GDPR și agenții AI: ce trebuie să știi înainte să pui un bot pe site

Un chatbot pe site sau pe WhatsApp pare un lucru mic: câteva răspunsuri automate, un formular de programare, poate preluarea unei comenzi. Dar din primul mesaj în care un client își scrie numele, telefonul sau o problemă de sănătate, botul tău prelucrează date personale. Iar asta înseamnă GDPR.

Vestea bună: un chatbot conform GDPR nu e mai greu de construit decât unul neconform, dacă te gândești la date de la început. Mai jos găsești ce trebuie să știi înainte să pui un bot pe site, pas cu pas, cu o listă de verificare la final. Nu este consultanță juridică; pentru cazuri speciale, discută cu un specialist în protecția datelor.

De ce un chatbot intră sub GDPR

Regulamentul General privind Protecția Datelor (Regulamentul (UE) 2016/679) se aplică oricărei prelucrări de date personale, adică orice informație despre o persoană identificată sau identificabilă. Un bot prelucrează astfel de date aproape mereu:

• nume, telefon, e-mail, adresă de livrare;
• conținutul conversației, care poate include detalii despre comenzi, probleme, preferințe;
• numărul de telefon și înregistrarea sau transcrierea unui apel, în cazul unui agent vocal;
• date tehnice: adresă IP, identificatori de sesiune, cookie-uri.

Tu, ca firmă care decide de ce și cum se folosesc datele, ești operatorul. Furnizorii care prelucrează datele în numele tău (agenția care construiește botul, platforma de mesagerie, furnizorul modelului AI, baza de date) sunt persoane împuternicite. Responsabilitatea principală rămâne la tine.

Cele șase întrebări la care trebuie să ai răspuns

1. Pe ce temei legal prelucrezi datele?

Articolul 6 din GDPR enumeră temeiurile legale. Pentru un chatbot de relații cu clienții, cele mai frecvente sunt:

• executarea unui contract sau demersuri la cererea persoanei: clientul cere o programare sau face o comandă;
• interesul legitim: de exemplu, răspunsul la întrebări generale sau îmbunătățirea serviciului, cu condiția ca interesul tău să nu prevaleze asupra drepturilor clientului;
• consimțământul: necesar, de regulă, pentru marketing, newsletter sau cookie-uri care nu sunt strict necesare.

Decide temeiul pentru fiecare scop separat. Faptul că un client a cerut o programare nu îți dă automat dreptul să îi trimiți oferte promoționale.

2. Ai informat clar oamenii?

Articolul 13 cere ca, atunci când colectezi date, să spui cine ești, de ce le colectezi, pe ce temei, cui le transmiți, cât timp le păstrezi și ce drepturi are persoana. Practic:

• primul mesaj al botului conține un link scurt spre politica de confidențialitate;
• politica descrie explicit botul: ce date preia, cine sunt furnizorii, unde sunt stocate;
• la agentul vocal, mesajul de început spune că apelul este preluat de un asistent virtual și, dacă e cazul, că este înregistrat sau transcris.

3. Colectezi doar ce îți trebuie?

Principiul reducerii la minimum a datelor, din Articolul 5, spune să ceri doar datele necesare scopului. Pentru o programare îți trebuie numele, telefonul și ora. Nu îți trebuie CNP-ul sau data nașterii. Configurează botul să nu ceară mai mult decât e nevoie și să nu încurajeze clientul să trimită documente sau detalii inutile.

4. Cât timp păstrezi conversațiile?

Tot Articolul 5 cere ca datele să nu fie păstrate mai mult decât e necesar. Stabilește o perioadă concretă de păstrare pentru conversații, transcrieri și înregistrări, și pune ștergerea automată în sistem, nu pe lista de „făcut cândva”.

5. Ai contracte cu toți furnizorii?

Articolul 28 cere un contract scris cu fiecare persoană împuternicită, care stabilește ce are voie să facă cu datele. Fă o listă cu toți furnizorii implicați în bot (agenția, baza de date, platforma de mesagerie sau telefonie, furnizorul de voce, furnizorul modelului AI) și verifică pentru fiecare acordul de prelucrare a datelor.

6. Unde ajung datele?

Dacă datele sunt transferate în afara Spațiului Economic European, Capitolul V din GDPR cere garanții adecvate. Mulți furnizori de tehnologie au infrastructură sau companii-mamă în afara UE. Întreabă explicit unde sunt stocate datele, unde sunt prelucrate și pe ce bază se face transferul.

