Deliberazione n. 329 del 20/05/2024

Web scraping e intelligenza artificiale generativa: nota informativa del Garante

Il Garante per la protezione dei dati personali adotta una nota informativa generale sul web scraping di dati personali finalizzato all’addestramento di sistemi di intelligenza artificiale generativa. Il provvedimento è rivolto ai gestori, pubblici e privati, di siti web e piattaforme online stabiliti in Italia e non contiene una decisione sanzionatoria o correttiva su un singolo caso, ma orientamenti di principio e prime indicazioni operative.

Contesto e origine dell’intervento

L’Autorità richiama la propria attività di indagine conoscitiva in materia di web scraping, deliberata il 21 dicembre 2023. Nella prospettiva del Garante, la diffusione di sistemi di IAG e la raccolta massiva di dati disponibili online impongono di considerare i rischi per la protezione dei dati personali, soprattutto quando i contenuti pubblicati su siti e piattaforme siano riutilizzati da terzi per l’addestramento di modelli algoritmici.

Quadro normativo richiamato

Il provvedimento si fonda sull’art. 57, par. 1, lett. b), GDPR, che attribuisce alle autorità di controllo il compito di promuovere la consapevolezza e la comprensione del pubblico in materia di protezione dei dati, con particolare attenzione ai minori. Vengono richiamati inoltre:

• il Regolamento (UE) 2016/679;
• il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018;
• il principio di accountability di cui all’art. 5, par. 2, GDPR;
• i principi di cui all’art. 5, par. 1, lett. b), c) ed f), GDPR, relativi a limitazione della finalità, minimizzazione e integrità/riservatezza;
• gli artt. 13-22 GDPR, per il profilo dell’effettivo esercizio dei diritti degli interessati.

Trattamenti considerati e basi giuridiche

Il Garante precisa che la pubblicazione di dati personali online da parte di qualunque titolare, pubblico o privato, deve essere sempre sorretta da una o più basi giuridiche ex art. 6 GDPR e realizzata per finalità specifiche, normalmente diverse dalla costruzione di basi dati aperte destinate a terzi per l’addestramento di intelligenze artificiali. In tale prospettiva, anche chi raccoglie dati tramite web scraping per addestrare sistemi di IAG, se qualificabile come titolare del trattamento, deve individuare un’adeguata base giuridica e rispettare integralmente gli obblighi del Regolamento.

Rischi per gli interessati

L’Autorità evidenzia che l’impiego di tecniche di scraping su larga scala, nel contesto dei sistemi di IAG, può rendere più difficile per gli interessati l’esercizio effettivo dei diritti riconosciuti dal GDPR. Il provvedimento pone quindi attenzione non solo alla liceità della raccolta, ma anche alla concreta governabilità del trattamento e alla capacità dei soggetti interessati di opporsi, accedere o comunque far valere i propri diritti.

Misure tecniche e organizzative di contrasto

La nota richiama la possibilità di adottare misure tecnologiche messe a disposizione da alcuni sviluppatori di IAG per limitare o impedire lo scraping indesiderato. Tali misure non vengono configurate come obblighi generalizzati di adeguamento, bensì come strumenti tecnici e organizzativi da valutare caso per caso secondo:

• lo stato dell’arte;
• i costi di attuazione, con particolare riguardo alle PMI;
• la natura, l’ambito di applicazione, il contesto e le finalità dei trattamenti.

Il Garante precisa inoltre che tali misure non sono esaustive rispetto al fenomeno del web scraping indesiderato.

Rapporti con altre normative

Il provvedimento chiarisce che restano fermi gli obblighi e i regimi speciali già previsti da altre normative, tra cui:

• gli obblighi di pubblicazione per finalità di trasparenza e la pubblicità legale;
• la disciplina su open data e riutilizzo dell’informazione del settore pubblico;
• le regole in materia di prevenzione della corruzione e trasparenza per società ed enti controllati o partecipati e per enti pubblici economici;
• la tutela della proprietà intellettuale e del diritto d’autore.

Vengono inoltre menzionati, per il loro possibile rilievo nel quadro regolatorio digitale europeo, il Digital Markets Act, il Digital Services Act, il Digital Governance Act e il Data Act.

Esito del provvedimento

All’esito, il Garante delibera di adottare la nota informativa in materia di web scraping per l’addestramento di intelligenza artificiale generativa e di possibili azioni di contrasto a tutela dei dati personali, disponendo altresì la trasmissione del provvedimento al Ministero della giustizia per la pubblicazione in Gazzetta Ufficiale ai sensi dell’art. 154-bis, comma 3, del Codice.