Google koopt failliete Spirit-data voor AI

Google heeft voor $10 miljoen de data van de failliete Amerikaanse luchtvaartmaatschappij Spirit Airlines gekocht. De dataset omvat honderden miljoenen e-mails, telefoongesprekken, vluchtrecords en klantgegevens,allemaal geanonimiseerd om persoonsgegevens te beschermen. Het doel? Voeding voor AI-modellen, met name voor toepassingen in de luchtvaart. Maar terwijl de verkoop in de VS al bijna rond is, roept deze deal in Europa vragen op over strategische autonomie en de grenzen van de GDPR.

Een onverwachte veilingwinnaar

De faillissementsveiling van Spirit Airlines trok vorige week de aandacht. Niet door de verkoop van vliegtuigen ofcatering carts, maar door de data. Google won de bieding met $10 miljoen, versloeg concurrent Mercoren haaldezo een schat aan operationele en klantgegevens binnen. De data omvat 100 miljoen e-mails, 500 miljoen Microsoft Teams-berichten, 17 miljoen OneDrive-bestanden en 30 miljoen opnames van klantenservicegesprekken. Ook 763.000 vluchtrecords en 5 miljoen bemanningsroosters behoren tot de buit. Spirit stopte in mei 2026 permanent met vluchten na jarenlange financiële problemen door COVID-19, en verkoopt sindsdien activa om schulden af te lossen.

Geschoond, maar niet risicovrij

Google benadrukt dat de data ‘geschoond’ is: persoonsgegevens zijn verwijderd of onherkenbaar gemaakt. Toch blijft de deal omstreden. De Europese Data Protection Board (EDPB) publiceerde in juli 2026 nieuwe richtlijnen die strenge eisen stellen aan anonimisering. Data mag alleen als anoniem worden beschouwd als individuen niet geïsoleerd, gelinkt of afgeleid kunnen worden uit de dataset. Als aan één van deze criteria niet wordt voldaan, valt de data onder de GDPR,en dat brengt verplichtingen met zich mee.Een specifieke klantvraag is relatief makkelijk aan een persoon te koppelen. In Europa zou de dataset dus nog steeds onder de privacywetgeving vallen.

De GDPR vereist een wettelijke grondslag voor de verwerking van persoonsgegevens, zoals toestemming of een legitiem belang. Tijdens faillissementsprocedures moet de curator aantonen dat de verkoop van data voldoet aan deze eisen. Bovendien moet het privacybeleid van het failliete bedrijf expliciet toestemming geven voor de verkoop; zo niet, dan kan een consumentenprivacyombudsman (CPO) de deal blokkeren of beperken. In Nederland is de situatie onduidelijk: de Autoriteit Persoonsgegevens (AP) gaf in 2001 aan dat curatoren geen persoonsgegevens mogen verkopen, maar trok die stelling in 2017 weer in.

Moet dit ook in Europa kunnen?

De aankoop door Google onderstreept de groeiende vraag naar data voor AI-training.Maar is dit soort handel wenselijk?

De Spirit-deal is een waarschuwing voor Europese bedrijven en overheden. Als data eenmaal verkocht is, is het moeilijk om de controle erover terug te winnen. Voor techbedrijven is de les duidelijk: investeer in robuuste anonimiseringstechnieken en juridische zekerheid voordat je data aankoopt. Voor de EU ligt de uitdaging in het balanceren tussen innovatie en bescherming. De nieuwe EDPB-richtlijnen zijn een stap in de goede richting, maar de praktijk zal uitwijzen of deze voldoende zijn om de strategische belangen van Europa te beschermen.