Afgelopen week heeft de privacytoezichthouder in Italië een tijdelijk verbod opgelegd aan ChatGPT om persoonsgegevens te verwerken. Dit komt, gezien de werking van ChatGPT, feitelijk neer op een algeheel verbod om zijn diensten aan te bieden: ChatGPT is geblokkeerd. Er zijn meerdere problemen op grond van de AVG.
Verwerken persoonsgegevens: toepassen AVG / GDPR
De chatbot is namelijk getraind op een gigantische hoeveelheid data, waaronder internetpagina’s. Hierdoor worden ook veel persoonsgegevens gebruikt, waardoor de AVG van toepassing is. Deze Europese Algemene Verordening Gegevensbescherming – in het Engels: General Data Protection Regulation (GDPR) – bepaalt in grote lijnen de omgang met persoonsgegevens. De Italiaanse privacytoezichthouder constateerde meerdere problemen bij de verwerking van deze persoonsgegevens.
ChatGPT niet transparant naar de belanghebbende van de persoonsgegevens
Allereerst is er geen transparantie naar de personen van wie de persoonsgegevens worden verwerkt – de belanghebbende. Iemand die persoonsgegevens verwerkt – een verwerkingsverantwoordelijke – moet een flinke lijst aan informatie aan de belanghebbenden ter beschikking stellen ‘in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal’.
Zo moeten belanghebbenden er onder meer op worden gewezen welke persoonsgegevens voor welke doelen worden verwerkt en met welke rechtsgrondslag. Daarnaast moeten zij worden gewezen op hun rechten, zoals bijvoorbeeld het recht op rectificatie of verwijdering van bepaalde persoonsgegevens.
Bij ChatGPT ontbreekt de grondslag voor het verwerken van persoonsgegevens
Vervolgens constateert de toezichthouder in Italië dat er geen grondslag is voor de verwerking van persoonsgegevens door ChatGPT. Volgens de AVG moet er in ieder geval één van zes grondslagen aanwezig zijn voordat verwerking rechtmatig is, waarbij ‘toestemming’ en ‘gerechtvaardigd belang’ veelal worden gebruikt als grondslag. Van toestemming is hier sowieso geen sprake, de belanghebbenden die voorkomen in de trainingsdata van ChatGPT hebben echt niet allemaal ergens hun zegen uitgesproken over de verwerking van hun gegevens.
Dan blijft dus de grondslag ‘gerechtvaardigd belang over’, waarbij een afweging moet worden gemaakt tussen het belang van ChatGPT en het belang van de vele belanghebbende, aangaande hun privacy. Volgens de toezichthouder weegt het belang van laatstgenoemden zwaarder, waardoor er geen grondslag is en de verwerking dus niet rechtmatig gebeurt.
ChatGPT geeft soms verkeerde informatie over personen
Over de inhoud van de persoonsgegevens stelt de Italiaanse toezichthouder dat zij in veel gevallen niet overeenkomt met de werkelijkheid. ChatGPT geeft dus soms verkeerde informatie over personen, terwijl de AVG het verplicht stelt dat persoonsgegevens ‘juist zijn en zo nodig worden geactualiseerd’.
ChatGPT vraagt geen toestemming voor gebruik
Three strikes en dus is ChatGPT out. De toezichthouder is echter nog niet klaar en stelt ten slotte nog dat ChatGPT niet controleert of gebruikers oud genoeg zijn om de service te mogen gebruiken. Volgens de AVG kunnen gebruikers van onder de 13 namelijk geen geldige toestemming verlenen zonder ouderlijk toezicht.
Europese Unie en ChatGPT
Omdat de AVG in de hele Europese Unie geldt, kan het zijn dat een dergelijk verbod volgt in meer lidstaten. Afhankelijk van wat de privacytoezichthouders ervan vinden, zou het zomaar kunnen dat de service ook in Nederland over een tijdje niet meer beschikbaar is. Wellicht een gemis, aangezien wij bijvoorbeeld de brief van de Italiaanse toezichthouder hebben laten vertalen door ChatGPT. De ontwikkelaars krijgen echter 20 dagen om te laten zien welke maatregelen ze hebben genomen.
Verwerk jij ook persoonsgegevens? Wij kunnen je helpen.
Wil je weten of jouw verwerking van persoonsgegevens voldoet aan de AVG, of heb je een andere privacygerelateerde vraag? Wij kunnen je helpen!
De IT-Jurist helpt jou of je organisatie graag te voldoen aan de regelgeving inzake persoonsgegevens en de AVG. Wij staan midden in de praktijk en volgen de laatste ontwikkelingen op de voet. Of het nu gaat om meedenken en adviseren over een privacybeleid, het beantwoorden van je vragen of om het daadwerkelijke opstellen of reviewen van overeenkomsten en andere documenten, wij helpen je graag verder! Kijk op onze expertisepagina Privacy of neem direct contact met ons op.