Os comissários de bordo ficaram em pânico ao saber que a Google está a adquirir uma enorme quantidade de dados dos funcionários da Spirit
Na sexta-feira passada, a Google venceu um leilão para adquirir uma enorme quantidade de dados da Spirit Airlines.
Os dados não incluem informações pessoais nem dados de clientes, mas abrangem quase na totalidade os registos laborais e de emprego da companhia aérea.
Para garantir que nenhum indivíduo possa ser identificado no conjunto de dados, a Google concordou em recorrer a um provedor de justiça nomeado pelo tribunal para supervisionar um processo de remoção de quaisquer informações de identificação pessoal (PII) dos dados antes de estes serem transferidos para a Google. Nos termos do acordo, a Google concordou em manter os dados nesta forma anonimizada e em nunca reidentificá-los intencionalmente. E, caso a Google venda o acesso aos dados, os terceiros estariam, supostamente, vinculados aos mesmos termos.
Pode parecer um plano sólido se alguma vez voou na Spirit Airlines e interagiu com um funcionário por e-mail ou chat. No entanto, os compromissos de privacidade do Google que protegem os clientes da Spirit não parecem estender-se aos antigos trabalhadores da Spirit. Em pânico com o acordo, os ex-comissários de bordo estão agora a apressar-se a opor-se, preocupados com o facto de o Google não ter concordado em remover informações confidenciais que os trabalhadores temem que possam vir a ser utilizadas pelo Google ou por terceiros para os associar aos dados anonimizados.
Num documento apresentado em tribunal na terça-feira, a Associação de Comissários de Bordo (AFA), uma unidade de negociação coletiva que representa os trabalhadores da Spirit, argumentou que o Google se baseou nas leis de proteção do consumidor para garantir que os dados não conteriam informações de identificação pessoal (PII). No entanto, essas leis não abrangem a confidencialidade dos trabalhadores, o que alegadamente deixa uma enorme lacuna em matéria de privacidade no acordo da Google, especialmente quando se considera que a gigante tecnológica está a adquirir dados de trabalhadores, e não dados de consumidores.
«A arquitetura de privacidade desta transação está voltada para o consumidor; o seu conteúdo está desproporcionalmente voltado para os funcionários», argumentou a AFA. «Por conseguinte, os dados dos funcionários são muito mais confidenciais do que os dados dos clientes, mas recebem muito menos proteção do que estes.»
A venda surge depois de a Spirit Airlines ter entrado em falência e ter decidido leiloar um enorme conjunto de dados ao melhor licitante. Adam Schwartz, diretor de litígios de privacidade de uma organização sem fins lucrativos de direitos digitais chamada Electronic Frontier Foundation, disse à Ars que a venda alarmou os defensores da privacidade.
«A EFF opõe-se à utilização dos dados de uma pessoa para um novo fim sem primeiro obter o seu consentimento, o que não acontece quando uma empresa em falência vende os e-mails dos seus colaboradores para servirem de dados de treino de IA», afirmou Schwartz.
A Google vence o leilão
No leilão, os credores da Spirit parecem ter dado prioridade à escolha de um comprador com um plano que menos frustrasse os clientes que a companhia aérea perdeu quando encerrou abruptamente a 2 de maio.
O leilão virtual foi descrito passo a passo num documento judicial que apoiava a venda de dados à Google, apresentado por Dylan Friesner, vice-presidente da PJT Partners LP, o banco de investimento da Spirit Airlines.
Realizado a 14 de agosto, o Google apresentou uma oferta inicial de 5 milhões de dólares, prometendo desde o início cobrir os custos de uma entidade terceira responsável pela limpeza dos dados. As propostas concorrentes apresentadas a seguir foram rejeitadas após terem solicitado dados adicionais dos consumidores, incluindo uma determinada lista de clientes que a Spirit se recusou a vender. No entanto, qualquer proposta que visasse incluir informações de identificação pessoal (PII) na venda foi descartada após a primeira ronda.
O conjunto de dados incluía programas informáticos, aplicações e código da Spirit, bem como dados dos trabalhadores ao longo de décadas, incluindo aproximadamente 100 milhões de e-mails de funcionários, informações de recursos humanos, dados de folha de pagamentos e dados que mediam comportamentos, atividade e produtividade dos funcionários.
Um documento judicial revelou que a Google passou duas horas e meia a afastar outros licitantes. A Mercor Corporation foi a sua rival mais feroz pela aquisição dos dados, mas a Mercor tentou evitar condições que exigissem que uma entidade terceira limpasses os dados. Em vez disso, a Mercor apresentou propostas rejeitadas, oferecendo-se repetidamente para limpar os dados ela própria.
