Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Stefano Gazzella : 25 Aprile 2023 09:04
Dopo il blocco di ChatGTP in conseguenza al provvedimento di limitazione provvisoria del Garante Privacy, il provvedimento 11 aprile 2023 ha indicato gli adempimenti che OpenAI dovrà adottare entro il 30 aprile affinché il servizio possa essere di nuovo accessibile dall’Italia.
Ciò comporta ovviamente che l’Autorità andrà a valutare l’efficacia delle misure adottate per il superamento delle ragioni d’urgenza che hanno portato al primo provvedimento adottato. Ovviamente, ciò non toglie che potranno essere adottate anche misure ulteriori.
Ecco in sintesi gli ambiti valutati come non conformi e le misure di trattamento indicate a riguardo.
CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce.
Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.
Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Per quanto riguarda il trattamento dei dati personali ai fini dell’addestramento, il Garante esclude l’applicazione della base giuridica contrattuale per il trattamento dei dati personali degli utenti. Il motivo è facilmente deducibile: tale finalità esula dalla necessità di dare esecuzione al contratto. Sono infatti indicate le alternative del consenso o del legittimo interesse.
Vero è che a seconda della base indicata sarà poi necessario, in ragione di accountability, adottare un approccio coerente da parte del titolare. Qualora sia adottato il consenso, infatti, andrà comprovata la validità e revocabilità dello stesso. Qualora si opti per il legittimo interesse, invece, andrà svolta una valutazione di sussistenza dello stesso (liceità, necessità, bilanciamento) e garantito il diritto di opposizione all’interessato.
Per quanto riguarda invece i dati personali di interessati diversi dagli utenti, non c’è altra base giuridica riscontrabile al di fuori del legittimo interesse.
Per quanto riguarda le informazioni da rendere agli interessati, le indicazioni fornite a riguardo prescrivono:
– la completezza delle informazioni fornite;
– le modalità attraverso cui tali informazioni sono rese;
ai sensi degli artt. 12, 13 e 14 GDPR.
Per quanto riguarda la completezza delle informazioni, a parte l’indicazione della base giuridica il Garante prescrive la necessità di spiegare “agli interessati anche diversi dagli utenti del servizio ChatGPT, i cui dati sono stati raccolti e trattati ai fini dell’addestramento degli algoritmi, le modalità del trattamento, la logica alla base del trattamento necessario al funzionamento del servizio in tutte le diverse declinazioni (ChatGPT, API ecc.), i diritti loro spettanti in qualità di interessati e ogni altra informazione prevista dal Regolamento;“.
Insomma: viene evidenziato come la precedente informativa sia stata carente nella parte in cui non ha preso in considerazione i soggetti diversi dagli utenti ma le cui informazioni sono comunque trattate da parte di ChatGPT. E dunque coloro i cui dati personali hanno alimentato l’algoritmo.
Poiché si tratta di dati non raccolti direttamente presso l’interessato, trova applicazione l’art. 14 GDPR, ma nella parte in cui le informazioni devono essere fornite dal titolare del trattamento all’interessato “entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati” (art. 14.3 GDPR) si applica la deroga stante il fatto che “comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato” (art. 14.5 lett. b) GDPR) per cui è possibile adottare “misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni“. Misure che è il Garante stesso ad indicare: pubblicazione sul sito internet dell’informativa completa.
Circa le modalità di somministrazione delle informazioni, il Garante indica, oltre alla pubblicazione sul sito web, anche l’inserimento di un link all’informativa “in una posizione che ne consenta la lettura” (e dunque: evitando dark pattern) al primo accesso successivo all’eventuale riattivazione di servizio per utenti già registrati, e nel processo di registrazione per gli utenti che si andranno a registrare.
La misura prescritta in relazione all’esercizio dei diritti di tutti gli interessati, per i trattamenti con la base giuridica del legittimo interesse, è “uno strumento attraverso il quale possano esercitare il diritto di opposizione rispetto ai trattamenti svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio”. Sostanzialmente, è indicata la necessità di garantire il diritto di opposizione implementando una funzione dedicata e presentandola agli interessati in modo adeguato.
La misura per superare la contestazione riguardante l’inesattezza del trattamento dei dati personali in quanto non corrispondenti al dato reale consiste, per gli interessati che si collegano dall’Italia, nella predisposizione “di uno strumento attraverso il quale chiedere e ottenere la correzione di eventuali dati personali che li riguardano trattati in maniera inesatta nella generazione dei contenuti o, qualora ciò risulti impossibile allo stato della tecnica, la cancellazione dei propri dati personali“. La non conformità indicata viene risolta con la messa disposizione di una funzione per la rettifica o, in alternativa, la cancellazione del dato inesatto.
Per quanto riguarda i minori, la contestazione del Garante ha riguardato il mancato rispetto della politica dichiarata da parte della stessa OpenAI. E dunque in ragione di accountability si indica prima di tutto l’esigenza di adottare “un age gate che escluda, sulla base dell’età dichiarata, gli utenti minorenni“, da applicare al primo accesso dall’Italia degli utenti anche già registrati. Dopodiché, di sottoporre entro il 31 maggio 2023 al Garante, di un piano per l’adozione di strumenti di age verification che dovrà escludere dall’accesso al servizio gli utenti infratredicenni e minorenni in assenza di consenso da parte di chi ne esercita la responsabilità genitoriale. Il termine indicato per l’implementazione è il 30 settembre 2023.
In modo simile a quanto avvenuto per il blocco di TikTok, è indicata la promozione di una campagna di informazione di natura non promozionale da entro il 15 maggio 2023, attraverso tutti i principali mezzi di comunicazione di massa italiani (radio, televisione, giornali e Internet) i cui contenuti andranno concordati con il Garante e che dovranno riguardare:
– l’informazione circa la probabile raccolta dei dati personali ai fini dell’addestramento degli algoritmi;
– l’avvenuta pubblicazione dell’informativa privacy;
– lo strumento mediante cui è possibile chiedere e ottenere la cancellazione di propri dati personali.
Stefano GazzellaIntraprendere un percorso di apprendimento nelle nuove tecnologie e sulla sicurezza informatica oggi può fare la differenza, soprattutto in ambiti innovativi e altamente specialistici. Per questo...
Google ci porta nel futuro con le traduzioni simultanee in Google Meet! In occasione del suo evento annuale Google I/O 2025, Google ha presentato uno dei suoi aggiornamenti più entusia...
“Ciao Italia! L’attacco all’ospedale italiano è riuscito. Ci siamo stabiliti nel sistema, caricando un exploit sul server, ottenendo molte informazioni utili dalle schede dei...
il 22 maggio 2025, è emersa la notizia di un attacco ransomware ai danni della divisione Emirati Arabi della Coca-Cola Company, rivendicato dal gruppo Everest. La compromissione sarebbe avvenuta ...
I black hacker di NOVA tornano a colpire, e questa volta con insulti all’Italia dopo la pubblicazione dei dati del presunto attacco informatico al Comune di Pisa. Dopo aver rivendicato l’...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
