Chatbot a RODO i co sprawdzić przed wdrożeniem

Chatbot na stronie przetwarza dane osobowe, więc podlega RODO tak samo jak formularz kontaktowy czy skrzynka mailowa. Firma, która go wdraża, jest administratorem danych, dostawca narzędzia działa jako podmiot przetwarzający, a relację między nimi reguluje umowa powierzenia. Do tego dochodzi obowiązek informacyjny, retencja rozmów i nowy wymóg z AI Act.

Ten tekst porządkuje te sprawy w kolejności, w jakiej warto je sprawdzić przed uruchomieniem czatu. Nie jest poradą prawną. Przy nietypowych danych, na przykład medycznych, warto skonsultować wdrożenie z prawnikiem lub inspektorem ochrony danych.

Kto jest administratorem, a kto podmiotem przetwarzającym

Administrator decyduje o celach i sposobach przetwarzania danych. Jeżeli sklep internetowy uruchamia czat, żeby odpowiadać klientom na pytania o dostawę, to sklep ustala cel (obsługa zapytań) i zakres (jakie dane zbiera rozmowa). Sklep jest więc administratorem.

Dostawca chatbota przechowuje rozmowy i przetwarza je na zlecenie firmy. Nie decyduje, po co te dane są zbierane, i nie może ich wykorzystać do własnych celów. To podmiot przetwarzający w rozumieniu art. 28 RODO.

Umowa powierzenia przetwarzania

Art. 28 RODO wymaga, żeby powierzenie danych opierało się na umowie lub innym instrumencie prawnym. Umowa powinna określać między innymi:

• przedmiot i czas trwania przetwarzania,
• charakter i cel przetwarzania,
• rodzaj danych osobowych i kategorie osób, których dane dotyczą,
• obowiązki dostawcy w zakresie poufności i bezpieczeństwa,
• zasady korzystania z dalszych podmiotów przetwarzających,
• pomoc w realizacji praw osób i obowiązek usunięcia lub zwrotu danych po zakończeniu współpracy.

W praktyce wiele narzędzi udostępnia umowę powierzenia do akceptacji w panelu albo jako załącznik do regulaminu. Warto ją przeczytać przed wdrożeniem, a nie po pierwszej skardze. W Bok umowa powierzenia jest dostępna do akceptacji w panelu w planie Enterprise.

Jakie dane trafiają do czatu

Wiele firm zakłada, że czat zbiera tylko pytania o godziny otwarcia. W rzeczywistości klienci piszą wszystko, co uznają za przydatne. Biuro rachunkowe dostaje w oknie czatu numery NIP i kwoty z faktur. Hotel dostaje daty pobytu, nazwiska gości i informacje o alergiach. Szkoła językowa dostaje dane dzieci zapisywanych na kurs.

Typowy zakres danych w rozmowie z chatbotem obejmuje:

• imię, nazwisko, adres e-mail, numer telefonu podane przez klienta,
• numer zamówienia, rezerwacji lub umowy,
• treść wiadomości, w tym informacje o sytuacji klienta,
• dane techniczne: adres IP, przeglądarka, strona, z której rozpoczęto rozmowę, czas wiadomości.

Na tej liście opiera się dalsza praca: obowiązek informacyjny, retencja i ocena ryzyka.

Obowiązek informacyjny w oknie czatu i w polityce prywatności

Art. 13 RODO wymaga poinformowania osoby w momencie zbierania danych o tym, kto jest administratorem, w jakim celu i na jakiej podstawie przetwarza dane, komu je przekazuje, jak długo je przechowuje i jakie prawa przysługują tej osobie.

Sprawdza się układ warstwowy. W oknie czatu, przed pierwszą wiadomością lub pod polem tekstowym, stoi krótka informacja: kto administruje danymi, w jakim celu są przetwarzane i gdzie znaleźć szczegóły. Link prowadzi do polityki prywatności, w której jest osobny akapit o czacie.