Por fim, a Google venceu ao oferecer o preço mais elevado, 10 milhões de dólares, bem como ao dar um passo adicional ao assumir os custos da contratação de um serviço de terceiros para limpar os dados, de modo a cumprir as leis de privacidade dos consumidores. Foi aceite uma proposta alternativa da Mercor, com condições semelhantes, no valor de 7,5 milhões de dólares, caso a Google não concretizasse a compra.
Na objeção dos comissários de bordo — que é «limitada» e não visa impedir a venda —, a AFA argumentou que os credores da Spirit deveriam ter protegido os trabalhadores com a mesma firmeza com que protegeram os consumidores. «O Contrato de Venda não exige, em parte alguma, que alguém filtre, separe ou restrinja a utilização de informações confidenciais dos funcionários» que estes considerem sensíveis. Mais especificamente, argumentaram:
«A desidentificação diz respeito à possibilidade de um registo ser associado a um indivíduo identificado. Não se refere ao facto de o conteúdo do registo ser confidencial. A correspondência disciplinar de um comissário de bordo, uma deficiência na formação da tripulação, um pedido de licença ou de adaptação, uma troca interna no Teams sobre queixas relacionadas com o pessoal ou horários e um histórico de ajustamentos salariais continuam a ser, cada um deles, informações laborais sensíveis, independentemente de o nome do colaborador ter sido ou não removido.»
Além disso, estão preocupados com o facto de, apesar do compromisso da Google em nunca reidentificar intencionalmente ninguém nos dados, a empresa poder eventualmente combinar os dados dos trabalhadores com outros conjuntos de dados da Google para os reassociar aos seus dados da Spirit.
A Google afirma que não irá reidentificar os dados
Numa declaração à Ars, um porta-voz do Google sugeriu que a empresa não está interessada em utilizar os dados para identificar pessoas ligadas à Spirit Airlines. O Google adquiriu os dados para melhorar a sua IA e outros produtos.
«Adquirimos parte de um conjunto de dados empresariais da Spirit Airlines, o que pode ser útil para melhorar os nossos produtos e modelos de IA», afirmou o porta-voz. «Não receberemos quaisquer informações pessoais deste conjunto de dados. Quaisquer dados que recebermos serão rigorosamente limpos de qualquer informação de identificação pessoal por uma entidade terceira antes da sua receção.»
Embora a AFA não faça uma «afirmação técnica de que qualquer registo específico possa ser reidentificado», considera que não é necessário fazê-lo, uma vez que o risco não é especulativo. Há anos que «hardware informático cada vez mais potente» tem facilitado a combinação de dados disponíveis publicamente — como os que se podem encontrar nas pesquisas do Google — com dados depurados, a fim de os desanonimizar, observou um investigador da Faculdade de Direito da Geórgia já em 2017. Se o Google estiver a utilizar os dados para treino de IA, estes serão inevitavelmente combinados com outros dados.
É também preocupante para os comissários de bordo que o acordo do Google limite apenas os esforços intencionais para identificar indivíduos nos dados. Isso ignora as preocupações de que dados confidenciais possam expor informações que determinados grupos de trabalhadores da Spirit possam não querer tornar públicas.
«Quando uma população pequena e altamente estruturada é descrita através de conjuntos de dados operacionais e de comunicações interligados, abrangendo mais de uma década, o risco de que se possa inferir informação sobre indivíduos identificáveis ou pequenos grupos identificáveis não é especulativo, e o compromisso do Comprador abrange apenas a associação intencional», escreveu a AFA.
Argumentaram que os compromissos públicos do Google contra a re-associação «são reais e não eram obviamente exigidos», mas «um conjunto de dados pseudonimizado pode ainda assim revelar quais as bases de tripulação que geraram reclamações, como um pequeno subconjunto de comissários de bordo se saiu na formação recorrente, quais os funcionários que foram alvo de investigação, que ajustamentos salariais se seguiram a que eventos e o que os funcionários disseram uns aos outros sobre a gestão, o pessoal ou o seu sindicato». Embora a Google não disponha de nomes, «a consequência é que a informação cuja sensibilidade nada tem a ver com nomes passará inalterada».
Os comissários de bordo alertaram que, até ao momento, apenas a Google tem voz ativa sobre o funcionamento do processo de desidentificação. Argumentaram que o tribunal deveria reconhecer que isso constitui um problema, uma vez que o processo da Google alegadamente ignora «as preocupações legítimas das partes que não se encontram à mesa das negociações».
Para proteger os trabalhadores, a AFA solicitou ao tribunal que recusasse a aprovação da venda até que a Google concorde em excluir todas as informações dos comissários de bordo da transação e em notificar os trabalhadores sempre que a Google permitir que terceiros acedam aos dados.
