Le Garante per la protezione dei dati personali (Garante) vient de publier (12.04.2023) un communiqué sur ChatGPT, ensuite de sa décision du 30.03.2023 (https://droitdutravailensuisse.com/2023/03/31/litalie-bloque-chatgpt-2/). Traduction libre :

« OpenAI aura jusqu’au 30 avril pour se conformer aux exigences imposées par le Garante per la protezione dei dati personali (Garante pour la protection des données personnelles) en matière d’information, de droits des personnes concernées, utilisateurs et non-utilisateurs, et de base juridique du traitement des données personnelles pour la formation d’algorithmes avec les données des utilisateurs. Ce n’est qu’à ce moment-là, puisque les raisons d’urgence n’existeront plus, que l’Autorité suspendra la restriction provisoire au traitement des données des utilisateurs italiens prise à l’encontre de la société américaine, et que ChatGPT pourra à nouveau être accessible depuis l’Italie.

Sur la base de la mesure prise aujourd’hui par l’Autorité, la société devra donc adopter une série de mesures concrètes d’ici la fin du mois d’avril.

Information

OpenAI devra préparer et mettre à disposition sur son site web une notice transparente expliquant les méthodes et la logique du traitement des données nécessaires au fonctionnement de ChatGPT ainsi que les droits des utilisateurs et des non-utilisateurs. L’avis doit être facilement accessible et placé à un endroit où il peut être lu avant de procéder à toute inscription au service.

Pour les utilisateurs qui se connectent depuis l’Italie, la notice doit être présentée avant la fin de l’inscription et, toujours avant la fin de l’inscription, il doit leur être demandé de déclarer qu’ils sont majeurs.

Les utilisateurs déjà enregistrés devront se voir présenter la notice d’information lors de leur premier accès à la suite de la réactivation du service et, à cette occasion, devront être invités à passer une barrière d’âge excluant, sur la base de leur âge déclaré, les utilisateurs mineurs.

Base juridique

En ce qui concerne la base juridique du traitement des données personnelles des utilisateurs pour l’entraînement des algorithmes, le Garant de la protection de la vie privée a ordonné à OpenAI d’éliminer toute référence à l’exécution d’un contrat et d’indiquer, à la place, sur la base du principe de responsabilité, le consentement ou l’intérêt légitime comme condition préalable à l’utilisation de ces données, sans préjudice de l’exercice de ses pouvoirs de vérification et d’investigation postérieurement à ce choix.

Exercice des droits

D’autres exigences concernent la mise à disposition d’outils utiles pour permettre aux personnes concernées, y compris les non-utilisateurs, de demander la rectification des données à caractère personnel les concernant générées de manière inexacte par le service ou leur suppression, si la rectification n’est pas techniquement possible.

OpenAI devra également permettre aux non-utilisateurs intéressés d’exercer, de manière simple et accessible, leur droit d’opposition au traitement de leurs données personnelles utilisées pour faire fonctionner les algorithmes, et reconnaître un droit similaire aux utilisateurs, si elle identifie l’intérêt légitime comme base légale du traitement.

Protection des mineurs

S’agissant de la vérification de l’âge des mineurs, outre la mise en œuvre immédiate d’un système de demande d’âge aux fins d’inscription au service, l’Autorité a enjoint à OpenAI de lui soumettre avant le 31 mai un plan d’action prévoyant, au plus tard le 30 septembre 2023, la mise en œuvre d’un système de vérification de l’âge, capable d’exclure l’accès aux utilisateurs de moins de 13 ans et aux mineurs pour lesquels l’autorisation parentale fait défaut.

Campagne d’information

En accord avec le Garant, OpenAI doit enfin promouvoir, avant le 15 mai, une campagne d’information à la radio, à la télévision, dans les journaux et sur le web pour informer les gens de l’utilisation de leurs données personnelles à des fins de formation d’algorithmes.

L’Autorité continuera d’enquêter sur les violations de la réglementation en vigueur qui pourraient avoir été commises par la société et se réserve le droit d’adopter toutes les mesures supplémentaires ou différentes qui pourraient être nécessaires à la conclusion de l’enquête formelle qui est toujours en cours.

Rome, le 12 avril 2023 »

Source : https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9874751

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)