Chatbot et RGPD : la checklist CNIL pour votre entreprise
Un chatbot IA sur votre site traite des données personnelles dès qu'un visiteur tape un message — un nom, une adresse e-mail, parfois bien davantage. Le RGPD s'applique à ce traitement exactement comme à n'importe quelle autre donnée client. La CNIL a publié ses propres recommandations sur les chatbots, ce qui donne à cette checklist une base concrète plutôt que des généralités : voici ce qu'elle demande réellement, et comment évaluer un prestataire ou votre propre configuration.
Pourquoi les chatbots demandent une attention particulière
Une fenêtre de chat peut discrètement devenir l'une des sources de données personnelles les plus riches de votre site : noms, coordonnées, préférences de rendez-vous, parfois des questions touchant à la santé ou aux finances, tapées de bonne foi par un visiteur qui pense s'adresser à une personne. Parce que la donnée arrive sous forme de texte libre plutôt que dans un formulaire structuré, il est facile de sous-estimer le volume réel d'informations personnelles qui y transite — ce qui justifie une checklist dédiée plutôt que de traiter le chatbot comme « un formulaire de plus ».
La checklist CNIL
- Décisions automatisées : une conversation avec le chatbot, sans intervention humaine, ne doit jamais suffire à elle seule à prendre une décision importante concernant la personne (refus de service, éligibilité, etc.).
- Cookies (article 82 de la loi Informatique et Libertés) : soit vous recueillez un consentement préalable, libre et éclairé avant tout dépôt de cookie, soit vous ne déposez de cookie qu'au moment où le visiteur active lui-même le chatbot — auquel cas ce dépôt strictement nécessaire au fonctionnement n'exige pas de consentement séparé.
- Conservation des données : ne gardez les échanges que le temps nécessaire à la finalité poursuivie, en distinguant les cas d'usage — une simple question de disponibilité n'a pas la même durée de pertinence qu'une réclamation en cours de traitement.
- Données sensibles prévisibles (santé, opinions, origine, etc.) : si votre chatbot est susceptible d'en collecter dans le cadre normal de son usage, le traitement doit s'appuyer sur l'une des exceptions de l'article 9(2) du RGPD et faire l'objet d'une analyse d'impact relative à la protection des données (AIPD).
- Données sensibles imprévisibles : si un visiteur en livre spontanément alors que ce n'était pas prévu, deux garde-fous sont attendus — une mise en garde avant l'usage du chatbot invitant à ne pas partager d'informations sensibles, et un système de purge régulière de ces données.
- Minimisation : le chatbot ne doit demander que ce dont il a réellement besoin pour répondre, prendre un rendez-vous ou qualifier une demande — pas un profil complet « au cas où ».
- Implication du délégué à la protection des données (DPO) lorsqu'il est désigné, en amont du déploiement d'un chatbot.
Ce que la checklist RGPD générale ajoute
Au-delà des points propres aux chatbots, les fondamentaux du RGPD restent applicables : une base légale claire pour le traitement (souvent l'intérêt légitime pour répondre à une demande spontanée, le consentement pour des usages marketing), un contrat de sous-traitance (article 28 du RGPD) avec votre prestataire, l'hébergement des données au sein de l'UE ou avec des garanties de transfert appropriées, le chiffrement des données en transit et au repos, et un processus effectif permettant d'exercer les droits d'accès, de rectification et d'effacement — y compris sur les transcriptions de conversation, pas seulement sur votre CRM.
Consentement ou intérêt légitime ?
Toutes les interactions ne nécessitent pas une case de consentement explicite. Si un visiteur ouvre votre chatbot pour connaître vos horaires ou demander un rappel, cela relève généralement de l'intérêt légitime : vous répondez à une demande qu'il a lui-même initiée. Le consentement redevient nécessaire dès que vous allez au-delà de la réponse immédiate — inscrire quelqu'un à une liste marketing à partir d'une conversation de chat, par exemple, exige un consentement obtenu séparément, pas la supposition que « il a discuté avec nous, donc il accepte les e-mails ».
Ce que représentent réellement les sanctions
Le RGPD prévoit des amendes pouvant atteindre 4 % du chiffre d'affaires annuel mondial d'une entreprise, ou 20 millions d'euros, le montant le plus élevé étant retenu. En pratique, les sanctions les plus lourdes ont visé de grandes organisations pour des manquements systémiques plutôt que des petites entreprises pour un oubli documentaire mineur — mais le plafond existe, et la CNIL a montré qu'elle pouvait agir sur des plaintes ciblant spécifiquement des chatbots, en particulier autour du consentement et de la minimisation. Considérez la checklist ci-dessus comme une réduction de risque, pas comme une simple case à cocher.
Ce que cela donne concrètement sur une plateforme de chatbot
Smartwebchat est hébergé dans l'UE et construit autour d'une base de connaissances qui ne répond qu'à partir du contenu que vous fournissez — il n'invente pas de faits sur votre entreprise, et n'a pas besoin de collecter plus de données personnelles que ce qu'une conversation exige réellement. Un contrat de sous-traitance est disponible dans le cadre de l'utilisation de la plateforme, ce qui correspond au document que cette checklist vous demande d'avoir avec tout prestataire.
La conformité RGPD est-elle la responsabilité du prestataire de chatbot, ou la mienne ?
Les deux, à des titres différents. Votre prestataire est généralement le sous-traitant et doit remplir ses propres obligations (sécurité, transparence sur les sous-traitants ultérieurs, contrat de sous-traitance). Vous restez le responsable de traitement : c'est à vous de disposer d'une base légale, d'une information claire et d'un processus pour les demandes d'exercice de droits.
Faut-il un bandeau de consentement type cookies juste pour afficher un chatbot ?
Afficher la fenêtre de chat elle-même ne demande généralement pas de consentement. Le consentement devient pertinent selon ce que vous faites ensuite des données — un usage marketing, par exemple — et séparément, si le chatbot dépose des cookies non strictement nécessaires, l'article 82 de la loi Informatique et Libertés s'applique.
Un chatbot peut-il, à lui seul, prendre une décision importante me concernant ?
Non, selon la CNIL : une conversation avec un chatbot sans intervention humaine ne peut conduire à elle seule à une décision importante pour la personne concernée. Une intervention humaine significative reste nécessaire pour ce type de décision.
Combien de temps peut-on conserver les transcriptions de chat ?
Le RGPD ne fixe pas de durée chiffrée universelle — il exige de ne pas conserver les données plus longtemps que nécessaire au regard de la finalité pour laquelle elles ont été collectées, et de pouvoir expliquer cette durée.
Que se passe-t-il si un visiteur partage une donnée de santé sans qu'on le lui demande ?
La CNIL recommande deux garde-fous pour ce cas imprévisible : une mise en garde avant l'usage du chatbot invitant à ne pas partager d'informations sensibles, et un système de purge régulière de ces données lorsqu'elles sont malgré tout collectées.