Garante a Gedi e Open ai: non c'e' legittimo interesse nell'addestrare con i dati di chi e' citato negli articoli

VEDI ANCHE:

- Comunicato del 29 novembre 2024

- Comunicato del 26 settembre 2024

[doc. web n. 10077129]

Provvedimento del 27 novembre 2024

Registro dei provvedimenti
n. 741 del 27 novembre 2024

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché alla libera circolazione di tali dati (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTE le Linee guida 1/2024 sul Trattamento dei Dati personali basato sull’articolo 6, paragrafo 1, lettera f, del Regolamento, adottate dal Comitato europeo per la protezione dei Dati personali in data 8 ottobre 2024;

VISTE le Regole deontologiche relative al Trattamento di Dati personali nell’esercizio dell’attività giornalistica pubblicate ai sensi dell’art. 20, comma 4, del d.lgs. 10 agosto 2018, n. 101 del 29 novembre 2018;

RILEVATO che con il comunicato stampa del 26 settembre 2024 GEDI Gruppo Editoriale S.p.A. (di seguito “GEDI” o la “Società”) ha annunciato la sottoscrizione di un accordo con la società OpenAI  “per portare contenuti in lingua italiana dal portafoglio di agenzie di notizie di alta qualità di GEDI agli utenti di OpenAI”, i quali “avranno accesso a citazioni attribuite, contenuti e link alle pubblicazioni di GEDI, tra cui La Repubblica e La Stampa”;

RILEVATO che, a seguito di una richiesta di informazioni dell’Autorità ai sensi del combinato disposto di cui agli artt. 58, par. 1, lett. a) del Regolamento e 157 del Codice, GEDI ha riferito che l’oggetto dell’accordo consiste nella “comunicazione dei contenuti editoriali da parte di alcune testate del Gruppo GEDI a OpenAI, con l’obiettivo di tutelare i diritti di proprietà industriale e intellettuale del Gruppo GEDI (sia morali, sia patrimoniali) promuovendo la libertà di informazione tramite la diffusione di contenuti attuali e di qualità, nonché verificati secondo le norme applicabili alla professione giornalistica e ciò, naturalmente, a riduzione del rischio di veicolazione di fake news”;

RILEVATO che la Società ha dichiarato che l’accordo è stato concluso con OpenAI OpCo, LLC, con sede in USA, in data 24 settembre 2024 ed avrà durata di 3 anni e che GEDI riceverà, a fronte della condivisione dei contenuti editoriali, una remunerazione;

PRESO ATTO che la Società ha dichiarato che il lancio dell’iniziativa è previsto per il 30 novembre 2024, e che la stessa avrà inizio con la comunicazione ad OpenAI, una tantum e in unica soluzione, dei contenuti dell’archivio pubblicati sino al 29 novembre 2024 e proseguirà con la successiva comunicazione, “in modo pressoché contestuale e immediato”, dei contenuti pubblicati a partire dal 30 novembre 2024;

RILEVATO che la Società ha reso noto che le testate i cui contenuti verranno comunicati a OpenAI sono:

• GEDI News Network S.p.A., con sede legale in Via E. Lugaro, 15 – 10126 Torino, editore dei contenuti presenti nei siti www.repubblica.it, www.lastampa.it, www.laprovinciapavese.gelocal.it e www.lasentinella.gelocal.it;

• GEDI Periodici e Servizi S.p.A., con sede legale in Via E. Lugaro, 15 – 10126 Torino, editore dei contenuti presenti nel sito www.limesonline.com;

• GEDI Digital S.r.l., con sede legale in Via E. Lugaro, 15 – 10126 Torino, editore dei contenuti presenti nei siti www.huffingtonpost.it e www.formulapassion.it;

• Monet S.r.l., con sede legale in Via Cristoforo Colombo, 90 - 00147 Roma, editore dei contenuti presenti nel sito www.mymovies.it;

• Alfemminile S.r.l., con sede legale in Via A. Massena, 2 - 20145 Milano, Titolare dei contenuti presenti nel sito www.alfemminile.com;

RILEVATO che la Società ha precisato che “tutti i contenuti editoriali verranno utilizzati da OpenAI per consentire agli utenti [del servizio ChatGPT, n.d.r.] di fare ricerche in tempo reale di notizie di attualità, con contestuale fornitura di un riassunto (generato da sistemi di intelligenza artificiale di OpenAI) e del link diretto alla notizia medesima” e che “tutti i contenuti editoriali verranno utilizzati da OpenAI altresì per migliorare i propri servizi e addestrare i propri algoritmi di intelligenza artificiale”;

