A GDPR az Európai Unió adatvédelmi rendelete: azt szabályozza, hogyan kezelhet egy cég személyes adatot – azt is, amit az ügyfél egy chatablakba ír. Egy név, egy telefonszám, néha egy panasz: ettől a pillanattól van vele a cégeteknek egy dolga. Ez az oldal azt szedi össze, mit kell előre eldöntenetek, hétköznapi nyelven, ügyvédi szöveg nélkül.
Röviden
A GDPR-nak nincs külön chatbot-fejezete: a chatablakra ugyanazok a szabályok vonatkoznak, mint a céges postafiókra. Indulás előtt el kell dönteni, milyen adat kerül bele és milyen jogalapon, ki látja, meddig marad meg, és hova megy ki. Ha külső AI-szolgáltató készíti a válaszokat, adatfeldolgozói szerződés kell vele, az ügyfelet pedig az adatai megadásakor tájékoztatni kell.
Frissítve:
Szemléltető példa Csütörtök este háromnegyed nyolc, egy cégnél, ahol online is lehet rendelni. Az utolsó látogató beír a chatablakba: „Kovács Béla, 06-30-…, a múlt heti rendelésem nem jött meg, és sürgős lenne.”
Az üzenet elmegy valahova. Reggel valaki elolvassa – vagy nem. Ott marad egy szerveren, ahol senki nem tudja megmondani, meddig. Ha holnap az ügyfél felhívja a céget, hogy törölje minden adatát, ez az üzenet valószínűleg nem jut senki eszébe.
A chatablakot két hónapja tette fel egy fejlesztő. Arról, hogy mi lesz azzal, amit az ügyfelek beleírnak, nem esett szó. Nem rosszindulatból. Egyszerűen senki nem kérdezte meg.
Így néz ki egy rendben induló chatablak. Az első üzenet megmondja, hogy gép válaszol, és ott a link a teljes tájékoztatóra. A gép csak azt kéri, ami az ügyintézéshez kell: itt a rendelésszámot, más adatot nem.
Ez nem jogi dokumentum, hanem beállítás. A lenti hét kérdésre adott válaszokból áll össze.
Kezdjük a jó hírrel: a GDPR-nak nincs külön „chatablak-fejezete”. Ugyanazok a szabályok vonatkoznak rá, mint a céges postafiókra vagy a telefonos jegyzetfüzetre. Ha ezekkel eddig rendben voltatok, itt sem kell újratanulni mindent.
Három dolog viszont tényleg más, és ez a három okozza a bajt.
A szomszéd kertjébe sem mehettek be csak azért, mert kedvetek van hozzá: kell hozzá engedély, vagy valami, ami feljogosít rá. A jogalap ugyanez: az az indok, ami miatt egyáltalán kezelhettek egy adatot. Nálatok jellemzően a megrendelés teljesítése lesz az, nem a hozzájárulás. A fogalmak egy helyen: laikus szótár.
Ezt a hetet vesszük végig, mielőtt bármi elindul. Nem azért, mert szeretjük a papírt, hanem mert így az adatvédelmi szakértőtök vagy az ügyvédetek el tudja olvasni és el tudja bírálni. Fél óra, ha van, aki tudja a válaszokat.
01. kérdés
Írjátok le tételesen: név, e-mail-cím, telefonszám, rendelésszám, a beszélgetés szövege. Utána húzzátok ki azt, ami nélkül is működne. A szabály nem azt kéri, hogy keveset kezeljetek – azt kéri, hogy csak annyit, amennyi a célhoz kell.
Tipikus fölösleg: kötelező telefonszám-mező olyan chatablakban, ahol amúgy is chatben válaszoltok.
02. kérdés
Három tipikus eset van. Ha a beszélgetés egy megrendeléshez tartozik, a szerződés teljesítése az alap. Ha az ügyfélszolgálati minőség javításához kell, jellemzően a jogos érdek – ezt viszont le kell írni és mérlegelni. Ha hírlevélre iratkozna fel közben, ahhoz külön hozzájárulás kell.
