0
0
O Google concordou em reforçar as proteções de privacidade na compra de dados de funcionários da Spirit Airlines, companhia aérea que encerrou as operações em maio. O acordo foi anunciado em 10 de novembro de 2026 por um sindicato que representa trabalhadores da empresa, segundo a Reuters. A pergunta que interessa a quem trabalha com Direito e tecnologia é simples: dados de funcionários podem virar combustível de treino de IA só porque foram “desidentificados”?
Minha resposta curta é que a palavra “desidentificado” não encerra a discussão, ela a inaugura. Neste texto uso o caso americano como ponto de partida e mostro como a LGPD (Lei 13.709/2018) enxergaria uma operação parecida no Brasil.
O que se sabe sobre a venda dos dados de funcionários da Spirit
Segundo a Reuters, o Google venceu em agosto um leilão realizado durante a liquidação de ativos da Spirit. O objeto são dados de e-mails, planilhas e calendários, além de informações de marketing, produtividade e operações. O valor é de US$ 10 milhões e a finalidade declarada é o treino de modelos de inteligência artificial.
Em 10 de novembro, o sindicato informou que obteve um processo de desidentificação mais rigoroso do que o previsto inicialmente. Também foi acordado que dados relevantes de funcionários, inclusive informações de saúde e médicas, ficam fora da venda. Segundo a Reuters, o acerto abre caminho para a aprovação do negócio na semana seguinte.
O processo corre na Justiça falimentar americana, no Distrito Sul de Nova York, perante o juiz Sean H. Lane, conforme a cobertura da imprensa sobre os documentos do caso. Até onde consegui confirmar, a aprovação final ainda estava pendente na data em que escrevi este texto.
Por que “desidentificado” não resolve tudo
Um e-mail corporativo é o tipo de dado mais difícil de limpar. Ele traz nome, cargo, horário, relações entre pessoas e, sobretudo, texto livre. Em bases como a dos dados de funcionários da Spirit, basta uma frase sobre uma licença, uma consulta ou uma reunião sindical para o conteúdo voltar a apontar para alguém.
É por isso que o debate não pode parar na etiqueta. O que importa é o resultado: a pessoa ainda pode ser reconhecida, direta ou indiretamente, a partir do conjunto que o comprador recebe?
Como a LGPD trataria uma operação parecida no Brasil
Primeiro, a premissa: a LGPD alcança o tratamento realizado no território nacional, ou voltado a indivíduos localizados no Brasil, ou de dados coletados aqui (art. 3º, I a III). A venda da Spirit, em si, é um caso americano. Mas qualquer empresa brasileira em falência, recuperação ou fusão pode enfrentar a mesma pergunta.
Anonimizar é um resultado, não um rótulo
A lei define dado anonimizado como o dado relativo a titular que não possa ser identificado, considerando meios técnicos razoáveis e disponíveis na ocasião do tratamento (art. 5º, III). E o art. 12 dispõe que dados anonimizados não são considerados dados pessoais, salvo quando o processo de anonimização for revertido com meios próprios ou quando, com esforços razoáveis, puder ser revertido.
O § 1º do art. 12 manda avaliar o que é razoável por fatores objetivos, como custo e tempo para reverter o processo, de acordo com as tecnologias disponíveis. Na prática, quanto mais rico e textual o conjunto de dados, mais difícil sustentar que a reversão é inviável. Um repositório de e-mails de milhares de pessoas está no extremo desse espectro.
Dados sensíveis escondidos no meio do texto
O art. 5º, II, inclui entre os dados pessoais sensíveis os referentes à saúde e a filiação a sindicato. O art. 11 limita o tratamento desses dados a hipóteses específicas. Ora, é exatamente esse tipo de informação que circula em e-mails de RH, atestados e conversas com representantes de categoria.
Por isso a exclusão de dados de saúde, mencionada no acordo americano, é um ponto central. Mas filtrar por categoria de documento não garante que o dado sensível não tenha escapado dentro de uma mensagem comum.
Finalidade e necessidade não somem na falência
A Lei 11.101/2005 determina que, após a arrecadação dos bens, tem início a realização do ativo (art. 139), com formas de alienação previstas no art. 140. Isso trata de bens do devedor. Os dados dos trabalhadores, porém, continuam sendo dados pessoais de terceiros.
Minha leitura é que os princípios do art. 6º seguem de pé. A finalidade exige propósitos legítimos, específicos, explícitos e informados ao titular, sem tratamento posterior incompatível (inciso I). A necessidade limita o tratamento ao mínimo necessário (inciso III). Treinar IA com a correspondência de ex-funcionários, como nos dados de funcionários da Spirit, é, no mínimo, um uso novo que precisa ser justificado, e não presumido.
O que uma empresa brasileira deveria fazer antes de vender ou licenciar dados
Aqui entram recomendações minhas, não exigências textuais da lei:
- Mapear o conteúdo antes de qualquer cessão: quais bases contêm dados de empregados, de saúde e de filiação sindical.
- Documentar a técnica de anonimização e testar a possibilidade de reidentificação com terceiro independente.
- Prever em contrato a vedação de tentativa de reidentificação, o ambiente seguro de tratamento e a responsabilidade do comprador.
- Comunicar os titulares sempre que o tratamento mantiver dados pessoais, e não apenas dados anonimizados.
Perguntas frequentes
A venda de dados de uma empresa falida é permitida?
A realização do ativo é parte do processo de falência (Lei 11.101/2005, art. 139). Isso não afasta a LGPD quando houver dados pessoais envolvidos. A operação precisa respeitar finalidade, necessidade e as regras sobre dados sensíveis.
Dado anonimizado está fora da LGPD?
Em regra, sim (art. 12), salvo se o processo for revertido ou se puder ser revertido com esforços razoáveis. Por isso a qualidade da técnica importa mais do que o nome dado ao processo.
A LGPD se aplica ao caso Spirit e Google?
Em princípio não, porque a operação é conduzida em tribunal americano. A lei brasileira se aplicaria apenas se estiverem presentes os critérios do art. 3º, por exemplo dados coletados no Brasil.
No fim, o caso dos dados de funcionários da Spirit mostra uma tendência: bases corporativas esquecidas passam a valer dinheiro quando existe um modelo de IA para treinar. Quem vive de contratos e de compliance precisa tratar esse risco antes que ele chegue à mesa, e não depois.
Receba a Pauta LawGeek
Uma curadoria do que muda em Direito e Tecnologia (IA, LGPD, cripto e legaltech), explicada na prática, direto no seu e-mail.