A Ars não conseguiu contactar imediatamente o advogado da AFA para comentar o assunto, mas o documento datava de um dia após o prazo estabelecido pelo tribunal para apresentar objeções à venda. De momento, não é claro se o tribunal irá ponderar a objeção da AFA, mas o pedido da AFA sugeriu que um representante estaria presente numa audiência marcada para setembro, onde o tribunal poderá aprovar a venda.
«Se o tribunal permitir que a venda avance, só deverá aprová-la até que, no mínimo, as mesmas proteções concedidas aos consumidores sejam alargadas aos antigos comissários de bordo da Spirit», argumentou a AFA. Isso deve incluir a proibição direta de a Google utilizar os dados dos trabalhadores para «analisar, traçar perfis, avaliar, classificar ou tirar conclusões relativamente a qualquer comissário de bordo da Spirit individualmente ou a qualquer grupo ou subgrupo identificável de comissários de bordo da Spirit, bem como de tentar reassociar os Dados Desidentificados a qualquer colaborador da Spirit», referia o seu documento.
A venda requer a confiança do público no Google
Embora os comissários de bordo pareçam considerar que os trabalhadores são os mais vulneráveis aos riscos de privacidade decorrentes da venda de dados, os consumidores que compreendem como é fácil reidentificar dados anonimizados podem partilhar as suas preocupações.
A Google continua a analisar a objeção da AFA, mantendo, no entanto, que a privacidade dos dados está no cerne do acordo.
Uma fonte próxima da venda, a quem foi concedido anonimato para discutir o risco técnico de o Google reidentificar os dados anonimizados, disse à Ars que os fornecedores do Google aplicarão normas industriais certificadas de anonimização para garantir que todas as informações de identificação pessoal (PII) sejam removidas do conjunto de dados. O Google só receberá os dados depois de estes terem sido anonimizados e nunca terá acesso aos identificadores originais, afirmou a fonte.
Além disso, a Google assumiu compromissos vinculativos em tribunal de nunca reidentificar intencionalmente os dados.
No entanto, tal como a associação de comissários de bordo salientou, a venda de dados parece exigir que tanto os consumidores como os trabalhadores depositem muita confiança no Google.
Entretanto, os céticos — entre os quais, em certa medida, se inclui a AFA — sabem que o Google já foi acusado, no passado, de práticas duvidosas relacionadas com a violação da privacidade. Em 2024, o Google chegou a um acordo num processo de ação coletiva interposto por utilizadores do modo de navegação anónima e concordou em eliminar milhares de milhões de registos de dados que refletiam as atividades de navegação privadas dos utilizadores, os quais tinha recolhido de forma sub-reptícia. Posteriormente, no ano passado, a Google concordou em pagar 1,4 mil milhões de dólares ao Texas para resolver um processo judicial que alegava que a empresa tinha rastreado e recolhido ilegalmente dados privados dos utilizadores relativos à geolocalização, pesquisas no modo de navegação anónima e dados biométricos. Num comunicado de imprensa, o procurador-geral do Texas, Ken Paxton, gabou-se de que se tratava da «maior indemnização a nível nacional contra a Google por qualquer ação de um procurador-geral no âmbito da aplicação das leis estaduais de privacidade».
Os consumidores terão também de confiar que a entidade terceirizada contratada pelo Google realiza um trabalho minucioso na limpeza dos dados. Os comissários de bordo estão preocupados com o facto de o processo do Google parecer basear-se na remoção de identificadores de campos estruturados, como nomes associados a endereços de e-mail ou sessões de chat. Isso parece ser um «instrumento ineficaz» para tentar eliminar informações confidenciais, mesmo que o tribunal concorde em impor as condições que solicitaram para retirar a sua objeção à venda.
Tal como está, o acordo do Google omite dados dos consumidores, ao mesmo tempo que parece reter registos que qualquer trabalhador consideraria confidenciais, argumentou a AFA.
«Quase todas as categorias voltadas para o consumidor, incluindo perfis de clientes, dados de fidelização e do programa Free Spirit, endereços de e-mail ativos, sessões de chat, gravações de chamadas, números de telefone, análises de websites e reclamações junto do DOT, estão designadas como “Não incluídas”», escreveu a AFA na sua objeção. «Quase todas as categorias sob o título ‘Membro da Equipa’ — informações de cartões de ponto, dados e registos dos funcionários, registos de viagens de negócios dos funcionários, registos de formação corporativa e da equipa, registos de folhas de pagamento, formulários fiscais dos funcionários e documentos dos funcionários — estão designadas como ‘Incluídas’».
Ashley Belanger Repórter Sénior de Políticas Ashley Belanger Repórter Sénior de Políticas Ashley é repórter sénior de políticas da Ars Technica, dedicada a acompanhar os impactos sociais de políticas emergentes e novas tecnologias. É uma jornalista sediada em Chicago com 20 anos de experiência.