Stefano Gazzella : 25 Aprile 2023 09:04
Dopo il blocco di ChatGTP in conseguenza al provvedimento di limitazione provvisoria del Garante Privacy, il provvedimento 11 aprile 2023 ha indicato gli adempimenti che OpenAI dovrà adottare entro il 30 aprile affinché il servizio possa essere di nuovo accessibile dall’Italia.
Ciò comporta ovviamente che l’Autorità andrà a valutare l’efficacia delle misure adottate per il superamento delle ragioni d’urgenza che hanno portato al primo provvedimento adottato. Ovviamente, ciò non toglie che potranno essere adottate anche misure ulteriori.
Ecco in sintesi gli ambiti valutati come non conformi e le misure di trattamento indicate a riguardo.
 CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub.
Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per quanto riguarda il trattamento dei dati personali ai fini dell’addestramento, il Garante esclude l’applicazione della base giuridica contrattuale per il trattamento dei dati personali degli utenti. Il motivo è facilmente deducibile: tale finalità esula dalla necessità di dare esecuzione al contratto. Sono infatti indicate le alternative del consenso o del legittimo interesse.
Vero è che a seconda della base indicata sarà poi necessario, in ragione di accountability, adottare un approccio coerente da parte del titolare. Qualora sia adottato il consenso, infatti, andrà comprovata la validità e revocabilità dello stesso. Qualora si opti per il legittimo interesse, invece, andrà svolta una valutazione di sussistenza dello stesso (liceità, necessità, bilanciamento) e garantito il diritto di opposizione all’interessato.
Per quanto riguarda invece i dati personali di interessati diversi dagli utenti, non c’è altra base giuridica riscontrabile al di fuori del legittimo interesse.
Per quanto riguarda le informazioni da rendere agli interessati, le indicazioni fornite a riguardo prescrivono:
– la completezza delle informazioni fornite;
– le modalità attraverso cui tali informazioni sono rese;
ai sensi degli artt. 12, 13 e 14 GDPR.
Per quanto riguarda la completezza delle informazioni, a parte l’indicazione della base giuridica il Garante prescrive la necessità di spiegare “agli interessati anche diversi dagli utenti del servizio ChatGPT, i cui dati sono stati raccolti e trattati ai fini dell’addestramento degli algoritmi, le modalità del trattamento, la logica alla base del trattamento necessario al funzionamento del servizio in tutte le diverse declinazioni (ChatGPT, API ecc.), i diritti loro spettanti in qualità di interessati e ogni altra informazione prevista dal Regolamento;“.
Insomma: viene evidenziato come la precedente informativa sia stata carente nella parte in cui non ha preso in considerazione i soggetti diversi dagli utenti ma le cui informazioni sono comunque trattate da parte di ChatGPT. E dunque coloro i cui dati personali hanno alimentato l’algoritmo.
Poiché si tratta di dati non raccolti direttamente presso l’interessato, trova applicazione l’art. 14 GDPR, ma nella parte in cui le informazioni devono essere fornite dal titolare del trattamento all’interessato “entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati” (art. 14.3 GDPR) si applica la deroga stante il fatto che “comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato” (art. 14.5 lett. b) GDPR) per cui è possibile adottare “misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni“. Misure che è il Garante stesso ad indicare: pubblicazione sul sito internet dell’informativa completa.
Circa le modalità di somministrazione delle informazioni, il Garante indica, oltre alla pubblicazione sul sito web, anche l’inserimento di un link all’informativa “in una posizione che ne consenta la lettura” (e dunque: evitando dark pattern) al primo accesso successivo all’eventuale riattivazione di servizio per utenti già registrati, e nel processo di registrazione per gli utenti che si andranno a registrare.
La misura prescritta in relazione all’esercizio dei diritti di tutti gli interessati, per i trattamenti con la base giuridica del legittimo interesse, è “uno strumento attraverso il quale possano esercitare il diritto di opposizione rispetto ai trattamenti svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio”. Sostanzialmente, è indicata la necessità di garantire il diritto di opposizione implementando una funzione dedicata e presentandola agli interessati in modo adeguato.
La misura per superare la contestazione riguardante l’inesattezza del trattamento dei dati personali in quanto non corrispondenti al dato reale consiste, per gli interessati che si collegano dall’Italia, nella predisposizione “di uno strumento attraverso il quale chiedere e ottenere la correzione di eventuali dati personali che li riguardano trattati in maniera inesatta nella generazione dei contenuti o, qualora ciò risulti impossibile allo stato della tecnica, la cancellazione dei propri dati personali“. La non conformità indicata viene risolta con la messa disposizione di una funzione per la rettifica o, in alternativa, la cancellazione del dato inesatto.
Per quanto riguarda i minori, la contestazione del Garante ha riguardato il mancato rispetto della politica dichiarata da parte della stessa OpenAI. E dunque in ragione di accountability si indica prima di tutto l’esigenza di adottare “un age gate che escluda, sulla base dell’età dichiarata, gli utenti minorenni“, da applicare al primo accesso dall’Italia degli utenti anche già registrati. Dopodiché, di sottoporre entro il 31 maggio 2023 al Garante, di un piano per l’adozione di strumenti di age verification che dovrà escludere dall’accesso al servizio gli utenti infratredicenni e minorenni in assenza di consenso da parte di chi ne esercita la responsabilità genitoriale. Il termine indicato per l’implementazione è il 30 settembre 2023.
In modo simile a quanto avvenuto per il blocco di TikTok, è indicata la promozione di una campagna di informazione di natura non promozionale da entro il 15 maggio 2023, attraverso tutti i principali mezzi di comunicazione di massa italiani (radio, televisione, giornali e Internet) i cui contenuti andranno concordati con il Garante e che dovranno riguardare:
– l’informazione circa la probabile raccolta dei dati personali ai fini dell’addestramento degli algoritmi;
– l’avvenuta pubblicazione dell’informativa privacy;
– lo strumento mediante cui è possibile chiedere e ottenere la cancellazione di propri dati personali.
Stefano GazzellaPiaccia o meno, l’invio di un’email a un destinatario errato costituisce una violazione di dati personali secondo il GDPR. Ovviamente, questo vale se l’email contiene dati personali o se altrime...
Nel gergo dei forum underground e dei marketplace del cybercrime, il termine combo indica un insieme di credenziali rubate composto da coppie del tipo email:password. Non si tratta di semplici elenchi...
Sulla veranda di una vecchia baita in Colorado, Mark Gubrud, 67 anni, osserva distrattamente il crepuscolo in lontananza, con il telefono accanto a sé, lo schermo ancora acceso su un’app di notizie...
Anthropic ha rilasciato Claude Opus 4.5 , il suo nuovo modello di punta, che, secondo l’azienda, è la versione più potente finora rilasciata e si posiziona al vertice della categoria nella program...
Il lavoro da remoto, ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale. Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitor...
