Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Diverse media melden dat Google tijdens een veiling de gegevens van een failliet Amerikaans luchtvaartbedrijf heeft opgekocht. Het gaat om grote aantallen e-mails, chatgesprekken, opgenomen telefoongesprekken met klanten en documenten, maar ook allerlei gegevens van personeel, waaronder salarisgegevens, belastingformulieren en andere 'employee records'. Uiteraard gaan ze hier AI mee trainen. Zou dat in Nederland ook kunnen?

Antwoord: De honger naar gegevens om generatieve AI beter mee te laten werken is onstilbaar, zo lijkt het. Uit alle hoeken en gaten wordt data opgestofzuigd om daar taalmodellen mee te verbeteren. Deze is wel heel creatief gevonden, maar ik zie hoe die berg semi-gestructureerde data waardevol kan zijn.

In Nederland is de status van data bij een faillissement nauwelijks geregeld. Curatoren verkopen databestanden net zoals ze oude bureaustoelen verkopen, want het gaat om "het belang van de boedel" en dus om zo veel mogelijk geld halen om schuldeisers tevreden te stellen.

De AVG zit hier echter stevig in de weg, want een curator wordt verwerkingsverantwoordelijke (in plaats van de failliet) zodra die bij de data kan. In deze zaak bijvoorbeeld was de curator aansprakelijk voor een abusievelijk verkochte harde schijf met persoonsgegevens, ook al leek die niet geweten te hebben dat die schijf nog in de verkochte server zat.

Handel in persoonsgegevens afkomstig van een failliet is dus eigenlijk niet mogelijk. Zoals de AP zelf aangeeft, dat kan alleen met toestemming van de betrokkenen en die krijg je vrijwel niet voor elkaar. Omdat het gaat om een nieuw en onvoorzien doel, krijg je de doelbinding niet rond als je het op bijvoorbeeld gerechtvaardigd belang gooit.

Google heeft aangegeven de gegevens eerst te zullen anonimiseren. Dat is natuurlijk het AVG-toverwoord: áls je de persoonsgegevens anoniem maakt, dan kun je die anonieme data verhandelen zoals je wilt. Het is echter de vraag of dat kan, want een personeelsdossier blijft persoonsgegevens bevatten ook als je de naam en salarisnummer er uit haalt. En als je werkelijk alles er uit haalt dat over dat personeelslid gaat, weet ik niet of je nog veel over hebt waar een taalmodel wat mee kan.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.