Questa decisione di ChatGPT potrebbe "far pendere la bilancia". Il Presidente dell'Ufficio per la protezione dei dati personali annuncia quando verrà presa la decisione

• - Se i politici riflettessero, le normative nella loro forma attuale consentirebbero loro di raggiungere gli obiettivi che si sono prefissati senza violare i principi della protezione dei dati personali - afferma Mirosław Wróblewski, presidente dell'Ufficio per la protezione dei dati personali, in un'intervista al WNP sulla divulgazione dei dati di Jerzy Ż. nella campagna elettorale.
• Wróblewski critica il modello di business di Facebook. - Nella privacy c'è un elemento di tutela della nostra dignità, è un diritto fondamentale. "Non credo sia opportuno imporre una tariffa per proteggere i nostri diritti fondamentali", afferma.
• Il Presidente dell'Ufficio per la protezione dei dati personali annuncia che la decisione sul caso rivoluzionario riguardante OpenAI sarà presa entro dicembre. Il dott. Łukasz Olejnik, ricercatore nel campo della sicurezza informatica, ha sporto denuncia presso l'ufficio sostenendo che il creatore di ChatGPT stava elaborando illegalmente i suoi dati.
• Wróblewski spiega anche come il GDPR potrebbe presto cambiare. La Commissione europea ha presentato di recente le sue proposte in merito.

La posizione del Presidente dell’UODO è politica?

- Cosa intendi dire?

La tua valutazione di certe situazioni differisce notevolmente da quella del tuo predecessore. Ad esempio, per quanto riguarda le elezioni tramite busta.

- È vero che abbiamo opinioni diverse, ma le mie valutazioni si basano principalmente sulla giurisprudenza della Corte di giustizia e dei tribunali amministrativi. Non credo che abbia nulla a che fare con la politica.

I politici saranno puniti per l'uso dei dati nelle campagne elettorali

E il GDPR stesso è uno strumento di lotta politica?

- Capisco cosa vuoi dire. Il tema del trattamento dei dati personali si pone anche nelle attività pubbliche. I recenti avvenimenti dimostrano che, purtroppo, le emozioni, la fretta o elementi di lotta elettorale spesso portano i politici a dimenticare la necessità di rispettare le disposizioni in materia di protezione dei dati personali.

Non dovrebbe andare così: se i politici riflettessero, le normative nella loro forma attuale consentirebbero loro di raggiungere gli obiettivi prefissati senza violare i principi della protezione dei dati personali. È possibile conciliare l'esigenza di trasparenza, la divulgazione di determinate informazioni e la tutela della privacy degli individui. Purtroppo la campagna elettorale e le emozioni politiche non favoriscono questa riflessione.

Stiamo parlando del fatto che Przemysław Czarnek e Rafał Trzaskowski hanno rivelato dettagli sulla persona da cui il candidato alla presidenza Karol Nawrocki avrebbe dovuto acquistare un monolocale. Quali conseguenze potrebbero subire questi politici da parte del Presidente dell'UODO?

- Stiamo indagando, quindi teoricamente tutte le conseguenze sono possibili. Finché il procedimento non sarà completato, non sarà possibile stabilirlo.

Quali sono quindi le sanzioni a cui vanno incontro?

- La sanzione massima per la violazione delle disposizioni del GDPR per gli amministratori non aziendali è di 20 milioni di euro . Naturalmente non mi aspetto che si parli di cifre del genere. Per ora mi chiedo come dovrei reagire dopo il procedimento. Le sanzioni hanno lo scopo di fungere da sanzione efficace da un lato e da deterrente dall'altro, ma vorrei aggiungere un elemento educativo.

L'Ufficio per la protezione dei dati personali ha già predisposto una guida sul trattamento dei dati personali nella campagna elettorale e anche questa volta ho richiamato queste raccomandazioni. Come puoi vedere, l'istruzione non è mai troppa. Quando la temperatura attorno alle elezioni si sarà abbassata, dopo le vacanze proporrò ai presidenti del Sejm e del Senato, in collaborazione con gli organi elettorali, tra gli altri corsi di formazione, come ho già annunciato. per i dipendenti degli uffici parlamentari. Presumo che spesso siano loro i responsabili di problemi relativi ai dati personali e desidero che questa consapevolezza aumenti affinché violazioni simili non si ripetano.

Ho chiesto della politica perché entrambe le parti in causa ti hanno chiamato come arbitro quando la controparte ha mostrato troppi dati. Anche se queste stesse persone in precedenza avevano criticato le leggi che le proteggevano.

- Da un lato, in quanto presidente dell'ufficio, ho la responsabilità di indagare sulle violazioni, ma dall'altro, a livello umano, sono molto ferito dalle situazioni in cui le informazioni più sensibili di una persona anziana, che probabilmente non vorrebbe che se ne parlasse così ampiamente, vengono trattate pubblicamente. Qui però un cenno a molti organi di informazione, che spesso hanno dimostrato una sensibilità molto maggiore dei politici e sono stati in grado di rendere anonimi i dati più sensibili.

