Chatbot-databeskyttelse — Hvad virksomheder skal være opmærksomme på

Chatbots indsamler personoplysninger: navne, e-mailadresser, telefonnumre, henvendelser, IP-adresser. Når sådanne data indsamles, behandles eller videregives, finder databeskyttelsesforordningen (GDPR) anvendelse.

Det gælder også for live-chat-værktøjer og automatiserede chat-widgets på websites. Uanset om et menneske eller en AI svarer — er databehandlingen underlagt de samme krav: retsgrundlag, gennemsigtighed, formålsbinding, dataminimering og tekniske beskyttelsesforanstaltninger.

Hvis du har en chatbot på dit websted, bør du sikre dig, at udbyderen er EU-konform, at en databehandleraftale kan indgås, og at anmodningen om samtykke er teknisk gennemførlig.

Zentor App er designet til EU-konform databehandling. De vigtigste databeskyttelsesaspekter i overblik:

• EU-hosting: Samtaledata behandles på servere i Den Europæiske Union.
• Samtykke kan konfigureres: Chat-widget'en kan indstilles således, at brugerne skal give samtykke til databehandling, før chatten startes.
• AVV mulig: Efter anmodning kan en databehandleraftale indgås.
• Samtaleoplysninger i din egen konto: Alle samtaler forbliver i din Zentor App-konto og kan kun ses af autoriserede teammedlemmer.
• Rollenbaserede adgangsrettigheder: De bestemmer, hvilke brugere der har adgang til samtaledata.

Tekniske detaljer om hostingsted, sletningsfrister og AVV-betingelser bedes De forespørge i den første samtale.

Databeskyttelse begynder med forståelsen af, hvilke data der faktisk flyder hvorhen under chatten. Ved en website-chatbot gennemgår en besked typisk fire stationer — hver med egen databeskyttelsesretlig betydning:

1. 1. Brugerens browser: Chat-widgetten bliver indlæst på dit websted, hvor konfigurationen bestemmer, om samtykke indhentes før den første kontakt, og hvilke tekniske data (f.eks. IP-adresse) der overføres.
2. 2. Overførsel til serveren: Beskeder overføres krypteret til behandlingsserveren. Hosting-stedet afgør, om behandlingen forbliver inden for EU, eller om der opstår en tredjelandsoverførsel.
3. 3. AI-behandling: Svaret genereres af en AI-model — enten via en lokal AI-model i egen infrastruktur eller via en ekstern AI-udbyder. Ved lokal udførelse forlader samtaleindholdet ikke ens eget miljø; ved ekstern behandling skal databehandlingen sikres kontraktligt.
4. 4. Lagring & Indbakke: Samtalen gemmes på kontoen og er synlig via indbakken for autoriserede teammedlemmer. Her gælder adgangsrettigheder, opbevaringsfrister og sletningskonceptet.

Databeskyttelsesforordningen kræver, at personoplysninger ikke opbevares længere, end formålet kræver (opbevaringsbegrænsning). For chatbotsamtaler betyder det i praksis et trinvis sletningskoncept i stedet for ubegrænset opbevaring:

• Fastlæg formålet: Hvad opbevares samtaler for — support-opfølgning, lead-behandling, kvalitetssikring? Formålet bestemmer fristen.
• Definer opbevaringsfrist: En konkret frist (f.eks. efter afslutning af sagen) bør være teknisk forankret, ikke kun organisatorisk.
• Automatisk sletning: Rutiner, der regelmæssigt fjerner udløbne samtaler, reducerer risikoen for, at data ukontrolleret „ligger tilbage".
• Registreredes rettigheder: Der skal kunne reageres på anmodninger om oplysning og sletning — enkelte samtaler skal kunne findes og slettes målrettet.
• Dokumentation: Sletningskonceptet hører til i behandlingsregistret og bør afstemmes med databeskyttelsesrådgiveren.

Det er vigtigt at få nærmere oplysninger om fristerne og den tekniske gennemførelse af sletningsprocedurerne i den første samtale med din databeskyttelsesrådgiver.