Stefano Gazzella : 25 Aprile 2023 09:04
Dopo il blocco di ChatGTP in conseguenza al provvedimento di limitazione provvisoria del Garante Privacy, il provvedimento 11 aprile 2023 ha indicato gli adempimenti che OpenAI dovrà adottare entro il 30 aprile affinché il servizio possa essere di nuovo accessibile dall’Italia.
Ciò comporta ovviamente che l’Autorità andrà a valutare l’efficacia delle misure adottate per il superamento delle ragioni d’urgenza che hanno portato al primo provvedimento adottato. Ovviamente, ciò non toglie che potranno essere adottate anche misure ulteriori.
Ecco in sintesi gli ambiti valutati come non conformi e le misure di trattamento indicate a riguardo.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente. Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Per quanto riguarda il trattamento dei dati personali ai fini dell’addestramento, il Garante esclude l’applicazione della base giuridica contrattuale per il trattamento dei dati personali degli utenti. Il motivo è facilmente deducibile: tale finalità esula dalla necessità di dare esecuzione al contratto. Sono infatti indicate le alternative del consenso o del legittimo interesse.
Vero è che a seconda della base indicata sarà poi necessario, in ragione di accountability, adottare un approccio coerente da parte del titolare. Qualora sia adottato il consenso, infatti, andrà comprovata la validità e revocabilità dello stesso. Qualora si opti per il legittimo interesse, invece, andrà svolta una valutazione di sussistenza dello stesso (liceità, necessità, bilanciamento) e garantito il diritto di opposizione all’interessato.
Per quanto riguarda invece i dati personali di interessati diversi dagli utenti, non c’è altra base giuridica riscontrabile al di fuori del legittimo interesse.
Per quanto riguarda le informazioni da rendere agli interessati, le indicazioni fornite a riguardo prescrivono:
– la completezza delle informazioni fornite;
– le modalità attraverso cui tali informazioni sono rese;
ai sensi degli artt. 12, 13 e 14 GDPR.
Per quanto riguarda la completezza delle informazioni, a parte l’indicazione della base giuridica il Garante prescrive la necessità di spiegare “agli interessati anche diversi dagli utenti del servizio ChatGPT, i cui dati sono stati raccolti e trattati ai fini dell’addestramento degli algoritmi, le modalità del trattamento, la logica alla base del trattamento necessario al funzionamento del servizio in tutte le diverse declinazioni (ChatGPT, API ecc.), i diritti loro spettanti in qualità di interessati e ogni altra informazione prevista dal Regolamento;“.
Insomma: viene evidenziato come la precedente informativa sia stata carente nella parte in cui non ha preso in considerazione i soggetti diversi dagli utenti ma le cui informazioni sono comunque trattate da parte di ChatGPT. E dunque coloro i cui dati personali hanno alimentato l’algoritmo.
Poiché si tratta di dati non raccolti direttamente presso l’interessato, trova applicazione l’art. 14 GDPR, ma nella parte in cui le informazioni devono essere fornite dal titolare del trattamento all’interessato “entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati” (art. 14.3 GDPR) si applica la deroga stante il fatto che “comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato” (art. 14.5 lett. b) GDPR) per cui è possibile adottare “misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni“. Misure che è il Garante stesso ad indicare: pubblicazione sul sito internet dell’informativa completa.
Circa le modalità di somministrazione delle informazioni, il Garante indica, oltre alla pubblicazione sul sito web, anche l’inserimento di un link all’informativa “in una posizione che ne consenta la lettura” (e dunque: evitando dark pattern) al primo accesso successivo all’eventuale riattivazione di servizio per utenti già registrati, e nel processo di registrazione per gli utenti che si andranno a registrare.
La misura prescritta in relazione all’esercizio dei diritti di tutti gli interessati, per i trattamenti con la base giuridica del legittimo interesse, è “uno strumento attraverso il quale possano esercitare il diritto di opposizione rispetto ai trattamenti svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio”. Sostanzialmente, è indicata la necessità di garantire il diritto di opposizione implementando una funzione dedicata e presentandola agli interessati in modo adeguato.
La misura per superare la contestazione riguardante l’inesattezza del trattamento dei dati personali in quanto non corrispondenti al dato reale consiste, per gli interessati che si collegano dall’Italia, nella predisposizione “di uno strumento attraverso il quale chiedere e ottenere la correzione di eventuali dati personali che li riguardano trattati in maniera inesatta nella generazione dei contenuti o, qualora ciò risulti impossibile allo stato della tecnica, la cancellazione dei propri dati personali“. La non conformità indicata viene risolta con la messa disposizione di una funzione per la rettifica o, in alternativa, la cancellazione del dato inesatto.
Per quanto riguarda i minori, la contestazione del Garante ha riguardato il mancato rispetto della politica dichiarata da parte della stessa OpenAI. E dunque in ragione di accountability si indica prima di tutto l’esigenza di adottare “un age gate che escluda, sulla base dell’età dichiarata, gli utenti minorenni“, da applicare al primo accesso dall’Italia degli utenti anche già registrati. Dopodiché, di sottoporre entro il 31 maggio 2023 al Garante, di un piano per l’adozione di strumenti di age verification che dovrà escludere dall’accesso al servizio gli utenti infratredicenni e minorenni in assenza di consenso da parte di chi ne esercita la responsabilità genitoriale. Il termine indicato per l’implementazione è il 30 settembre 2023.
In modo simile a quanto avvenuto per il blocco di TikTok, è indicata la promozione di una campagna di informazione di natura non promozionale da entro il 15 maggio 2023, attraverso tutti i principali mezzi di comunicazione di massa italiani (radio, televisione, giornali e Internet) i cui contenuti andranno concordati con il Garante e che dovranno riguardare:
– l’informazione circa la probabile raccolta dei dati personali ai fini dell’addestramento degli algoritmi;
– l’avvenuta pubblicazione dell’informativa privacy;
– lo strumento mediante cui è possibile chiedere e ottenere la cancellazione di propri dati personali.
Stefano GazzellaLe Google dorks, sono diventate sinonimo di hacking, che può essere appreso da qualsiasi utente del World Wide Web. Anche se il termine si concentra su Google, ci sono alcuni comandi che funzionano a...
Recentemente, un avviso sul noto forum underground “DarkForum” ha riacceso i riflettori sul crescente e pericoloso mercato della compravendita di documenti d’identità rubati o falsificati. L’...
Cisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di re...
Il ricercatore Nicholas Zubrisky di Trend Research ha segnalato una vulnerabilità critica nel componente ksmbd del kernel Linux che consente ad aggressori remoti di eseguire codice arbitrario con i m...
Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di...