Grandi cambiamenti nel GDPR? Una buona direzione, ma c'è un problema

Le norme sulla protezione dei dati cambieranno nel prossimo futuro. La revisione del GDPR è un passaggio necessario?

- La Commissione Europea ha avuto l'idea di limitare gli obblighi legati alla tenuta di un registro delle attività di trattamento per le aziende. Il limite per questa semplificazione verrà aumentato da 250 a 750 dipendenti. In linea di principio, valuto positivamente questa mossa, ma ho una riserva.

Che cosa?

- Questo limite non può essere gestito in modo completamente automatico. Nell'ambito digitale potremmo avere a che fare anche con piccole aziende che impiegano pochi dipendenti e trattano dati personali molto sensibili. Le regole in materia dovrebbero essere formulate diversamente, a causa degli elevati rischi del trattamento per i diritti e le libertà delle persone. Abbiamo richiamato l'attenzione su questo aspetto nel parere congiunto delle autorità di controllo europee, il Comitato europeo per la protezione dei dati e il Garante europeo della protezione dei dati.

Ad esempio, le piattaforme di shopping online?

- Ad esempio, le farmacie online. Non necessitano di molti dipendenti e, nonostante ciò, elaborano dati sanitari.

A mio parere, la semplificazione dovrebbe applicarsi a un'altra categoria di entità: le organizzazioni non governative. I requisiti per loro sono gli stessi delle aziende, ma hanno opportunità incomparabilmente inferiori. A metà giugno organizzeremo una conferenza delle autorità europee per la protezione dei dati e in quell'occasione vorrei sollevare questo argomento.

Ritieni che siano necessarie ulteriori modifiche al GDPR?

- Credo che le modifiche legislative in questa materia non siano la cosa più importante. In genere gli imprenditori hanno bisogno di supporto nell'ambito dell'applicazione del GDPR , ma si sono già abituati all'esistenza di questo regolamento e ulteriori modifiche legislative potrebbero causare un inutile caos nella protezione dei dati. Soprattutto perché ci troviamo di fronte a sfide più urgenti, come l'attuazione di ulteriori normative dell'UE già entrate in vigore, ma in Polonia non esiste ancora un apparato istituzionale designato per farlo.

Lei parla del Digital Services Act (DSA). Siamo stati portati dinanzi alla CGUE per mancata attuazione.

- Nella coda ci sono anche l'AI Act, il Data Governance Act, la direttiva NIS2 sulla sicurezza informatica, e potremmo continuare all'infinito. In questo caso c'è molta incertezza, perché spesso le entità dovranno applicare due o tre normative di tale portata e concentrare i propri sforzi su di esse. Il legislatore dell'UE ci ha posto di fronte a numerose sfide. Pertanto, un altro cambiamento simultaneo, questa volta nell'ambito del GDPR, non è il più atteso.

Entro la fine dell'anno l'Ufficio per la protezione dei dati personali prenderà una decisione in merito a OpenAI

Signor Presidente, i registri catastali e ipotecari saranno dati personali oppure no?

- I numeri del registro catastale e ipotecario sono dati personali: lo sappiamo dalla sentenza definitiva della Corte suprema amministrativa. Oggigiorno è una sfida garantire contemporaneamente la trasparenza dei registri catastali e ipotecari, in conformità con le disposizioni della legge sui registri catastali e ipotecari, e la tutela della privacy.

È conciliabile?

- Ci aspettiamo che venga implementato un meccanismo che consenta l'accesso ai libri, ma con l'autenticazione della persona che vi ha accesso. L'idea è quella di impedire ai sistemi di cercare libri tramite strumenti automatizzati che poi vendono questa conoscenza su Internet. Il Ministero della Giustizia ha annunciato che svilupperà un progetto per risolvere questo problema. Ho chiesto informazioni sullo stato di avanzamento di questo lavoro un mese fa, ma non ho ancora ricevuto risposta sui progressi.

Personalmente, mi piacerebbe davvero che questo problema venisse risolto. Tuttavia, questo è uno degli aspetti problematici dell'applicazione effettiva delle normative UE nei confronti di entità registrate al di fuori del suo territorio.

Le grandi aziende tecnologiche non potevano essere tenute a rendere conto delle proprie azioni. La vostra controparte irlandese, che ha condotto il procedimento per anni, è responsabile di eventuali controversie con loro.

- Dipende dal modo in cui è stato strutturato il GDPR. In effetti, i procedimenti nei casi in cui dobbiamo rinviare l'Irlanda durano anni, motivo per cui non si ha l'impressione che qui esista un sistema di supervisione efficace. Questo problema è già stato risolto diversamente nel Digital Services Act, in cui è la Commissione europea, e non il paese in cui ha sede l'azienda, a essere responsabile dell'applicazione delle normative nei confronti delle grandi aziende. Non ritengo che queste soluzioni siano ideali, ma possono certamente facilitare e semplificare le procedure per gestire tali casi.

