Chatbot et RGPD sur un site web : la liste à suivre

Un chatbot sur un site web traite le plus souvent des données personnelles : le RGPD (règlement général sur la protection des données) s'applique donc. Dans ses conseils du 19/02/2021 sur les chatbots, la CNIL (Commission nationale de l'informatique et des libertés) insiste sur quatre points : les cookies, la durée de conservation, les décisions automatisées et les données sensibles. À cela s'ajoute l'information des visiteurs, due à chaque collecte.

Cette page reprend ce que disent ces textes, point par point. Elle ne remplace pas l'avis de votre délégué à la protection des données ou de votre avocat.

1. Savoir qui fait quoi

Avant toute chose, répondez à deux questions :

• Qui décide de l'objectif de l'assistant ? En général, votre entreprise : elle est alors responsable du traitement.
• Qui fait tourner l'outil ? L'éditeur de la plateforme agit en général comme sous-traitant. Son contrat doit dire ce qu'il fait des conversations, où et combien de temps.

La CNIL s'adresse aux deux : le responsable du traitement comme le sous-traitant doivent prêter attention aux droits des personnes, avec l'aide du délégué à la protection des données s'il en existe un.

2. Informer le visiteur au bon moment

Quand des données sont recueillies directement auprès de la personne, la CNIL demande que l'information soit donnée au moment du recueil. Pour un chatbot, cela veut dire : dans la fenêtre, avant ou pendant la première question, avec un lien vers votre politique de confidentialité.

Les mentions à prévoir, selon la CNIL :

La CNIL conseille une information « en plusieurs niveaux » : une phrase courte dans la fenêtre (qui traite les données, pour quoi faire, quels droits), puis un lien vers le détail.

3. Régler la question du cookie

Un chatbot dépose souvent un cookie pour garder le fil de la conversation d'une page à l'autre. La CNIL distingue deux cas :

• Cookie déposé avant que le visiteur n'ouvre la fenêtre : consentement préalable obligatoire, libre, spécifique, éclairé et univoque.
• Cookie déposé seulement quand le visiteur ouvre la fenêtre (clic sur la bulle ou sur un bouton) : pas de consentement, à condition que le cookie serve uniquement à faire fonctionner le chatbot. Toute autre finalité, mesure publicitaire par exemple, demande le consentement.

Si un consentement est nécessaire, les règles générales de la CNIL s'appliquent : refuser doit être aussi simple qu'accepter, et poursuivre la navigation vaut refus. Vérifiez avec l'éditeur de votre outil à quel moment son script dépose ses cookies : c'est souvent dès le chargement de la page.

4. Fixer une durée de conservation

Les conversations se gardent le temps nécessaire à l'objectif que vous avez fixé. La CNIL donne deux exemples :

• un chatbot qui aide à un achat : effacement possible dès la fin de la conversation ;
• une réclamation sur un produit acheté : conservation plus longue, le temps de la traiter.

Écrivez la durée choisie, réglez-la dans l'outil si c'est possible, et reportez-la dans votre politique de confidentialité.

5. Prévoir les données sensibles

Un visiteur peut taper spontanément une information de santé, une opinion ou une appartenance religieuse. Pour cette collecte non prévisible, la CNIL n'exige pas de consentement préalable mais demande deux mesures :

• afficher, avant toute utilisation, une mise en garde invitant à ne pas communiquer de données sensibles ;
• purger ces données, immédiatement ou régulièrement.

Si votre activité amène forcément ce type de données (un service de santé, par exemple), la situation change : il faut une exception prévue par l'article 9 du RGPD, et une analyse d'impact (AIPD) peut devenir obligatoire. À vérifier avec la CNIL ou votre délégué.

6. Ne pas laisser l'assistant décider

L'article 22 du RGPD encadre les décisions entièrement automatisées. La CNIL en tire une règle simple pour les chatbots : la conversation seule ne peut pas fonder un refus de crédit, un tarif plus élevé ou l'impossibilité de postuler. Le détail est dans chatbot et décision automatisée.

7. Ne pas oublier le règlement sur l'IA

La CNIL rappelle que le règlement européen sur l'IA ne remplace pas le RGPD : les deux s'appliquent ensemble. Pour un assistant de site, cela ajoute l'obligation d'indiquer qu'il s'agit d'une IA : voir informer qu'on parle à une IA.

La liste de contrôle

• Rôles écrits : responsable du traitement, sous-traitant, contrat signé
• Phrase d'information dans la fenêtre et lien vers la politique de confidentialité
• Moment de dépôt du cookie vérifié avec l'éditeur
• Durée de conservation fixée et appliquée
• Mise en garde sur les données sensibles affichée avant la première question
• Aucune décision importante confiée au seul assistant
• Mention « vous échangez avec une IA »