Quando un fornitore fallisce, i tuoi dati vanno all'asta

Il 17 agosto Google si è aggiudicata all'asta fallimentare l'archivio aziendale di Spirit Airlines per 10 milioni di dollari, superando l'offerta da 7,5 milioni di Mercor, una società che raccoglie e rivende dati per l'addestramento di modelli. Nel lotto ci sono circa 100 milioni di email, 500 milioni di elementi di Microsoft Teams, 17 milioni di file OneDrive, 30 milioni di telefonate registrate e 787.452 record di acquisti di componenti.

È una notizia americana su una compagnia aerea che non ha mai volato in Italia. La ragione per leggerla da imprenditore italiano è un'altra: descrive con precisione notarile cosa succede alla corrispondenza commerciale di un'azienda quando quell'azienda smette di esistere. E ogni PMI ha la propria corrispondenza dentro i server di qualcun altro.

Cosa è finito nel lotto, voce per voce

L'elenco depositato in tribunale non è un archivio di dati passeggeri: è l'azienda vista da dentro. Oltre a email e chat interne ci sono 600.000 ticket ServiceNow, 5 milioni di turni di equipaggio, 1,2 milioni di ricevute di rifornimento e 13,7 milioni di indirizzi email attivi estratti dalla piattaforma di marketing Oracle Responsys.

Google ha dichiarato di aver acquistato «parte di un dataset aziendale» e di non ricevere «alcuna informazione personale». I documenti processuali citati da Forbes descrivono una composizione più ampia: quasi 100 milioni di nomi di passeggeri e 176.000 registri dei dipendenti. Le due versioni non coincidono, e la discrepanza è essa stessa il fatto rilevante.

L'Association of Flight Attendants-CWA, che rappresenta oltre 5.500 assistenti di volo, ha depositato un'opposizione. Il punto tecnico che solleva è il più serio: l'accordo di vendita richiede di mantenere i collegamenti fra i diversi insiemi di dati, il che rende ricostruibili informazioni su singoli o piccoli gruppi anche dopo la deidentificazione. L'udienza, prevista per mercoledì 19 agosto, è stata rinviata al 9 settembre.

Perché dovrebbe interessare a una PMI italiana?

Perché la stessa cosa può accadere a chi custodisce i vostri dati. Ogni fornitore, agenzia, commercialista, gestionale o piattaforma di e-mail marketing tiene copia di preventivi, listini e trattative. Se fallisce o viene ceduto, il suo archivio diventa un attivo da liquidare, e il vostro contenuto è lì dentro.

Le ultime cinquanta email scambiate con il vostro fornitore principale contengono lo sconto che vi ha concesso, i volumi che gli garantite e i tempi di pagamento che avete strappato. Se quell'archivio finisce in un lotto venduto a chi addestra modelli, non state perdendo dati personali: state perdendo la vostra posizione negoziale.

I dati commerciali sono protetti dal GDPR?

No. Il GDPR protegge i dati personali, cioè le informazioni riferite a una persona fisica identificata o identificabile. Il prezzo che avete negoziato, il margine su una commessa e la lista dei vostri fornitori non sono dati personali: non rientrano nel regolamento. Tutto il dibattito su deidentificazione e anonimizzazione lascia questa parte completamente scoperta.

È la ragione per cui il caso va letto due volte. La prima lettura, quella che stanno facendo tutti, riguarda la privacy di passeggeri e dipendenti. La seconda riguarda le aziende fornitrici che hanno scritto a Spirit per anni e che oggi si trovano la propria corrispondenza in un lotto all'asta, senza essere parte del procedimento e senza alcuna notifica.

Cosa protegge davvero le informazioni riservate di un'impresa

In Italia lo strumento è l'articolo 98 del Codice della proprietà industriale, riscritto dal d.lgs. 63/2018 in attuazione della direttiva europea sui segreti commerciali. La tutela non è automatica: richiede tre condizioni cumulative. L'informazione deve essere segreta, cioè non generalmente nota né facilmente accessibile agli operatori del settore. Deve avere valore economico proprio in quanto segreta. E deve essere «sottoposta, da parte delle persone al cui legittimo controllo è soggetta, a misure da ritenersi ragionevolmente adeguate a mantenerla segreta».