Situații în care trebuie să fii mai atent

Date de sănătate și alte categorii speciale

Clinicile, cabinetele stomatologice, saloanele care întreabă despre alergii sau afecțiuni: dacă botul preia informații despre sănătate, intri sub Articolul 9, care protejează categoriile speciale de date și permite prelucrarea doar în condiții stricte. Aici merită o analiză dedicată. O soluție practică: botul preia doar programarea, iar detaliile medicale rămân pentru discuția cu specialistul.

Decizii automate

Articolul 22 dă oamenilor dreptul de a nu fi supuși unei decizii bazate exclusiv pe prelucrare automată, care produce efecte juridice sau îi afectează similar în mod semnificativ. Un bot care face programări nu intră aici. Unul care respinge automat o cerere de credit sau un candidat la angajare poate intra. Păstrează un om în decizie.

Evaluarea de impact

Articolul 35 cere o evaluare a impactului asupra protecției datelor atunci când prelucrarea este susceptibilă să genereze un risc ridicat, mai ales când se folosesc tehnologii noi. Pentru un bot simplu de informații, de regulă nu e nevoie. Pentru unul care prelucrează date de sănătate la scară mare sau ia decizii despre oameni, discută cu un specialist dacă evaluarea este obligatorie.

Cookie-uri și widgetul de chat

Multe widgeturi de chat pun cookie-uri sau identificatori în browser. Regulile pentru cookie-uri vin, în România, din Legea nr. 506/2004, pe lângă GDPR. Verifică dacă widgetul tău pune cookie-uri care nu sunt strict necesare și, dacă da, încarcă-l doar după consimțământ.

Securitatea, partea practică

Articolul 32 cere măsuri tehnice și organizatorice adecvate riscului. Pentru un chatbot, asta înseamnă cel puțin:

• acces la conversații doar pentru oamenii care au nevoie, cu conturi individuale;
• chei de acces și parole păstrate în siguranță, nu în e-mailuri sau documente partajate;
• conexiuni criptate și o bază de date protejată, cu reguli de acces pe rânduri și tabele;
• backup și un plan pentru ce faci dacă ceva nu merge;
• botul nu are acces la mai multe date decât îi trebuie pentru sarcina lui.

Drepturile clienților: cum răspunzi

Oamenii au dreptul să afle ce date ai despre ei, să le corecteze, să ceară ștergerea lor și să se opună anumitor prelucrări. Asigură-te că poți găsi rapid toate conversațiile unei persoane după telefon sau e-mail și că le poți șterge la cerere. Dacă botul e construit pe o bază de date bine organizată, asta durează minute, nu zile.

Ce riști

Autoritatea care supraveghează aplicarea GDPR în România este ANSPDCP. Articolul 83 din GDPR prevede amenzi de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală mondială, pentru cele mai grave încălcări. Dincolo de amendă, o scurgere de date din conversațiile clienților îți afectează direct reputația.

Checklist înainte să pui botul online

1. Ai stabilit scopurile și temeiul legal pentru fiecare.
2. Politica de confidențialitate descrie botul și furnizorii lui.
3. Primul mesaj spune că e un asistent virtual și trimite la politica de confidențialitate.
4. Botul cere doar datele necesare.
5. Ai o perioadă de păstrare și ștergere automată.
6. Ai contracte de prelucrare cu toți furnizorii.
7. Știi unde sunt stocate și prelucrate datele și pe ce bază se fac eventualele transferuri.
8. Ai verificat dacă prelucrezi date de sănătate sau iei decizii automate.
9. Widgetul nu pune cookie-uri neesențiale fără consimțământ.
10. Poți găsi și șterge rapid datele unei persoane.
11. Ai trecut sistemul în registrul activităților de prelucrare, dacă firma ta are această obligație.

Cum construim noi

Agenții noștri rulează pe Claude, de la Anthropic, iar conversațiile și datele clienților sunt stocate în Supabase, pe servere din UE. Fiecare chatbot pe WhatsApp sau pe site se prezintă ca asistent virtual, cere doar datele de care are nevoie și are acces doar la ce îi trebuie. Detaliile tehnice sunt pe pagina despre securitatea datelor. Reține că și AI Act cere, separat de GDPR, ca oamenii să știe că vorbesc cu un AI.

Dacă vrei un bot care te ajută cu clienții fără să îți creeze probleme cu datele, programează o discuție gratuită de 30 de minute. Îți spunem sincer ce date ar prelucra botul tău și ce trebuie pregătit înainte de lansare.