Nem mindegy, melyik. A hozzájárulás bármikor visszavonható, a másik kettő nem így működik.
03. kérdés
Az ügyfélnek ott, akkor kell látnia, mi lesz azzal, amit beír. Nem elég, ha a lábléc alján van egy tájékoztató, amit senki nem nyit meg. Egy mondat a chatablak tetején, mellette link a teljes tájékoztatóra – ennyi.
Ugyanide tartozik, hogy ki kell írni: nem ember válaszol. Ez már nem udvariassági kérdés, hanem külön uniós elvárás – erről az EU AI Act oldalon írtunk bővebben.
04. kérdés
A chatablakba beírt üzenetek nem tartoznak mindenkire a cégben. Döntsétek el előre, ki fér hozzá az előzményekhez, és ki nem. Ez ugyanaz a logika, mint a HR-mappánál: a pénzügyest sem engeditek be oda.
Ha kilép egy kolléga, ennek a hozzáférésnek is meg kell szűnnie. Ez az a lépés, ami a legkönnyebben elfelejtődik.
05. kérdés
Ha külső szolgáltató készíti a válaszokat, az ügyfél mondata odakerül. Ilyenkor két dolog kell: egy szerződés a szolgáltatóval arról, hogy ő csak a ti utasításotokra kezelheti az adatot, és egy világos válasz arra, hogy az adat kikerül-e az Unión kívülre.
Ha kikerül, az sem eleve tilos – de akkor annak külön feltételei vannak, és azt le kell írni.
06. kérdés
Erre a kérdésre ritkán van kész válasz. Pedig egyszerű: mondjatok egy határidőt, ami mögött van indok. Ha a beszélgetés a rendeléshez tartozik, kézenfekvő a rendelés dokumentumaihoz igazítani. Ha csak érdeklődés volt, jóval rövidebb idő is elég.
Ami ezután is megmarad: az már nem „biztonsági mentés”, hanem kezelt adat.
07. kérdés
Az ügyfél kérheti, hogy megmondjátok, milyen adata van nálatok, kérheti a javítást, és kérheti a törlést. Erre válaszolni kell, jellemzően egy hónapon belül. A gyakorlati kérdés egyszerű: meg tudjátok-e találni azt a beszélgetést, ha holnap kéri.
Ha erre nem tudtok igennel felelni, annak az oka jellemzően nem jogi, hanem keresési, és előre meg lehet oldani.
Ha a könyvelőtök hozzáfér a bérekhez, arról szerződés van, nem szóbeli megállapodás. Az adatfeldolgozó ugyanez a szerep: az a külső fél, aki a ti nevetekben és a ti utasításotokra nyúl az adathoz. Ilyenkor a szerződés a munka része, nem utólagos papírmunka.
Ezek nem elméleti kockázatok: mind a négy könnyen becsúszik egy induló chatablaknál.
Valaki egyszerűen ráengedte a teljes nyilvántartásra, hogy „biztos tudjon válaszolni”. Innentől elég egy jól feltett kérdés, és kiad olyan adatot, amit nem kellene. A helyes megoldás nem a tiltás, hanem a jogkör szűkítése: csak azt lássa, ami a feladatához kell.
A fogyasztói, ingyenes csomagoknál ez sokszor alapból be van kapcsolva: amit oda beírtok, azt a szolgáltató a modellje fejlesztésére is felhasználhatja. A céges, előfizetéses csomagoknál ez jellemzően eleve ki van kapcsolva – de ezt mindig a szerződésben kell rögzíteni, nem csak elhinni. Mi induláskor ezt elsőként ellenőrizzük.
Két év múlva ott van minden, dátummal, névvel. Ez egyszerre adatvédelmi és biztonsági kockázat: ami nincs ott, azt nem is lehet ellopni.
Ez a legolcsóbban javítható hiba a listán. Egy mondat.