W polityce prywatności warto opisać:

• cel: obsługa zapytań i zgłoszeń, przygotowanie oferty, obsługa reklamacji,
• podstawę prawną dla każdego celu,
• kategorie odbiorców, na przykład dostawcę narzędzia do obsługi czatu i dostawcę modeli AI,
• okres przechowywania rozmów,
• informację o przekazywaniu danych poza Europejski Obszar Gospodarczy, jeśli do niego dochodzi,
• prawa osoby i sposób ich realizacji.

Podstawy przetwarzania danych w czacie

Najczęściej wchodzą w grę trzy podstawy z art. 6 ust. 1 RODO.

Pierwsza to działania przed zawarciem umowy lub wykonanie umowy (lit. b). Klient pyta o ofertę, status zamówienia albo warunki rezerwacji, więc rozmowa służy przygotowaniu lub wykonaniu umowy.

Druga to prawnie uzasadniony interes administratora (lit. f). Obejmuje odpowiadanie na ogólne pytania, analizę najczęstszych tematów rozmów, poprawę wiedzy chatbota i ochronę przed roszczeniami.

Trzecia to zgoda (lit. a). Bywa potrzebna, gdy rozmowa ma służyć marketingowi, na przykład wysyłce newslettera po czacie. Zgody nie warto stosować tam, gdzie wystarcza inna podstawa, bo można ją w każdej chwili wycofać.

Minimalizacja danych i retencja rozmów

Zasada minimalizacji oznacza, że czat nie powinien prosić o dane, których firma nie potrzebuje. Jeżeli do sprawdzenia statusu zamówienia wystarczy numer zamówienia i adres e-mail, nie ma powodu pytać o datę urodzenia.

Retencja to drugi temat, o którym firmy często zapominają. Historia rozmów rośnie z każdym tygodniem, a RODO wymaga, żeby dane były przechowywane nie dłużej, niż to konieczne. Praktyczne podejście wygląda tak:

1. Ustal okres, przez który rozmowy są potrzebne do obsługi spraw i ewentualnych reklamacji, na przykład 12 miesięcy.
2. Wpisz ten okres do polityki prywatności i rejestru czynności przetwarzania.
3. Skonfiguruj usuwanie lub anonimizację starszych rozmów w narzędziu, jeśli na to pozwala, albo zaplanuj okresowe czyszczenie.

W Bok retencję rozmów ustawia się w planie Enterprise.

Przekazywanie danych poza EOG

Chatbot oparty na modelu językowym przesyła treść wiadomości do dostawcy modeli AI. Jeżeli serwery dostawcy albo jego podwykonawców znajdują się poza Europejskim Obszarem Gospodarczym, mamy do czynienia z przekazaniem danych do państwa trzeciego.

Takie przekazanie jest dopuszczalne, ale wymaga podstawy z rozdziału V RODO: decyzji Komisji stwierdzającej odpowiedni stopień ochrony albo standardowych klauzul umownych. Przed wdrożeniem zapytaj dostawcę wprost:

• gdzie przechowywane są rozmowy,
• gdzie przetwarzane są wiadomości wysyłane do modelu,
• czy dostawca modeli AI może wykorzystywać treść rozmów do trenowania,
• na jakiej podstawie dochodzi do ewentualnego przekazania poza EOG.

Bok przechowuje dane w UE. Więcej o tym, jak chronimy rozmowy, opisujemy na stronie o bezpieczeństwie danych w Bok.

Prawa osób, których dane dotyczą

Klient, który rozmawiał z chatbotem, ma takie same prawa jak przy innych kanałach kontaktu. Najczęściej pojawiają się dwa żądania.

Prawo dostępu (art. 15 RODO) oznacza, że klient może poprosić o kopię swoich rozmów. Firma powinna umieć znaleźć je po adresie e-mail lub numerze telefonu i wyeksportować.

Prawo do usunięcia (art. 17 RODO) oznacza, że klient może zażądać usunięcia danych, jeśli nie ma podstawy do ich dalszego przechowywania. Narzędzie powinno pozwalać usunąć konkretną rozmowę, a nie tylko całe konto.

Termin na odpowiedź to co do zasady miesiąc. Warto sprawdzić przed wdrożeniem, kto w firmie obsługuje takie żądania i czy ma dostęp do panelu czatu.

