Prescrizioni del Garante n. 39 del 02/02/2023

Limitazione provvisoria urgente del trattamento da parte di Luka Inc. per l'app Replika

Il Garante per la protezione dei dati personali ha adottato un provvedimento d'urgenza nei confronti di Luka Inc., società statunitense sviluppatrice e gestore della chatbot Replika, disponendo la limitazione provvisoria del trattamento dei dati personali degli utenti stabiliti nel territorio italiano. Il provvedimento è stato assunto all'esito di notizie di stampa e di verifiche che avevano fatto emergere criticità rilevanti, soprattutto per la tutela dei minori e dei soggetti vulnerabili.

Origine del procedimento e quadro fattuale

Il procedimento nasce da articoli di stampa che descrivevano test effettuati sull'app Replika, chatbot con interfaccia testuale e vocale basata su intelligenza artificiale. Tali prove avevano messo in evidenza rischi concreti per i minori d'età e, in generale, per persone in stato di fragilità emotiva.

La piattaforma viene presentata come strumento capace di migliorare umore e benessere emotivo, aiutando l'utente a comprendere pensieri e sentimenti, tenere traccia dell'umore, apprendere capacità di coping, ridurre l'ansia e lavorare su obiettivi come pensiero positivo, gestione dello stress, socializzazione e ricerca dell'amore. Secondo il Garante, caratteristiche di questo tipo possono accrescere i rischi per i soggetti fragili coinvolti.

Verifiche sul funzionamento della piattaforma e tutela dei minori

Il Garante ha rilevato che:

• nella privacy policy, aggiornata al 5 luglio 2022, il fornitore dichiara di non raccogliere consapevolmente dati personali di minori di 13 anni e invita genitori e tutori a vigilare sull'uso del servizio;
• nei due principali app store l'app è classificata come adatta a soggetti di età superiore ai 17 anni;
• nei termini di servizio, aggiornati al 14 settembre 2022, è previsto il divieto di utilizzo per i minori di 13 anni e la necessità dell'autorizzazione di un genitore o tutore per i minori di 18 anni.

Nonostante ciò, dai test riportati dalla stampa è emersa l'assenza di filtri per i minori e la proposizione di risposte assolutamente inidonee rispetto al grado di sviluppo e di autoconsapevolezza dei minori. Inoltre:

• durante la creazione dell'account non è prevista alcuna verifica o controllo dell'età;
• il sistema richiede solo nome, e-mail e genere;
• non risultano meccanismi di blocco o interdizione neppure in caso di dichiarazione esplicita della minore età;
• alcune recensioni sugli app store segnalano contenuti sessualmente inopportuni forniti dalla chatbot.

Valutazioni sulla trasparenza e sulla base giuridica

Il Garante ha ritenuto che la privacy policy non sia conforme ai principi e agli obblighi di trasparenza del Regolamento, poiché non chiarisce gli elementi essenziali del trattamento, con particolare riguardo all'utilizzo dei dati personali dei minori. Tale carenza è stata considerata in contrasto con l'art. 13 GDPR.

Dal difetto informativo deriva, secondo l'Autorità, l'impossibilità di individuare la base giuridica delle operazioni di trattamento effettuate dalla chatbot. È stato inoltre escluso che, per quanto riguarda i minori, la base giuridica possa essere ricondotta anche implicitamente alla disciplina contrattuale, attesa l'incapacità dei minori nell'ordinamento italiano di concludere validamente contratti per servizi di questo tipo, che implicano una rilevante messa a disposizione di dati personali.

Violazioni rilevate e norme richiamate

Alla luce delle circostanze emerse, il Garante ha ritenuto il trattamento in violazione degli artt. 5, 6, 8, 9 e 25 GDPR. In particolare, il provvedimento richiama il mancato rispetto dei principi di liceità, correttezza e trasparenza, la problematicità della base giuridica, l'assenza di adeguate garanzie per i minori, il possibile coinvolgimento di categorie particolari di dati e la mancanza di misure tecniche e organizzative adeguate by design e by default.

Misura adottata: limitazione provvisoria del trattamento

In applicazione dell'art. 58, par. 2, lett. f), GDPR, il Garante ha disposto in via d'urgenza nei confronti di Luka Inc. la limitazione provvisoria del trattamento dei dati personali degli utenti stabiliti nel territorio italiano. La misura è stata estesa a tutti i dati personali degli utenti in Italia, tenuto conto dell'assenza di qualsiasi meccanismo di verifica dell'età e del complesso delle violazioni riscontrate.

La limitazione ha effetto immediato dalla data di ricezione del provvedimento, ferma restando la possibilità di ulteriori determinazioni all'esito della definizione dell'istruttoria avviata sul caso.

Richiesta di informazioni e profili sanzionatori

Il Garante, ai sensi dell'art. 58, par. 1, GDPR, ha invitato il titolare del trattamento a comunicare entro 20 giorni dalla ricezione del provvedimento:

• quali iniziative siano state intraprese per dare attuazione alla misura;
• ogni elemento ritenuto utile a giustificare le violazioni evidenziate.

È stato inoltre ricordato che il mancato riscontro alla richiesta dell'Autorità è punito con la sanzione amministrativa di cui all'art. 83, par. 5, lett. e), GDPR.

Rimedi e impugnazione

Il provvedimento indica infine che, ai sensi dell'art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, avverso la misura può essere proposta opposizione all'autorità giudiziaria ordinaria entro 30 giorni dalla comunicazione, ovvero entro 60 giorni se il ricorrente risiede all'estero.