Non sono solo i casi trasferiti in Irlanda a continuare. Ad agosto 2023, non è stata ancora presa alcuna decisione sul caso del ricercatore indipendente sulla sicurezza informatica Dr. Łukasz Olejnik, che ha presentato una denuncia contro OpenAI. Ha affermato che la società stava elaborando i suoi dati in modo illegale.

- Volevo che questa questione fosse chiusa. Ma poi l'amministratore si è svegliato e ha iniziato a inviare una documentazione così estesa che ci vuole molto tempo per analizzarla.

In parole povere: OpenAI ti ha inondato di documenti?

- Non userei queste parole.

L'ho usato.

- Non lo negherò. Ho chiesto ai miei colleghi di occuparsi della questione il più rapidamente possibile, ma dobbiamo anche mantenere gli standard e l'equità procedurale, perché se non lo facciamo, qualsiasi minima svista o fretta diventerà in seguito il modo più semplice per contestare la decisione presso il tribunale amministrativo. Basta un piccolo errore per vanificare un lavoro importante.

Quando scopriremo chi ha ragione?

- Vorrei terminare il lavoro al più tardi durante le vacanze. Per me la scadenza definitiva è la fine dell'anno.

La tua decisione potrebbe avere ripercussioni sull'intera attività di OpenAI in Europa.

- L'azienda sicuramente lo metterà in discussione, sono pronto a questo. Anche Poczta Polska, a cui è stata inflitta la sanzione più alta mai imposta dall'ufficio in relazione al caso delle elezioni tramite busta , ha presentato ricorso al tribunale amministrativo. Ha il diritto di farlo, ma è proprio per questo che dobbiamo garantire che le procedure vengano rispettate.

I critici diranno che state limitando lo sviluppo dell'intelligenza artificiale in Polonia.

- Certo, qualcuno può trattarlo in questo modo. Tuttavia, vorrei dire questo: il nostro obiettivo non è bloccare nulla. Non si tratta di impedire a chiunque di organizzare conferenze stampa elettorali o di sviluppare applicazioni utili basate sull'intelligenza artificiale. Il punto è riuscire a raggiungere l'obiettivo mantenendo la protezione dei dati personali. E naturalmente, questo è spesso molto difficile: richiede un certo sforzo, l'introduzione di nuove soluzioni tecnologiche e legali. Ma in realtà non c'è altra via se non quella di perseguire entrambi gli obiettivi.

Vorrei sottolineare ancora una cosa. Le decisioni del Presidente dell'UODO non sono mai scritte nella forma "no, a causa del GDPR". Ci impegniamo a fornire indicazioni su come raggiungere la conformità normativa. Ciò richiede naturalmente che i nostri partner trovino soluzioni, siano esse di natura legale o tecnica.

La tutela della privacy è un diritto fondamentale. Facebook non può addebitare alcun costo per questo

Facebook ha trovato una soluzione all'eccessiva interferenza nella privacy degli utenti introducendo l'opzione "paga o ok", ovvero acconsenti alla sorveglianza o paghi. E al presidente la cosa continuava a non piacere.

- A volte trovare una soluzione richiede più impegno, a volte è molto difficile. Ma senza questo non c'è progresso.

Cosa c'è di sbagliato in questo modello in cui paghiamo Facebook con i dati o con denaro per l'utilizzo?

- Alcune sfide sono di natura etica.

Nella privacy c'è un elemento di tutela della nostra dignità, è un diritto fondamentale. Non ritengo sia opportuno imporre una tariffa per proteggere i nostri diritti fondamentali.

Meta consente anche di escludere i dati dall'addestramento dell'IA.

- Dopo la mia esperienza con questa azienda, ho constatato che è capace di cambiamento e di cooperazione. È stato il caso della truffa che ha colpito, tra gli altri: il signor Rafał Brzoska. È stato creato uno strumento che consente il rilevamento automatico di tali annunci fraudolenti .

Ma ciò non funziona, come dimostra CERT Polska presso la NASK.

- Sì, ma si sta cercando di risolvere il problema e l'azienda sta reagendo, anche se all'inizio non lo era affatto. Credo che il mondo imprenditoriale risponderà ai problemi che segnaliamo perché è pragmatico e non vuole cacciarsi nei guai.

È questa una lezione che anche gli imprenditori polacchi devono imparare? Ogni anno aumenta il numero e la severità delle sanzioni imposte dall'Ufficio agli imprenditori polacchi.

- Ciò è dovuto al fatto che le aspettative relative alla conformità al GDPR dopo sette anni dall'entrata in vigore del regolamento sono più elevate rispetto all'inizio. Dopo questo periodo, diventa difficile giustificare il fatto che qualcuno non sappia quali siano i doveri fondamentali.

Non c'è pietà?

- Decisamente. L'UODO ha ovviamente una missione educativa: viaggiamo in tutta la Polonia, incontriamo imprenditori e collaboriamo con le amministrazioni locali. Ma allo stesso tempo non si può nascondere che le attività di controllo, di applicazione delle norme e di procedimento in caso di violazioni sono in corso. Penso che dalle decisioni di quest'anno sia già chiaro che anche il settore pubblico ha molto da fare per quanto riguarda la protezione dei dati personali.