Avvertimento n. 741 del 27/11/2024

Avvertimento a GEDI per la comunicazione di contenuti editoriali a OpenAI

Il Garante per la protezione dei dati personali ha adottato un avvertimento nei confronti di GEDI Gruppo Editoriale S.p.A. e delle società del gruppo coinvolte nell’accordo con OpenAI per la comunicazione di contenuti editoriali. Il provvedimento riguarda un trattamento destinato anche all’uso dei contenuti per il miglioramento dei servizi e l’addestramento di sistemi di intelligenza artificiale, con possibile coinvolgimento di dati personali comuni, dati particolari e dati relativi a condanne penali e reati.

Origine del procedimento e informazioni acquisite

Il procedimento trae origine dal comunicato stampa del 26 settembre 2024 con cui GEDI ha annunciato la sottoscrizione di un accordo con OpenAI per portare contenuti in lingua italiana del proprio portafoglio editoriale agli utenti del servizio. A seguito di richiesta di informazioni formulata dall’Autorità ai sensi degli artt. 58, par. 1, lett. a), GDPR e 157 del Codice, GEDI ha chiarito che l’accordo è stato concluso con OpenAI OpCo, LLC, con sede negli Stati Uniti, in data 24 settembre 2024, per una durata di tre anni, e che il lancio dell’iniziativa era previsto per il 30 novembre 2024.

La comunicazione dei contenuti avrebbe interessato, da un lato, gli archivi delle testate fino al 29 novembre 2024, trasferiti in blocco e in una sola soluzione, e, dall’altro, i contenuti pubblicati dal 30 novembre 2024 in avanti, comunicati in modo pressoché contestuale e immediato.

Titolari coinvolti e contenuti oggetto di comunicazione

Il provvedimento individua come testate coinvolte:

• GEDI News Network S.p.A., editore dei siti www.repubblica.it, www.lastampa.it, www.laprovinciapavese.gelocal.it e www.lasentinella.gelocal.it;
• GEDI Periodici e Servizi S.p.A., editore di www.limesonline.com;
• GEDI Digital S.r.l., editore di www.huffingtonpost.it e www.formulapassion.it;
• Monet S.r.l., editore di www.mymovies.it;
• Alfemminile S.r.l., titolare dei contenuti di www.alfemminile.com.

Il Garante osserva che, pur essendo GEDI il soggetto che ha stipulato l’accordo, i contenuti editoriali appartengono a società da qualificarsi come autonomi titolari del trattamento. Inoltre, dalla documentazione emerge una possibile divergenza tra la controparte contrattuale indicata come OpenAI OpCo, LLC e il soggetto che effettivamente riceverebbe i dati, indicato in OpenAI Ireland Ltd.

Base giuridica e trattamento di dati particolari

GEDI ha indicato quale base giuridica del trattamento il legittimo interesse di ciascun titolare a esercitare l’attività giornalistica con modalità innovative, preservando la funzione informativa dei contenuti editoriali. Nella DPIA trasmessa all’Autorità si afferma, inoltre, che il trattamento di dati comuni si fonda sull’art. 6, par. 1, lett. f), GDPR, mentre quello di dati particolari e di dati relativi a condanne penali e reati sarebbe effettuato in conformità agli artt. 136 e 137 del Codice e alle Regole deontologiche del giornalismo.

Il Garante ritiene tuttavia che la base giuridica non sia stata sufficientemente analizzata, soprattutto con riferimento alla comunicazione ad OpenAI di contenuti editoriali contenenti dati particolari. Viene richiamato l’art. 137, comma 3, del Codice, che impone il rispetto del limite dell’essenzialità dell’informazione rispetto a fatti di interesse pubblico. L’Autorità evidenzia anche che il legittimo interesse non costituisce una base idonea per il trattamento di dati particolari, alla luce dell’art. 9 GDPR.

Comunicazione ad OpenAI e addestramento dei modelli

Dalla documentazione emerge che OpenAI utilizzerebbe tutti i contenuti editoriali per consentire agli utenti di effettuare ricerche in tempo reale sulle notizie di attualità, con riassunti generati dai sistemi di IA e link diretti alle notizie. I contenuti sarebbero inoltre impiegati per migliorare i servizi e addestrare gli algoritmi di intelligenza artificiale.

Il Garante osserva che non risulta sufficientemente chiaro come il legittimo interesse invocato da GEDI per l’attività giornalistica possa costituire anche titolo idoneo per la successiva comunicazione dei dati a OpenAI, specie per operazioni di addestramento integralmente sottratte al controllo del gruppo editoriale.

Trasparenza informativa e diritti degli interessati

L’Autorità considera non adeguatamente assolti gli obblighi di trasparenza ex artt. 13 e 14 GDPR. Il paragrafo integrativo predisposto da GEDI non risulta, al momento del provvedimento, pubblicato sui siti interessati; inoltre, l’informativa aggiornata risulterebbe ferma al dicembre 2023 per alcune testate. Il Garante rileva altresì che il testo sarebbe rivolto agli utenti registrati e non agli interessati i cui dati personali sarebbero oggetto di comunicazione ad OpenAI.

Quanto ai diritti dell’interessato, GEDI aveva dichiarato che ogni soggetto interessato avrebbe potuto opporsi alla comunicazione dei dati a OpenAI e esercitare gli altri diritti previsti dalla normativa, mediante contatto con l’editore. Tuttavia, secondo l’Autorità, tali diritti non risulterebbero effettivamente garantiti: nei casi di trasferimento in blocco degli archivi e di comunicazione contestuale alla pubblicazione dei nuovi articoli, l’opposizione alle testate non sarebbe realmente efficace, poiché i diritti del Capo III dovrebbero poi essere esercitati nei confronti di OpenAI IE.

Valutazione del rischio e avvertimento finale

Il Garante osserva che il trattamento appare di larga scala, in quanto destinato a coinvolgere un grande volume di dati personali, anche di natura particolare, presenti negli archivi editoriali e nei nuovi articoli. Inoltre, dalle dichiarazioni di GEDI emerge che le testate del gruppo non sarebbero responsabili delle operazioni di trattamento effettuate da OpenAI sui dati loro comunicati.

Alla luce di tali elementi, l’Autorità ritiene necessario rivolgere un avvertimento, ai sensi dell’art. 58, par. 2, lett. a), GDPR e dell’art. 154, comma 1, lett. f), del Codice, a GEDI Gruppo Editoriale S.p.A. e alle società del gruppo parte dell’accordo. Il Garante avverte che la comunicazione dei contenuti editoriali a OpenAI potrebbe verosimilmente violare gli artt. 9, 10, 13, 14 e le disposizioni del Capo III del GDPR, con possibili conseguenze anche di carattere sanzionatorio.