L’essentiel : Les chatbots, ou agents conversationnels, sont des logiciels conçus pour interagir avec les utilisateurs et fournir des informations de manière ciblée et interactive. Leur fonctionnement implique souvent le traitement de données personnelles, notamment pour conserver l’historique des conversations. La CNIL souligne l’importance de respecter les droits des utilisateurs, notamment en matière de consentement pour le dépôt de cookies. Les données collectées doivent être conservées uniquement pour la durée nécessaire à leur finalité. De plus, les décisions automatisées prises par un chatbot ne doivent pas avoir de conséquences significatives sans intervention humaine, conformément aux exigences du RGPD.

Définition du Chatbot

Les agents conversationnels (ou chatbots) sont des logiciels permettant le dialogue d’un utilisateur avec un programme destiné à lui fournir des informations. Ils servent à apporter des réponses aux questions les plus fréquentes, tout en dispensant cette information d’une manière ciblée, pertinente et interactive. Pour cela, des données personnelles sont souvent traitées, par exemple pour conserver une trace de la conversation, même si le service est disponible sans créer de compte ou sans fournir d’informations directement identifiantes.

Chatbot et données personnelles

Le responsable de traitement ou le sous-traitant mettant en place un chatbot doit prêter une attention particulière aux enjeux pour les droits et libertés des personnes, avec l’aide de son délégué à la protection des données s’il en a désigné un.

Afin d’assurer la continuité technique du chatbot ou de garder un historique de la conversation entre les différentes pages du site où il est présent, un cookie est fréquemment déposé et lu sur le terminal de l’utilisateur. Une telle action est encadrée par l’article 82 de la loi Informatique et Libertés, sur lequel la CNIL a publié des lignes directrices et des recommandations.

Deux possibilités s’offrent à l’opérateur du chatbot : i) soit l’opérateur souhaite pouvoir déposer un cookie préalablement à l’activation du chatbot. Il doit, dans ce cas, obtenir le consentement préalable de l’utilisateur, qui doit être libre, spécifique, éclairé et univoque ; ii) soit le cookie n’est déposé qu’à l’activation du chatbot par l’utilisateur (par exemple, en cliquant sur la fenêtre de conversation préalablement affichée, ou en cliquant sur un bouton déclenchant explicitement l’ouverture du chatbot). Il est alors « strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur » et ne requiert pas donc pas de recueillir le consentement de celui-ci. Cette exemption n’est mobilisable que si le traceur ne sert qu’à la fourniture du chatbot : toute autre finalité lui étant rattachée nécessitera le consentement de l’utilisateur.

Durée de conservation des données

Selon la CNIL, les données collectées par le chatbot doivent être conservées pour la durée nécessaire pour atteindre la finalité du traitement, définie par le responsable de traitement.

Autrement dit, il faudra distinguer les cas où les données devraient être effacées dès la fin de la conversation (comme dans le cas d’un chatbot aidant à un acte d’achat) des cas où le responsable de traitement peut légitimement conserver ces données pour une durée plus longue (par exemple pour une réclamation sur un produit acheté).

Décisions automatisées par Chatbot

Une conversation avec un chatbot sans intervention humaine ne peut conduire à elle seule à des décisions importantes pour la personne concernée, telles que le refus d’une demande de crédit en ligne, l’application de tarifs plus élevés ou l’impossibilité de présenter une candidature à un poste. Cette conversation peut, en revanche, s’inscrire dans un processus plus large qui comprendrait une intervention humaine significative.

En effet, la prise de décision automatisée, lorsqu’elle a des conséquences juridiques ou affectant significativement, et de manière similaire, une personne est interdite par l’article 22 du RGPD, à moins d’avoir mis en place des mesures permettant de sauvegarder les droits, les libertés et les intérêts de la personne concernée (au minimum un moyen permettant à la personne concernée d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision) et en dehors des exceptions suivantes : i) la personne a donné son consentement explicite ; ii) la décision est nécessaire à l’exécution d’un contrat entre la personne et le responsable de traitement ; iii) la décision est autorisée par le droit de l’Union européenne ou le droit d’un État membre.

Q/R juridiques soulevées :

Qu’est-ce qu’un chatbot ?

Un chatbot, ou agent conversationnel, est un logiciel conçu pour interagir avec les utilisateurs en leur fournissant des informations. Ces programmes sont capables de répondre aux questions fréquentes de manière ciblée, pertinente et interactive.

Ils utilisent souvent des données personnelles pour conserver un historique des conversations, même si l’utilisateur n’est pas obligé de créer un compte ou de fournir des informations identifiantes. Cela permet d’améliorer l’expérience utilisateur en rendant les interactions plus fluides et personnalisées.

Comment les chatbots traitent-ils les données personnelles ?

Les chatbots doivent respecter les droits et libertés des utilisateurs, ce qui implique une attention particulière de la part des responsables de traitement. Cela inclut souvent la désignation d’un délégué à la protection des données pour superviser les pratiques de traitement.

Pour assurer la continuité technique et garder un historique des conversations, des cookies sont souvent utilisés. Ces cookies sont régis par l’article 82 de la loi Informatique et Libertés, et la CNIL a émis des recommandations à ce sujet.

Quelles sont les obligations concernant les cookies utilisés par les chatbots ?

L’opérateur d’un chatbot a deux options concernant l’utilisation des cookies. La première option nécessite le consentement préalable de l’utilisateur avant le dépôt d’un cookie. Ce consentement doit être libre, spécifique, éclairé et univoque.

La seconde option permet de déposer un cookie uniquement après que l’utilisateur a activé le chatbot, par exemple en cliquant sur une fenêtre de conversation. Dans ce cas, le cookie est considéré comme strictement nécessaire et ne nécessite pas de consentement préalable, tant qu’il est utilisé uniquement pour le service de chatbot.

Quelle est la durée de conservation des données collectées par les chatbots ?

Selon la CNIL, les données collectées par un chatbot doivent être conservées uniquement pour la durée nécessaire à la finalité du traitement. Cela signifie qu’il est crucial de distinguer les situations où les données doivent être effacées immédiatement après la conversation.

Par exemple, pour un chatbot qui aide à un acte d’achat, les données peuvent être effacées rapidement. En revanche, si les données sont nécessaires pour des réclamations sur un produit, elles peuvent être conservées plus longtemps, conformément aux besoins du responsable de traitement.

Les chatbots peuvent-ils prendre des décisions automatisées ?

Une conversation avec un chatbot ne peut pas, à elle seule, mener à des décisions importantes pour l’utilisateur, comme le refus d’une demande de crédit ou l’impossibilité de postuler à un emploi. Ces décisions doivent inclure une intervention humaine significative.

La prise de décision automatisée est interdite par l’article 22 du RGPD, sauf si des mesures sont mises en place pour protéger les droits de l’utilisateur. Cela inclut la possibilité d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.

Quelles sont les exceptions à l’interdiction de décisions automatisées ?

Il existe des exceptions à l’interdiction de décisions automatisées. La première est lorsque la personne concernée a donné son consentement explicite.

La seconde exception est lorsque la décision est nécessaire à l’exécution d’un contrat entre la personne et le responsable de traitement. Enfin, une décision peut être autorisée par le droit de l’Union européenne ou le droit d’un État membre, ce qui permet une certaine flexibilité dans l’application des règles.