Prescrizioni del Garante n. 280 del 22/06/2023

Luka Inc. (Replika): ingiunzione di misure correttive e sospensione della limitazione provvisoria

Il Garante per la protezione dei dati personali rivaluta il precedente intervento d’urgenza adottato nei confronti di Luka Inc., società statunitense sviluppatrice e gestrice dell’applicazione Replika. Il provvedimento interviene nel contesto della limitazione provvisoria del trattamento già disposta il 2 febbraio 2023 e ratificata il 9 febbraio 2023, a seguito delle criticità riscontrate sul servizio offerto in Italia.

Origine del procedimento e interlocuzione con la società

Dopo il blocco dell’accesso a Replika dall’Italia comunicato dalla società, Luka Inc. ha trasmesso al Garante diverse note nelle quali ha illustrato misure adottate o in corso di adozione, chiedendo la revoca della limitazione provvisoria. La società ha anche richiesto e ottenuto un incontro con l’Autorità, nel corso del quale ha fornito chiarimenti e indicato i tempi di attuazione delle ulteriori misure. Il Garante prende atto di tali elementi e della collaborazione manifestata, mantenendo però ferma la prosecuzione dell’istruttoria.

Misure già adottate dalla società

L’Autorità valorizza alcune iniziative già poste in essere da Luka Inc., tra cui:

• l’aggiornamento della privacy policy per superare le criticità di trasparenza emerse nel provvedimento d’urgenza;
• la predisposizione di una pagina informativa sul blog del sito dedicata all’approccio del servizio in materia di etica, sicurezza e correttezza;
• la dichiarazione secondo cui Replika non è destinato ai minorenni, con conseguente aggiornamento dei termini di servizio per introdurre un divieto espresso di utilizzo da parte dei minori di 18 anni;
• la disponibilità ad adottare, al ripristino del servizio dall’Italia, misure tecniche e organizzative per prevenire l’accesso dei minori;
• la proposta di eliminare la possibilità, per gli utenti italiani, di avviare conversazioni a sfondo sessuale, prevedendo per la riapertura una versione gratuita e una a pagamento, con contenuti romantici ma non sessuali nella versione premium.

Prescrizioni imposte ai sensi dell’art. 58, par. 2, lett. d), GDPR

Il Garante ingiunge a Luka Inc. di attuare concretamente una serie di misure a tutela degli interessati:

• presentare a tutti gli utenti in Italia, prima della registrazione e dell’accesso al servizio, l’informativa privacy aggiornata;
• implementare un meccanismo di age gate in tutte le pagine di registrazione;
• introdurre un period of cooling-off per evitare che i minorenni possano aggirare il divieto di accesso inserendo una data di nascita diversa;
• garantire agli utenti in Italia l’esercizio semplice ed efficace dei diritti in materia di protezione dei dati, inclusi opposizione, accesso, rettifica e cancellazione;
• sottoporre al Garante, almeno 15 giorni prima della prevista riapertura del servizio all’utenza italiana, un piano per impedire l’accesso ai soggetti under 18, eventualmente corredato da un meccanismo di analisi del linguaggio con efficacia successiva;
• sottoporre al Garante, con il medesimo anticipo, un piano per implementare funzioni che consentano agli utenti di segnalare contenuti inappropriati e di evitare che il chatbot li riproponga, ad esempio tramite contrassegno delle risposte inappropriate e feedback sull’esperienza di sessione.

Termine di adempimento e sospensione della misura limitativa

Le prescrizioni da 1 a 4 devono essere integralmente adempiute entro il 28 luglio 2023. Il Garante stabilisce inoltre che la limitazione provvisoria sia sospesa a partire dall’adempimento delle prescrizioni da 1 a 6. Resta espressamente salva ogni ulteriore misura, anche urgente e temporanea, qualora l’attuazione risulti inidonea o insufficiente.

Riserva istruttoria e richieste di riscontro

Le determinazioni sono assunte senza pregiudizio per l’attività di accertamento di eventuali violazioni della disciplina vigente e per ulteriori interventi conclusivi dell’istruttoria. L’Autorità invita inoltre il titolare a comunicare:

• entro il 28 luglio 2023, le iniziative intraprese per dare attuazione alle prescrizioni da 1 a 6;
• entro 15 giorni dalla prevista apertura del servizio in Italia, le iniziative intraprese per dare attuazione alle prescrizioni successive alla riapertura.

Impugnazioni e profili sanzionatori

Il provvedimento richiama la possibilità di opposizione davanti all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 del Codice privacy e 10 del d.lgs. 150/2011, con ricorso da depositare entro 30 giorni dalla comunicazione, ovvero 60 giorni se il ricorrente risiede all’estero. È inoltre ricordato che il mancato riscontro alle richieste formulate ai sensi dell’art. 58 GDPR è punito con la sanzione amministrativa prevista dall’art. 83, par. 5, lett. e), GDPR.