- Un chatbot tratta dati personali: servono informativa, base giuridica, dati minimi e fornitori nominati responsabili del trattamento.
- Va detto chiaramente che si parla con un assistente automatico e deve essere sempre possibile raggiungere una persona.
- Questa guida è generale e non è consulenza legale: per il tuo caso concreto confrontati con un consulente privacy.
Introdurre un chatbot non è solo una scelta tecnica. Ogni messaggio che un cliente scrive può contenere nome, telefono, email, indirizzo, a volte dettagli ben più delicati. Per il GDPR (Regolamento UE 2016/679) questi sono dati personali, e chi li tratta ha obblighi precisi. La buona notizia è che per un uso semplice, di assistenza clienti, la strada è chiara e gestibile anche per una piccola impresa.
Questo articolo è informativo e generale. Non è un parere legale e non copre tutte le situazioni (per esempio dati sanitari o minori). Prima di avviare il servizio, confronta le scelte con il tuo consulente privacy o con un legale.
1. Chi è chi: titolare e responsabile del trattamento
Nel rapporto con i tuoi clienti il titolare del trattamento sei tu: decidi perché e come vengono usati i dati. Il fornitore che configura o gestisce l'assistente, e che tratta i dati per tuo conto, agisce in genere come responsabile del trattamento. L'art. 28 del GDPR prevede che il rapporto sia regolato da un contratto o altro atto giuridico (spesso chiamato DPA, "data processing agreement") con istruzioni, misure di sicurezza e obblighi del fornitore.
Il fornitore, a sua volta, può avvalersi di altri soggetti (sub-responsabili) per funzioni come hosting e invio dei messaggi: l'elenco dovrebbe essere disponibile su richiesta. Anche i canali di messaggistica (per esempio WhatsApp) hanno ruoli e condizioni proprie che vanno conosciute.
2. L'informativa: dire cosa succede ai dati
Gli artt. 13 e 14 richiedono di informare le persone su chi tratta i dati, per quali finalità, con quale base giuridica, per quanto tempo, a chi vengono comunicati e quali diritti hanno. In pratica:
- aggiorna l'informativa privacy del sito includendo il chatbot, i canali collegati e i fornitori coinvolti;
- inserisci nel widget o nel primo messaggio un rimando all'informativa;
- indica i tempi di conservazione delle conversazioni, decisi da te.
3. Minimizzazione: raccogli solo ciò che serve
Il principio di minimizzazione (art. 5) dice che i dati devono essere adeguati, pertinenti e limitati a quanto necessario. Per un assistente di servizio clienti significa decidere in anticipo quali dati servono davvero. Per fissare una richiesta di contatto bastano di solito nome, recapito e motivo. Evita di chiedere documenti d'identità, codici fiscali, dati di pagamento o password. Inserisci un avviso chiaro: "Non scrivere dati sensibili, password o dati di pagamento".
Attenzione ai dati particolari (salute, convinzioni religiose o politiche, ecc., art. 9): per alcuni settori, come gli studi dentistici e medici, richiedono cautele maggiori.
4. Base giuridica: perché puoi trattare quei dati
Ogni trattamento deve poggiare su una base giuridica (art. 6). Per rispondere a una richiesta di informazioni o per eseguire una richiesta del cliente si fa spesso riferimento all'esecuzione di misure precontrattuali o del contratto; per altre finalità si può trattare di legittimo interesse o di consenso. Le comunicazioni promozionali richiedono, in genere, un consenso specifico. La scelta della base giuridica dipende dal caso: è un punto da definire con il tuo consulente.
5. Trasparenza: dire che è un assistente automatico
Oltre al GDPR, il Regolamento europeo sull'intelligenza artificiale (AI Act) prevede, all'art. 50, che le persone siano informate quando interagiscono con un sistema di IA, a meno che sia ovvio dalle circostanze. Le tempistiche di applicazione delle varie parti del regolamento sono state oggetto di aggiornamenti, quindi verifica con il tuo consulente la situazione in vigore. A prescindere dall'obbligo, la scelta più semplice e corretta è dirlo all'inizio: "Sono l'assistente automatico di [azienda]", e rendere sempre possibile parlare con una persona.
