Con il provvedimento del 27 novembre 2024, l’Autorità garante per la protezione dei dati personali (“Garante Privacy”) ha emesso nei confronti di GEDI Gruppo Editoriale S.p.A. e di tutte le società parte dell’accordo di comunicazione dei contenuti editoriali stipulato con OpenAI, ossia GEDI News Network S.p.A., GEDI Periodici e Servizi S.p.A., GEDI Digital S.r.l., Monet S.r.l. e Alfemminile S.r.l., un avvertimento formale in ragione dei rischi per la protezione dei dati personali che sono emersi nel corso dell’istruttoria condotta.
La natura dell’accordo e le finalità di addestramento dei modelli di OpenAI
Con la notizia pubblicata su “La Repubblica” in data 27 settembre 2024, GEDI Gruppo Editoriale S.p.A ha annunciato la sottoscrizione di un accordo con la società OpenAI “per portare contenuti in lingua italiana dal portafoglio di agenzie di notizie di alta qualità di GEDI agli utenti di OpenAI”, i quali “avranno accesso a citazioni attribuite, contenuti e link alle pubblicazioni di GEDI, tra cui La Repubblica e La Stampa”.
Con tale accordo, pertanto, GEDI si impegnava a trasmettere a OpenAI, in una prima fase, tutti i contenuti dell’archivio pubblicati sino al 29 novembre 2024 e, successivamente, i contenuti pubblicati a partire dal 30 novembre 2024 (data prevista per il lancio dell’iniziativa).
I contenuti editoriali sarebbero dunque utilizzati, a seguito di tali trasmissioni, per addestrare i modelli di intelligenza artificiale (“IA”) alla base di ChatGPT e di SearchGPT, il prototipo di motore di ricerca basato sull’IA che è stato lanciato da OpenAI il 26 luglio 2024 ed è oggi disponibile per tutti gli utenti che hanno sottoscritto un abbonamento ChatGPT Plus e Team.
Gli esiti dell’istruttoria e le osservazioni del Garante Privacy
A seguito di una richiesta di informazioni da parte dell’Autorità ai sensi degli articoli 58, par. 1, lett. a) del Regolamento (UE) 2016/679 (“GDPR”) e 157 del D.lgs. n. 196/2003 (“Codice Privacy”) GEDI ha specificato che l’oggetto dell’accordo consiste nella “comunicazione dei contenuti editoriali da parte di alcune testate del Gruppo GEDI a OpenAI, con l’obiettivo di tutelare i diritti di proprietà industriale e intellettuale del Gruppo GEDI (sia morali, sia patrimoniali) promuovendo la libertà di informazione tramite la diffusione di contenuti attuali e di qualità, nonché verificati secondo le norme applicabili alla professione giornalistica e ciò, naturalmente, a riduzione del rischio di veicolazione di fake news”.
Il Garante Privacy ha avviato l’istruttoria considerato che l’accordo comporterebbe la comunicazione su larga scala di dati personali, presenti nei contenuti editoriali e negli archivi di GEDI, anche appartenenti a particolari categorie, nonchè dati giudiziari; evidenziando, peraltro, la necessità di applicare le tutele previste dalle Regole deontologiche relative al trattamento di dati personali nell’esercizio dell’attività giornalistica.
Nel corso dell’istruttoria, GEDI:
- ha riferito che la comunicazione dei dati personali sarebbe avvenuta sulla base giuridica del legittimo interesse, ai sensi dell’art. 6, par. 1, lett.f) del GDPR;
- ha trasmesso, in data 19 novembre 2024, la Valutazione d’impatto sulla protezione dei dati (“DPIA”), contenete anche la valutazione in merito al bilanciamento degli interessi;
- ha dichiarato che sarebbero stati implementati meccanismi e procedure per rendere possibile l’esercizio dei diritti degli interessati, tra cui in particolare il diritto di opposizione, prendendo contatti direttamente con GEDI.
Sulla base delle informazioni ricevute, l’Autorità ha tuttavia ritenuto non sufficienti le garanzie adottate da GEDI. Il Garante Privacy ha infatti rilevato che il legittimo interesse non costituisce base giuridica per il trattamento di dati particolari, ai sensi dell’art. 9; e che, comunque, la DPIA non forniva motivazioni idonee per ritenere che il legittimo interesse potesse consentire all’editore di cedere a terzi i dati personali presenti nell’archivio a OpenAI perché li trattasse per addestrare i propri modelli di IA.
Il provvedimento, inoltre, sottolinea come non siano adempiuti gli obblighi informativi e di trasparenza nei confronti degli interessati e che non sono previste misure per garantire il diritto di opposizione direttamente nei confronti di OpenAI che, in virtù di tale accordo, assume il ruolo di titolare autonomo del trattamento.
Avv. Lorenzo Baudino Bessone e Dott.ssa Giust Mazzilli