AI Act w podstawowym zakresie

Unijne rozporządzenie o sztucznej inteligencji (AI Act) wprowadza w art. 50 obowiązki przejrzystości. Najważniejszy dla chatbotów brzmi prosto: osoba, która wchodzi w interakcję z systemem AI, powinna wiedzieć, że rozmawia z AI, chyba że jest to oczywiste z okoliczności.

W praktyce wystarczy jasny komunikat w oknie czatu, na przykład „Rozmawiasz z asystentem AI. W każdej chwili możesz poprosić o kontakt z człowiekiem”. Taki komunikat buduje też zaufanie, bo klient wie, czego się spodziewać.

Obowiązki z AI Act wchodzą w życie etapami, więc warto śledzić aktualne terminy w oficjalnych źródłach. Komunikat o rozmowie z AI warto dodać już teraz, bo nic nie kosztuje, a porządkuje relację z klientem.

Dane wrażliwe w czacie

Szczególne kategorie danych z art. 9 RODO, czyli dane o zdrowiu, poglądach, wyznaniu czy orientacji seksualnej, wymagają większej ostrożności. Pojawiają się częściej, niż się wydaje. Gość hotelu pisze o niepełnosprawności, klient sklepu z suplementami opisuje swoją chorobę, rodzic zapisujący dziecko do szkoły językowej wspomina o dysleksji.

Co można zrobić:

• dodać w oknie czatu prośbę, żeby nie podawać danych o zdrowiu, jeśli nie są potrzebne,
• skonfigurować przekazanie takich rozmów człowiekowi,
• skrócić okres przechowywania rozmów w kategoriach ryzykownych,
• przeszkolić zespół, jak reagować, gdy klient poda takie dane.

Dla firm z branży medycznej czy prawnej czat z AI wymaga osobnej analizy ryzyka, a często także oceny skutków dla ochrony danych.

Lista kontrolna przed uruchomieniem czatu

Punkt	Co sprawdzić	Gdzie
Role	Firma jest administratorem, dostawca podmiotem przetwarzającym	Regulamin dostawcy, dokumentacja RODO firmy
Umowa powierzenia	Zawarta, zawiera elementy z art. 28 RODO	Panel dostawcy lub osobny dokument
Dalsze podmioty	Lista podwykonawców, w tym dostawcy modeli AI	Załącznik do umowy powierzenia
Obowiązek informacyjny	Krótka informacja w oknie czatu i link do polityki	Widget czatu
Polityka prywatności	Akapit o czacie z celem, podstawą, odbiorcami i retencją	Strona polityki prywatności
Komunikat o AI	Klient wie, że rozmawia z asystentem AI	Powitanie w oknie czatu
Minimalizacja	Czat nie prosi o zbędne dane	Scenariusze i wiedza chatbota
Retencja	Ustalony okres przechowywania rozmów i sposób usuwania	Ustawienia narzędzia, rejestr czynności
Transfer poza EOG	Wiadomo, gdzie są dane, i jest podstawa przekazania	Odpowiedź dostawcy, umowa
Prawa osób	Da się znaleźć, wyeksportować i usunąć rozmowę klienta	Panel czatu
Dane wrażliwe	Jest procedura i ewentualne przekazanie do człowieka	Instrukcja dla zespołu
Rejestr czynności	Czat dopisany jako czynność przetwarzania	Rejestr czynności przetwarzania

Podsumowanie

Zgodność czatu z RODO nie wymaga skomplikowanych procedur, ale wymaga porządku przed startem. Ustal role i podpisz umowę powierzenia, opisz czat w polityce prywatności, poinformuj klienta w oknie rozmowy, że odpowiada mu AI, ogranicz zbierane dane i ustal, jak długo przechowujesz rozmowy.

Wybierając chatbot dla firm, zadaj dostawcy pytania z listy kontrolnej i poproś o odpowiedzi na piśmie. Dostawca, który wie, gdzie są dane, jak długo je trzyma i kto ma do nich dostęp, ułatwia firmie spełnienie obowiązków administratora.