon fiable.

Les paramètres clés de la transaction

• Vendeur : Spirit Airlines, entreprise en faillite. • Acheteur : Google, gagnant de l'enchère. • Prix : 10 millions de dollars. • Objet : données dépersonnalisées de la compagnie aérienne. • Exclu de la transaction : les bases de données des passagers. • Recommandation de la médiatrice : approuver ; rapport déposé le 5 octobre. • Prochaine étape : audience et décision du tribunal des faillites.

Que vérifier concrètement

Les anciens passagers de Spirit gagneraient à consulter non pas les titres de presse, mais les pièces du dossier : elles doivent décrire les champs de données transmis et la méthode de dépersonnalisation employée. Si le RGPD ou une loi équivalente s'applique dans votre pays, vous pouvez disposer de vos propres droits d'accès et de suppression, même si l'entreprise qui exploitait vos données a fait faillite.

Pour les entreprises qui détiennent des données clients, ce cas rappelle une évidence : la politique de confidentialité s'applique aussi en cas de faillite. Les données des clients deviendront un actif que les créanciers voudront vendre. Séparer les jeux de données identifiables et dépersonnalisés, documenter la méthode de dépersonnalisation et inscrire d'avance dans la politique les conditions de transfert en cas de restructuration coûte moins cher que de devoir s'expliquer devant un médiateur.

La question principale reste ouverte : pourquoi Google veut ces données. La réponse viendra probablement lors de l'audience ou dans les pièces du dossier rendues publiques.