6. Decisioni automatizzate: cosa evitare
L'art. 22 del GDPR tutela le persone rispetto a decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo. Un assistente di servizio clienti che risponde a domande e raccoglie richieste non dovrebbe prendere decisioni di questo tipo (per esempio negare un rimborso o escludere qualcuno da un servizio). Le decisioni importanti restano a una persona: anche per questo il passaggio al team è parte essenziale del progetto.
7. Dove vanno i dati: trasferimenti fuori dall'UE
Se tra i fornitori ci sono soggetti con sede o infrastrutture fuori dall'Unione europea, il trasferimento è consentito solo con le garanzie previste dal Capo V del GDPR (per esempio decisioni di adeguatezza o clausole contrattuali standard). Chiedi al fornitore dove risiedono i dati, quali sub-responsabili usa e quali garanzie applica. Una buona prassi è privilegiare infrastrutture con sede nell'UE, quando possibile.
8. Sicurezza, accessi e tempi di conservazione
- Accessi limitati: solo le persone che ne hanno bisogno vedono le conversazioni.
- Conservazione definita: decidi per quanto tempo tenere i messaggi e cancellali alla scadenza.
- Procedura per i diritti: prevedi come gestire richieste di accesso, rettifica o cancellazione, scrivendo ai contatti indicati nell'informativa.
- Registro dei trattamenti: se sei tenuto a tenerlo, aggiungi il trattamento legato all'assistente.
Checklist rapida prima del lancio
- Ho aggiornato l'informativa privacy includendo l'assistente e i fornitori?
- Esiste un accordo di nomina a responsabile del trattamento (art. 28)?
- So dove vengono conservati i dati e con quali garanzie?
- L'assistente si presenta come tale fin dal primo messaggio?
- C'è sempre un modo semplice per parlare con una persona?
- Ho limitato i dati richiesti e inserito l'avviso sui dati sensibili?
- Ho definito i tempi di conservazione e chi può accedere alle conversazioni?
- Per i messaggi promozionali ho il consenso necessario?
- Ho consultato il mio consulente privacy?
Come lavora Raviglie
Trattiamo i dati dei tuoi clienti esclusivamente per fornire il servizio, sottoscriviamo con te un accordo sul trattamento dei dati (DPA, art. 28 GDPR) e applichiamo principi di minimizzazione e accessi limitati. L'elenco dei sub-responsabili è disponibile su richiesta. Per la nostra informativa vedi la privacy policy. Se stai valutando costi e modalità, leggi quanto costa un chatbot e come dividere il lavoro tra assistente e persone.
Domande frequenti
Un chatbot è conforme al GDPR?
Dipende da come viene configurato e usato, non dallo strumento in sé. Servono informativa aggiornata, dati ridotti al minimo, fornitori nominati responsabili del trattamento, garanzie per eventuali trasferimenti extra UE e un modo per parlare con una persona.
Devo dire ai clienti che stanno parlando con un assistente automatico?
È la scelta corretta e raccomandata. Il Regolamento europeo sull'intelligenza artificiale prevede obblighi di trasparenza in questo senso, con le eccezioni e le tempistiche da verificare con il proprio consulente. In ogni caso, dirlo fin dal primo messaggio evita equivoci.
Serve il consenso per usare un chatbot?
Non sempre: dipende dalla finalità e dalla base giuridica. Rispondere a una richiesta del cliente può non richiedere il consenso, mentre le comunicazioni promozionali richiedono in genere un consenso specifico. È un punto da definire con il tuo consulente.
Chi è responsabile se il fornitore sbaglia?
Il titolare resta responsabile del trattamento verso gli interessati, e per questo è importante scegliere fornitori affidabili e regolare il rapporto con un accordo scritto (art. 28 GDPR) che definisca istruzioni, misure di sicurezza e obblighi.