Garante Privacy ferma DeepSeek, ma il servizio continua a operare

Nella serata del 30 gennaio 2024, il Garante per la Protezione dei Dati Personali italiano ha preso una posizione decisa contro DeepSeek, un chatbot fornito da due società cinesi. Con effetto immediato, l’autorità ha limitato il trattamento dei dati degli utenti italiani, avviando un’istruttoria che ha portato, di fatto, a un “blocco” dell’attività di DeepSeek in Italia. Tuttavia, nonostante questa decisione, il servizio rimane accessibile nel Paese, sia tramite la web app che attraverso le applicazioni per iOS e Android, per coloro che avevano già scaricato le app prima della loro rimozione dai rispettivi store.

L’intervento del Garante è scaturito da una richiesta di informazioni inviata a DeepSeek il 28 gennaio riguardo alle modalità di trattamento dei dati degli utenti italiani. La risposta ricevuta dalla società è stata considerata “del tutto insufficiente” dall’autorità. DeepSeek ha dichiarato di “non operare in Italia” e di non essere soggetta alla normativa europea, una posizione che ha sollevato interrogativi sulla comprensione e sull’applicazione del GDPR (Regolamento Generale sulla Protezione dei Dati) da parte della società.

Ambito di applicazione del GDPR

È importante sottolineare che il GDPR ha un ambito di applicazione extraterritoriale. Ciò significa che la normativa si applica anche a entità che non hanno sede fisica nell’Unione Europea, ma che trattano dati di cittadini europei, specialmente se il loro sito è disponibile in lingue dell’UE o se utilizzano cookie e tecnologie simili. La posizione di DeepSeek, che sembra ignorare questo aspetto, potrebbe rappresentare un motivo per cui il servizio continua a operare in Italia senza interruzioni.

Rischi legati alla raccolta di dati

DeepSeek, accusato di aver copiato il modello di OpenAI, si distingue per la sua capacità di raccogliere un ampio ventaglio di dati dagli utenti. Secondo le informazioni contenute nel documento relativo alle politiche sulla privacy, il chatbot può raccogliere e memorizzare dati sensibili, inclusi:

1. Indirizzi email
2. Nomi utente
3. Password
4. Cronologie di chat
5. Dati digitati sulla tastiera

Questa raccolta di dati solleva preoccupazioni significative riguardo alla sicurezza e alla privacy degli utenti italiani, specialmente in un contesto in cui la protezione dei dati è una questione di crescente importanza.

Conseguenze e indagini in corso

Il Garante ha sottolineato che, sebbene possa ordinare agli ISP italiani di bloccare l’accesso a DeepSeek, tale decisione deve passare attraverso l’EDPB (Comitato Europeo per la Protezione dei Dati). Ciò implica che, mentre la procedura è in corso, il servizio rimane operativo, creando un apparente paradosso tra la decisione dell’autorità e la realtà dell’accesso degli utenti.

Le sanzioni per le violazioni del GDPR possono variare significativamente, oscillando tra 7,5 milioni di euro o l’1,5% del fatturato, fino a 35 milioni di euro o il 7% del fatturato globale, a seconda della gravità della violazione. Questa possibilità di sanzioni pesanti rende la questione ancora più seria, non solo per DeepSeek, ma anche per le autorità italiane e europee che si trovano a dover gestire un caso complesso e potenzialmente problematico.

In aggiunta all’azione del Garante italiano, altre autorità di privacy in Europa, come quelle di Irlanda e Francia, hanno avviato indagini simili nei confronti di DeepSeek. Questo suggerisce che la situazione della società cinese non è isolata, ma piuttosto parte di una crescente attenzione globale nei confronti delle pratiche di gestione dei dati da parte di aziende tecnologiche, in particolare quelle che operano al di fuori dell’Unione Europea.

In conclusione, mentre il Garante per la Protezione dei Dati Personali italiano ha preso misure significative contro DeepSeek, la questione della privacy e della protezione dei dati rimane complessa e richiede un’attenzione continua da parte delle autorità e degli utenti.