Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Stefano Gazzella : 25 Aprile 2023 09:04
Dopo il blocco di ChatGTP in conseguenza al provvedimento di limitazione provvisoria del Garante Privacy, il provvedimento 11 aprile 2023 ha indicato gli adempimenti che OpenAI dovrà adottare entro il 30 aprile affinché il servizio possa essere di nuovo accessibile dall’Italia.
Ciò comporta ovviamente che l’Autorità andrà a valutare l’efficacia delle misure adottate per il superamento delle ragioni d’urgenza che hanno portato al primo provvedimento adottato. Ovviamente, ciò non toglie che potranno essere adottate anche misure ulteriori.
Ecco in sintesi gli ambiti valutati come non conformi e le misure di trattamento indicate a riguardo.
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Per quanto riguarda il trattamento dei dati personali ai fini dell’addestramento, il Garante esclude l’applicazione della base giuridica contrattuale per il trattamento dei dati personali degli utenti. Il motivo è facilmente deducibile: tale finalità esula dalla necessità di dare esecuzione al contratto. Sono infatti indicate le alternative del consenso o del legittimo interesse.
Vero è che a seconda della base indicata sarà poi necessario, in ragione di accountability, adottare un approccio coerente da parte del titolare. Qualora sia adottato il consenso, infatti, andrà comprovata la validità e revocabilità dello stesso. Qualora si opti per il legittimo interesse, invece, andrà svolta una valutazione di sussistenza dello stesso (liceità, necessità, bilanciamento) e garantito il diritto di opposizione all’interessato.
Per quanto riguarda invece i dati personali di interessati diversi dagli utenti, non c’è altra base giuridica riscontrabile al di fuori del legittimo interesse.
Per quanto riguarda le informazioni da rendere agli interessati, le indicazioni fornite a riguardo prescrivono:
– la completezza delle informazioni fornite;
– le modalità attraverso cui tali informazioni sono rese;
ai sensi degli artt. 12, 13 e 14 GDPR.
Per quanto riguarda la completezza delle informazioni, a parte l’indicazione della base giuridica il Garante prescrive la necessità di spiegare “agli interessati anche diversi dagli utenti del servizio ChatGPT, i cui dati sono stati raccolti e trattati ai fini dell’addestramento degli algoritmi, le modalità del trattamento, la logica alla base del trattamento necessario al funzionamento del servizio in tutte le diverse declinazioni (ChatGPT, API ecc.), i diritti loro spettanti in qualità di interessati e ogni altra informazione prevista dal Regolamento;“.
Insomma: viene evidenziato come la precedente informativa sia stata carente nella parte in cui non ha preso in considerazione i soggetti diversi dagli utenti ma le cui informazioni sono comunque trattate da parte di ChatGPT. E dunque coloro i cui dati personali hanno alimentato l’algoritmo.
Poiché si tratta di dati non raccolti direttamente presso l’interessato, trova applicazione l’art. 14 GDPR, ma nella parte in cui le informazioni devono essere fornite dal titolare del trattamento all’interessato “entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati” (art. 14.3 GDPR) si applica la deroga stante il fatto che “comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato” (art. 14.5 lett. b) GDPR) per cui è possibile adottare “misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni“. Misure che è il Garante stesso ad indicare: pubblicazione sul sito internet dell’informativa completa.
Circa le modalità di somministrazione delle informazioni, il Garante indica, oltre alla pubblicazione sul sito web, anche l’inserimento di un link all’informativa “in una posizione che ne consenta la lettura” (e dunque: evitando dark pattern) al primo accesso successivo all’eventuale riattivazione di servizio per utenti già registrati, e nel processo di registrazione per gli utenti che si andranno a registrare.
La misura prescritta in relazione all’esercizio dei diritti di tutti gli interessati, per i trattamenti con la base giuridica del legittimo interesse, è “uno strumento attraverso il quale possano esercitare il diritto di opposizione rispetto ai trattamenti svolti dalla società ai fini dell’addestramento degli algoritmi e dell’erogazione del servizio”. Sostanzialmente, è indicata la necessità di garantire il diritto di opposizione implementando una funzione dedicata e presentandola agli interessati in modo adeguato.
La misura per superare la contestazione riguardante l’inesattezza del trattamento dei dati personali in quanto non corrispondenti al dato reale consiste, per gli interessati che si collegano dall’Italia, nella predisposizione “di uno strumento attraverso il quale chiedere e ottenere la correzione di eventuali dati personali che li riguardano trattati in maniera inesatta nella generazione dei contenuti o, qualora ciò risulti impossibile allo stato della tecnica, la cancellazione dei propri dati personali“. La non conformità indicata viene risolta con la messa disposizione di una funzione per la rettifica o, in alternativa, la cancellazione del dato inesatto.
Per quanto riguarda i minori, la contestazione del Garante ha riguardato il mancato rispetto della politica dichiarata da parte della stessa OpenAI. E dunque in ragione di accountability si indica prima di tutto l’esigenza di adottare “un age gate che escluda, sulla base dell’età dichiarata, gli utenti minorenni“, da applicare al primo accesso dall’Italia degli utenti anche già registrati. Dopodiché, di sottoporre entro il 31 maggio 2023 al Garante, di un piano per l’adozione di strumenti di age verification che dovrà escludere dall’accesso al servizio gli utenti infratredicenni e minorenni in assenza di consenso da parte di chi ne esercita la responsabilità genitoriale. Il termine indicato per l’implementazione è il 30 settembre 2023.
In modo simile a quanto avvenuto per il blocco di TikTok, è indicata la promozione di una campagna di informazione di natura non promozionale da entro il 15 maggio 2023, attraverso tutti i principali mezzi di comunicazione di massa italiani (radio, televisione, giornali e Internet) i cui contenuti andranno concordati con il Garante e che dovranno riguardare:
– l’informazione circa la probabile raccolta dei dati personali ai fini dell’addestramento degli algoritmi;
– l’avvenuta pubblicazione dell’informativa privacy;
– lo strumento mediante cui è possibile chiedere e ottenere la cancellazione di propri dati personali.
Stefano GazzellaNegli ultimi giorni, NS Power, una delle principali aziende elettriche canadesi, ha confermato di essere stata vittima di un attacco informatico e ha pubblicato degli update all’interno della H...
1° Maggio, un giorno per onorare chi lavora, chi lotta per farlo in modo dignitoso e chi, troppo spesso, perde la vita mentre svolge la propria mansione. Nel 2025, l’Italia continua a pian...
Domani celebreremo uno degli elementi più iconici – e al tempo stesso vulnerabili – della nostra vita digitale: la password. Da semplice chiave d’accesso inventata negli anni...
Ci sono luoghi nel web dove la normalità cede il passo all’illecito, dove l’apparenza di un marketplace moderno e funzionale si trasforma in una vetrina globale per ogni tipo di rea...
Le backdoor come sappiamo sono ovunque e qualora presenti possono essere utilizzate sia da chi le ha richieste ma anche a vantaggio di chi le ha scoperte e questo potrebbe essere un caso emblematico s...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