RILEVATO che la valutazione di impatto sulla protezione dei dati (di seguito “DPIA”), comprensiva del “contestuale bilanciamento del Legittimo interesse ai sensi dell’articolo 6 e dell’articolo 35 del Regolamento”, è stata trasmessa all’Autorità, in data 19 novembre 2024, in quanto non ancora ultimata all’atto del riscontro alla richiesta di informazioni di cui agli artt. 58, par. 1, lett. a) del Regolamento e 157 del Codice;        

RILEVATO che dalla dpia risulta che il “Trattamento di Dati personali c.d. comuni, è basato sul Legittimo interesse del Titolare ex art. 6 par. 1, lett. f) GDPR  (considerato prevalente, come di seguito precisato) ad esercitare l’attività giornalistica secondo modalità innovative e in grado di preservare la capacità e la funzione informativa dei contenuti editoriali” e che il “Trattamento di Dati personali appartenenti a categorie particolari e relativi a condanne penali e reati (residuali), è effettuato in conformità – in particolare - agli artt. 136 e 137 del Codice privacy e alle disposizioni contenute all’interno delle Regole deontologiche”;

CONSIDERATO, sotto un profilo formale, che dalla documentazione in atti emerge che la controparte contrattuale dell’accordo stipulato da GEDI è la società statunitense OpenAI OpCo LLC, mentre dagli stessi atti risulta che la comunicazione di Dati personali sarà effettuata ad OpenAI Ireland Ltd. (di seguito “OpenAI IE”);

CONSIDERATO altresì che, l’accordo è stato stipulato da GEDI, ma che i contenuti editoriali si riferiscono a GEDI News Network S.p.A., GEDI Periodici e Servizi S.p.A., GEDI Digital S.r.l., Monet S.r.l. e Alfemminile S.r.l., qualificati come autonomi titolari del trattamento;

RILEVATO che la Base giuridica del trattamento è stata identificata da GEDI nel Legittimo interesse di ciascun Titolare del Trattamento a esercitare l’attività giornalistica secondo modalità innovative, preservando la capacità e la funzione informativa dei contenuti editoriali;

CONSIDERATO che le attività di Trattamento possono essere qualificate di “larga scala” atteso che sono destinate a coinvolgere un grande volume di dati personali, anche di natura particolare, segnatamente quelli contenuti negli archivi di GEDI alla data del 29 novembre 2024 e quelli contenuti negli articoli che saranno oggetto di pubblicazione successivamente al 30 novembre 2024;

CONSIDERATO che la base giuridica relativa alla comunicazione ad OpenAI di contenuti editoriali che includono dati di natura particolare ai sensi degli artt. 9 e 10 Regolamento, attività di Trattamento dalla Società ricondotta all’esercizio dell’attività giornalistica ai sensi degli artt. 136 e 137 del Codice, non risulta, allo stato, sufficientemente analizzata nella DPIA, in particolare alla luce del disposto dell’art. 137, comma 3, del, Codice il quale prevede che “in caso di diffusione o di comunicazione dei dati per le finalità di cui all'articolo 136 restano fermi i limiti del diritto di cronaca a tutela dei diritti di cui all'articolo 1, paragrafo 2, del Regolamento e all'articolo 1 del presente codice e, in particolare, quello dell'essenzialità dell'informazione riguardo a fatti di interesse pubblico”;

CONSIDERATO che il Legittimo interesse non è condizione legittimante il Trattamento di Dati personali di carattere particolare in quanto, l’articolo 9 del Regolamento, al suo secondo comma, individua tali “basi giuridiche” quali eccezioni alla regola generale del primo comma, secondo la quale: “È vietato trattare Dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.”;

CONSIDERATO che non appare sufficientemente chiaro come la base giuridica del Legittimo interesse di cui si avvale GEDI, nei termini sopra descritti, per il Trattamento dei dati per finalità giornalistiche, possa risultare anche una base giuridica idonea per consentire alla stessa GEDI di comunicare i Dati personali inclusi nei contenuti editoriali ad OpenAI, anche per operazioni di “addestramento” delle proprie applicazioni di intelligenza artificiale; attività quest’ultima, come riferisce la stessa GEDI, “integralmente sottratte alla partecipazione e al controllo di GEDI e delle testate del Gruppo GEDI”;

