Chatbot a RODO — jak zachować zgodność z przepisami

Czy chatbot na stronie wymaga zgody RODO?

To zależy od tego, jakie dane przetwarza chatbot. Jeśli chatbot jedynie odpowiada na pytania na podstawie publicznych treści strony i nie zbiera danych osobowych — obowiązki RODO są minimalne. To sytuacja analogiczna do wyszukiwarki na stronie.

Sytuacja zmienia się, gdy chatbot zbiera dane osobowe — na przykład imię i adres e-mail przez formularz kontaktowy, lub gdy przetwarza treść rozmów zawierających dane identyfikujące osobę. Wtedy jesteś administratorem tych danych w rozumieniu RODO i musisz spełnić konkretne obowiązki.

Kluczowe pytanie brzmi: czy Twój chatbot zbiera dane, które pozwalają zidentyfikować konkretną osobę? Jeśli tak — potrzebujesz podstawy prawnej do przetwarzania (najczęściej zgody lub uzasadnionego interesu).

Jakie dane przetwarza chatbot AI?

Warto rozróżnić kilka typów danych, z którymi ma do czynienia chatbot:

• Treść rozmowy: Pytania i odpowiedzi. Jeśli użytkownik sam poda swoje dane w rozmowie (np. „Nazywam się Jan Kowalski, mój numer zamówienia to…"), te dane stają się danymi osobowymi.
• Dane z formularzy: Jeśli chatbot wyświetla formularz kontaktowy (imię, e-mail, telefon), to klasyczne dane osobowe wymagające podstawy prawnej.
• Dane techniczne: Adres IP, identyfikator sesji, typ przeglądarki. To dane osobowe w rozumieniu RODO, choć ich przetwarzanie jest zazwyczaj objęte uzasadnionym interesem administratora.

SiteBrain domyślnie nie zbiera danych osobowych odwiedzających — chatbot odpowiada na pytania bez wymagania jakichkolwiek danych. Formularz kontaktowy jest opcjonalny i można go włączyć w ustawieniach.

Obowiązki administratora danych przy wdrażaniu chatbota

Jeśli Twój chatbot przetwarza dane osobowe, musisz jako administrator danych zadbać o kilka rzeczy:

• Informacja o przetwarzaniu: Zaktualizuj politykę prywatności o informacje o chatbocie — kto jest administratorem, jakie dane są zbierane, na jakiej podstawie prawnej i jak długo są przechowywane.
• Zgoda (jeśli wymagana): Jeśli zbierasz dane przez formularz w chatbocie, możesz potrzebować zgody użytkownika. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna.
• Umowa powierzenia przetwarzania: Dostawca chatbota (np. SiteBrain) przetwarza dane w Twoim imieniu. Potrzebujesz umowy powierzenia (DPA — Data Processing Agreement). Większość narzędzi SaaS udostępnia taką umowę standardowo.
• Prawo do usunięcia danych: Użytkownik ma prawo zażądać usunięcia swoich danych. Upewnij się, że narzędzie to umożliwia.

Brzmi skomplikowanie? W praktyce dla większości firm sprowadza się to do zaktualizowania polityki prywatności i upewnienia się, że dostawca chatbota oferuje DPA.

Jak SiteBrain podchodzi do RODO?

SiteBrain zostało zaprojektowane z myślą o zgodności z RODO od samego początku. Oto kluczowe elementy:

• Minimalizacja danych: Domyślnie chatbot nie zbiera żadnych danych osobowych. Widget odpowiada na pytania na podstawie publicznych treści strony — bez wymagania logowania, podawania imienia czy e-maila.
• Opcjonalny formularz kontaktowy: Jeśli włączysz formularz, dane (imię, e-mail) są przechowywane bezpiecznie i dostępne do usunięcia z poziomu dashboardu.
• Przejrzysta infrastruktura: SiteBrain działa na globalnej sieci brzegowej Cloudflare, jawnie wskazuje podwykonawców AI przetwarzających treść rozmów, a historię rozmów możesz w każdej chwili usunąć z poziomu dashboardu. Dane z rozmów nigdy nie są wykorzystywane do trenowania modeli.
• DPA dostępne na żądanie: Umowa powierzenia przetwarzania danych jest częścią warunków usługi.

Pamiętaj: samo narzędzie nie zapewnia zgodności z RODO. To Ty, jako administrator danych, musisz zadbać o politykę prywatności, podstawy prawne i prawa osób, których dane przetwarzasz.

Praktyczna checklista RODO dla chatbota

Na koniec — praktyczna lista rzeczy do zrobienia przed wdrożeniem chatbota na stronie:

• Zaktualizuj politykę prywatności — dodaj informację o chatbocie, zakresie zbieranych danych i dostawcy usługi.
• Sprawdź, czy dostawca chatbota oferuje umowę powierzenia (DPA).
• Jeśli chatbot zbiera dane osobowe (formularz kontaktowy), zapewnij mechanizm zgody — np. checkbox przed wysłaniem formularza.
• Upewnij się, że możesz usunąć dane użytkowników na żądanie.
• Sprawdź, gdzie przechowywane są dane — preferuj dostawców z infrastrukturą w UE.
• Rozważ dodanie informacji o chatbocie w komunikacie cookie/consent, jeśli widget używa plików cookie.

Dla większości firm wdrożenie chatbota zgodnie z RODO nie wymaga prawnika ani audytora. Wystarczy zdrowy rozsądek, zaktualizowana polityka prywatności i dobry dostawca narzędzia.