Prescrizioni del Garante n. 33 del 30/01/2025

DeepSeek: limitazione definitiva del trattamento dei dati degli interessati in Italia

Il Garante per la protezione dei dati personali ha adottato un provvedimento urgente nei confronti di Hangzhou DeepSeek Artificial Intelligence Co., Ltd. e Beijing DeepSeek Artificial Intelligence Co., Ltd., titolari del servizio DeepSeek. Il provvedimento interviene sulla base di una richiesta di informazioni, del riscontro fornito dalle società e di un accertamento svolto dall'Autorità in relazione all'accessibilità del servizio da parte di utenti situati in Italia.

Presupposti del provvedimento e applicabilità del GDPR

Le società avevano dichiarato di non essere entrate nel mercato italiano e di aver rimosso l'app dagli store locali, sostenendo anche che il Regolamento (UE) 2016/679 non fosse applicabile ai trattamenti effettuati. Il Garante, tuttavia, ha rilevato che alla data del 30 gennaio 2025 l'app non era più disponibile negli store Apple e Google, ma il servizio risultava ancora accessibile tramite sito web e per gli utenti già registrati. Da tali elementi ha concluso che il servizio è offerto a interessati che si trovano nell'Unione europea, in particolare in Italia, con conseguente applicazione dell'art. 3, par. 2, lett. a), GDPR.

Violazioni rilevate

L'Autorità ha individuato diverse criticità nel trattamento dei dati personali svolto nell'ambito del servizio DeepSeek:

• mancata collaborazione adeguata in sede di richiesta di informazioni, con violazione dell'art. 31 GDPR;
• privacy policy disponibile solo in lingua inglese e non conforme in modo esaustivo agli obblighi informativi degli artt. 12, 13 e 14 GDPR;
• assenza di una descrizione puntuale e granulare delle basi giuridiche delle singole operazioni di trattamento, in violazione dell'art. 6 GDPR;
• ricadute negative sulla possibilità per gli interessati di esercitare i propri diritti, con violazione del Capo III GDPR;
• indicazione, nella policy, della conservazione dei dati nella Repubblica popolare cinese, con richiamo ai profili di sicurezza e garanzie di cui all'art. 32 GDPR;
• mancata designazione, per iscritto, di un rappresentante nell'Unione europea, in violazione dell'art. 27 GDPR.

Valutazione del Garante

Il Garante ha ritenuto che le carenze informative e organizzative emerse impediscano di ricostruire compiutamente le attività di trattamento connesse al servizio, i presupposti di liceità, le modalità di conservazione e le misure poste a tutela degli interessati. La combinazione di tali elementi ha condotto l'Autorità a dichiarare illecito il trattamento descritto nei termini della motivazione.

Misura urgente disposta

Ai sensi dell'art. 58, par. 2, lett. f), GDPR, il Garante ha ordinato alle società la limitazione definitiva delle attività di trattamento dei dati personali di interessati che si trovano nel territorio italiano e che avvengono nell'ambito del servizio DeepSeek. La misura ha effetto immediato dalla data di ricezione del provvedimento ed è adottata nelle more del completamento dell'istruttoria avviata sul caso, con riserva di ulteriori determinazioni.

Profili sanzionatori e rimedi

Nel provvedimento il Garante richiama espressamente che, in caso di inosservanza dell'ordine, trovano applicazione la sanzione penale prevista dall'art. 170 del Codice privacy e le sanzioni amministrative di cui all'art. 83, par. 5, lett. e), GDPR. È inoltre disposta l'annotazione delle violazioni e delle misure adottate nel registro interno dell'Autorità, ai sensi dell'art. 17 del regolamento del Garante n. 1/2019 e dell'art. 57, par. 1, lett. u), GDPR.

Impugnazione

Avverso il provvedimento è proposta opposizione dinanzi all'autorità giudiziaria ordinaria, con ricorso al tribunale ordinario del luogo in cui ha la residenza il titolare del trattamento, entro trenta giorni dalla comunicazione, ovvero entro sessanta giorni se il ricorrente risiede all'estero, ai sensi dell'art. 78 GDPR, dell'art. 152 del Codice e dell'art. 10 del d.lgs. 150/2011.