La terza condizione è quella su cui cadono quasi tutte le PMI. Un listino spedito in allegato a un'email, senza accordo di riservatezza, senza dicitura di confidenzialità e senza regole su chi possa inoltrarlo, difficilmente supera il vaglio della lettera c). E senza la lettera c) non c'è segreto commerciale da difendere: c'è solo un file che qualcuno ha comprato legittimamente in un'asta fallimentare. La protezione non nasce dal valore dell'informazione, nasce dalle precauzioni documentabili prese prima.

Cosa succede alla banca dati clienti in una cessione d'azienda?

Sul lato dei dati personali le regole esistono e sono note. Il cambio di titolare non autorizza usi nuovi: l'articolo 6, paragrafo 4 del GDPR impone di valutare la compatibilità fra la finalità originaria e quella successiva, e addestrare un modello su archivi raccolti per gestire prenotazioni è tutt'altra finalità.

Il Garante, con il provvedimento dell'8 aprile 2009, prescrive inoltre di aggiornare l'informativa agli interessati indicando la nuova denominazione del titolare, sia sul sito sia al primo contatto utile.

Tradotto: la banca dati arriva con addosso la finalità per cui è stata raccolta. Non è un asset neutro che si rivaluta cambiando destinazione d'uso.

Cosa scrivere nei contratti, prima che serva

Quattro clausole, in ordine di quanto rendono rispetto a quanto costano.

Sopravvivenza e successori. L'obbligo di riservatezza deve valere «anche in caso di cessione d'azienda o di ramo d'azienda, fusione, scissione e procedure concorsuali», e vincolare esplicitamente aventi causa e curatori. Senza questa formula il vincolo si scioglie nel momento in cui serve.

Restituzione e cancellazione a fine rapporto. Non basta scriverla: va chiesta l'attestazione dell'avvenuta cancellazione, con data. Un archivio che il fornitore non ha più non può finire in nessun lotto.

Divieto esplicito di addestramento. Molti contratti quadro firmati prima del 2023 tacciono sull'uso dei dati per addestrare modelli, e il silenzio non è un divieto. Una riga che lo escluda, per il fornitore e per i suoi terzi, oggi si ottiene quasi ovunque senza difficoltà: vale per il gestionale come per gli assistenti generalisti su cui il fornitore fa girare le vostre pratiche.

Nomina a responsabile ex art. 28 GDPR per la parte di dati personali, con l'elenco dei sub-responsabili. È l'unico pezzo che una PMI di solito ha già, ed è anche l'unico che copre metà del problema.

La guida operativa su come analizzare i contratti dei fornitori e le clausole critiche copre il procedimento per farlo in blocco sulla contrattualistica già firmata, che è il lavoro noioso da cui conviene partire.

Da dove si comincia in una settimana?

Da un elenco, non da un contratto. Aprite un foglio e scrivete, per ogni fornitore che tratta vostri dati, tre colonne: cosa ha in mano, quale clausola di riservatezza esiste, cosa succede se domani fallisce. Nella maggior parte delle piccole imprese la terza colonna resta vuota su ogni riga, e vederlo scritto vale più di una consulenza.

È lo stesso esercizio del registro degli strumenti AI in uso in azienda, esteso ai fornitori tradizionali: chi l'ha già fatto ha metà del lavoro pronto. La differenza è che qui non conta solo dove finiscono i dati adesso, ma dove finiscono quando il fornitore chiude.

Resta l'asimmetria. Gli assistenti di volo di Spirit hanno un sindacato che ha depositato un'opposizione in tribunale; un fornitore di un'azienda in liquidazione all'estero non ha nessuno che depositi niente per suo conto, e se ne accorge leggendo la stampa. È per questo che l'unica difesa realistica si scrive prima, nel contratto, quando il fornitore è ancora vivo e ha tutto l'interesse a firmare.