És egy külön eset. Ha a cégetek egészségügyi, jogi vagy pénzügyi ügyekkel foglalkozik, az ügyfelek olyat is beírnak a chatablakba, amit nem kellene. Egy fogorvosi rendelőnél a „fáj a bal hatos, és cukorbeteg vagyok” mondat már különleges adat. Erre külön szabályok vonatkoznak, és ilyenkor a chatablakot eleve szűkebbre kell szabni – vagy nem érdemes elindítani.
Néha igen, és ezt nem tudjuk helyettetek eldönteni.
Röviden: ha az adatkezelés valószínűsíthetően nagy kockázattal jár az érintettekre – mert sokakat érint, mert érzékeny adatokat tartalmaz, vagy mert újszerű technológiát használ –, akkor előzetes hatásvizsgálat kell. Egy webshop rendelési kérdéseket kezelő chatablaka jellemzően nem ilyen. Egy magánrendelő panaszkezelő chatablaka viszont könnyen lehet az.
Ha van adatvédelmi tisztviselőtök, ez az ő kérdése. Ha nincs, akkor az ügyvédetéké. A mi dolgunk az, hogy pontosan leírjuk, mi történik az adattal, hogy aki ehhez ért, azt el tudja bírálni.
A költözésnél sem viszitek át a hetvenéves konzervet. Az adattakarékosság ugyanez: csak azt az adatot kérjétek be és tároljátok, amire tényleg szükség van a feladathoz. Ez egyszerre jogi elvárás és praktikus döntés – ami nincs nálatok, azért nem is kell felelni.
Ez a rész azért van itt, mert ilyenkor a legrosszabb tanácsadó a pánik.
72 óra
Ha kiderül, hogy illetéktelenhez került adat, azt jellemzően ennyi időn belül be kell jelenteni a Nemzeti Adatvédelmi és Információszabadság Hatóságnak.
Forrás: GDPR 33. cikk
Ha az eset az érintettekre nézve is komoly kockázattal jár, őket is értesíteni kell.
Ehhez két dolog kell előre: legyen leírva, ki dönt erről, és legyen egy lista arról, hol milyen adat van. Ha ez a két papír megvan, a bejelentés gyorsan összeáll. Ha nincs, akkor a 72 óra abból megy el, hogy kiderítsétek, mi történt.
A listát egyébként nem kell külön megcsinálni: ha a fenti hét kérdésre válaszoltatok, már megvan.
Ez a rész ritkán szerepel máshol, ezért itt van.
Négy dolog, minden ilyen munkánál ugyanaz. Nem jogi dokumentum: műszaki leírás, olyan nyelven, hogy az ügyvédetek is el tudja olvasni.
Van olyan feladat, ahol semmi nem megy ki a házból. Van olyan, ahol egy része igen – ilyenkor megmondjuk, hova. Az adat a ti adatotok marad: ti vagytok az adatkezelő, és a törlés módját is előre leírjuk.
Ha kiderül, hogy nálatok ezt nem éri meg megcsinálni, azt is megmondjuk.
Nem kell teljesen külön dokumentum. Elég, ha a meglévő adatkezelési tájékoztatótok kiegészül a chatablak adataival, és a chatablak tetején egy mondat, linkkel a teljes szövegre.
Igen, ha a szolgáltató a ti nevetekben kezeli az ügyfelek adatait. Ez jellemzően a szolgáltató saját feltételeinek elfogadásával vagy egy külön aláírt melléklettel történik – ezt mindig ellenőrizni kell, nem feltételezni.
Nincs egy szám, ami mindenkire igaz: annyi ideig, amennyit egy indokolt céllal alá tudtok támasztani – például addig, amíg a hozzá tartozó rendelés dokumentumait is őrzitek. Ami ezen túl megmarad, az már nem biztonsági mentés, hanem kezelt adat, amiért felelni kell.
Ha automata válaszolón gondolkodtok: egy rövid telefon, és végigvesszük a hét kérdést.
Egy rövid telefon. Ha nem éri meg, azt is megmondjuk.