CONSIDERATO che gli individui i cui dati personali, comuni e particolari, contenuti negli archivi e negli articoli che saranno oggetto di comunicazione ad OpenAI, non possono ragionevolmente aspettarsi siffatta comunicazione e che il paragrafo integrativo delle informative privacy pubblicate sui siti internet delle testate coinvolte, prodotto da GEDI, non appare sufficiente a considerare adempiuto l’obbligo di trasparenza di cui agli artt. 13 e 14 del Regolamento, atteso che alla data odierna tale paragrafo non risulta ancora pubblicato (ad es. l’informativa privacy de La Repubblica risulta aggiornata al dicembre 2023) e che lo stesso è rivolto agli utenti registrati alle predette testate  e non agli interessati i cui dati siano oggetto di comunicazione ad OpenAI;

CONSIDERATO altresì che, sebbene nell’integrazione alle informative privacy sopra citata la Società afferma che “Ciascun soggetto interessato potrà sempre, in qualsiasi momento, esercitare il diritto di opposizione alla comunicazione dei dati a OpenAI e gli altri diritti riconosciuti dalla normativa applicabile (come descritti anche in altre sezioni della presente informativa) mediante comunicazione da trasmettere all’editore, al seguente recapito: [_]. Ai medesimi recapiti, potranno anche essere inviate richieste di maggiori dettagli sul Legittimo interesse perseguito dall’editore nonché sui soggetti coinvolti nel trattamento”, e che la medesima Società nella dpia dichiara che “implementerà procedure idonee a garantire l’adempimento degli obblighi derivanti dalla normativa applicabile ivi compresi quelli di cui all’articolo 19 GDPR”, GEDI non risulta nelle condizioni di garantire i diritti degli interessati; infatti, sia con riferimento agli archivi giornalistici che verranno comunicati in blocco in data 30 novembre 2024, sia nei casi in cui la comunicazione ad OpenAI avverrà contestualmente alla pubblicazione dei singoli articoli, l’esercizio del diritto di opposizione nei confronti delle testate del gruppo GEDI coinvolte non risulta essere effettivo atteso che, in tali ipotesi, l’esercizio dei diritti di cui al Capo III del Regolamento potrà avvenire esclusivamente nei confronti di OpenAI IE;

RILEVATO che dalla dpia risulta che “Le testate del Gruppo GEDI non sono e non saranno, quindi, responsabili in alcun modo dell’operazione o dell’insieme di operazioni di Trattamento di Dati personali messe in atto da parte di OpenAI, neppure con riferimento ai Dati personali compresi nei contenuti comunicati a OpenAI in base all’Accordo”;

CONSIDERATO che, in base all’Accordo si prevede che OpenAI agisca in qualità di “titolare autonomo del Trattamento e possa utilizzare tali contenuti (e, quindi, i Dati personali negli stessi compresi) per fini di training dei propri sistemi di intelligenza artificiale, e a fini di miglioramento dei propri servizi, come il perfezionamento dell’accessibilità dei contenuti quando gli utenti cercano tali informazioni utilizzando ChatGPT”;

RAVVISATA, pertanto, la necessità di rivolgere, ai sensi dell’art. 58, par. 2, lett. a), del Regolamento e dell’art. 154, comma 1, lett. f), del Codice, un avvertimento nei confronti del GEDI Gruppo Editoriale S.p.A e di tutte le società parte dell’accordo di comunicazione dei contenuti  editoriali stipulato con OpenAI, segnatamente GEDI News Network S.p.A., GEDI Periodici e Servizi S.p.A.,

GEDI Digital S.r.l., Monet S.r.l. e Alfemminile S.r.l., in qualità di titolari del Trattamento dei dati personali, che la comunicazione dei contenuti editoriali delle predette testate del Gruppo GEDI a OpenAI potrebbe verosimilmente configurare una violazione della disposizioni di cui agli artt. 9, 10, 13, 14 e del Capo III del Regolamento, con tutte le conseguenze, anche di carattere sanzionatorio, ivi previste;

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento n.1/2000;

RELATORE il prof. Pasquale Stanzione;

TUTTO CIÒ PREMESSO IL GARANTE:

a) ai sensi dell’art. 58, par. 2, lett. a), del Regolamento e dell’art. 154, comma 1, lett. f), del Codice, avverte GEDI Gruppo Editoriale S.p.A., con sede in Torino, via Ernesto Lugaro 15 e di tutte le società parte dell’accordo di comunicazione dei contenuti  editoriali stipulato con OpenAI, segnatamente GEDI News Network S.p.A., GEDI Periodici e Servizi S.p.A., GEDI Digital S.r.l., Monet S.r.l. e Alfemminile S.r.l., in qualità di titolari del Trattamento dei dati personali, che la comunicazione dei contenuti editoriali delle predette testate del Gruppo GEDI a OpenAI potrebbe verosimilmente violare le disposizioni di cui agli artt. 9, 10, 13, 14 e del Capo III del Regolamento.

Roma, 27 novembre 2024

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Mattei