Hoe je je chatbot GDPR-compliant kunt maken

GDPR spoedcursus

Wat is de GDPR?

De GDPR is een EU-verordening over gegevensbescherming en privacy. Het is van invloed op personen en bedrijven in de EU en de Europese Economische Ruimte (EER), met inbegrip van de overdracht van gegevens buiten de EU en EER.

Het doel is om individuen controle te geven over hun persoonlijke gegevens en te zorgen voor uniforme regelgeving in de hele EU. Als je bedrijf actief is op deze gebieden, moet je voldoen aan de GDPR.

Niet voldoen aan de GDPR brengt kosten met zich mee. Het kan leiden tot aanzienlijke boetes, oplopend tot 20 miljoen euro of 4% van je wereldwijde omzet over het voorgaande boekjaar - afhankelijk van welke hoger is. 

Het doel is om je gebruikers te kunnen laten zien dat je hun gegevens precies zo verwerkt als beloofd. Dit zal het vertrouwen van klanten in je chatbots zeker vergroten, wat uiteindelijk de winstgevendheid en het succes van je bedrijf kan verbeteren.

1. Wees transparant

Als je klantgegevens verzamelt via je chatbot - en deze gegevens worden beschouwd als persoonsgegevens onder de GDPR - moet je transparant zijn tegenover chatbotgebruikers. Je moet de 'wie, wat, waar, wanneer en waarom' van het verzamelen van hun gegevens uitleggen.

Dit betekent dat je je gebruikers moet informeren over welke klantgegevens je verzamelt, hoe je ze gebruikt en met wie je ze deelt. Deze elementen moeten altijd aan de gebruiker worden gepresenteerd voordat je klantgegevens verzamelt.

Informeer de gebruiker voor het ophalen

Je moet een duidelijke en gemakkelijk te begrijpen kennisgeving geven voordat je klantgegevens beheert via je chatbot.

Dit ziet er vaak uit als pop-ups die gebruikers uitleggen welke gegevens je van hen verzamelt, waarom je deze verzamelt en wat hun rechten zijn met betrekking tot het verzamelen van persoonlijke gegevens. 

Een openbare privacyverklaring plaatsen

Je moet je gegevensverwerkingspraktijken ook gedetailleerd beschrijven in een online privacybeleid of -verklaring en waar nodig bijwerken. U kunt de privacyverklaring vanBotpress als voorbeeld nemen. 

Je privacyverklaring moet het volgende bevatten:

• Welke informatie wordt verzameld van de gebruiker
• Waarom je hun persoonlijke gegevens verwerkt (d.w.z. het doel van de gegevensverzameling)
• Hoe u persoonlijke gegevens opslaat en overdraagt
• Hoe u hun persoonlijke gegevens beschermt en behandelt
• De privacyrechten van gebruikers

Transparantie over uw gebruik van en omgang met klantgegevens bevordert een gevoel van vertrouwen en goodwill - en dit leidt tot sterkere, duurzamere klantrelaties en uiteindelijk tot een duurzamer en meer gerenommeerd bedrijf. 

2. Wees eerlijk

Je mag alleen gegevens verwerken voor de aangegeven doeleinden. Dit houdt ook in dat je erop moet letten dat je bedrijf en zijn werknemers alleen klantgegevens verwerken voor de aangegeven doeleinden.

Als u bijvoorbeeld verklaart dat u klantgegevens zult gebruiken voor het verzenden van commerciële communicatie, het trainen van algoritmen, gegevensanalyse voor productverbetering, technische ondersteuning, klantenservice of het personaliseren van diensten, dan mag u de gegevens alleen voor dergelijke doeleinden gebruiken en niets meer. 

3. Wees slim

U mag alleen gegevens verwerken met een goede wettelijke rechtvaardiging.

Neem een stap terug en evalueer intern je rechtsgrondslag voor het verwerken van klantgegevens. Deze analyse wordt vereist door de GDPR. 

U mag alleen klantgegevens beheren als aan een of meer van de volgende voorwaarden is voldaan: 

• Het is gebaseerd op expliciete toestemming van de chatbotgebruiker
• Het maakt deel uit van een contract met de gebruiker en verwerking is onmisbaar
• Het voldoet aan een wettelijke verplichting
• Het is om de vitale belangen van de gebruiker te beschermen (lees: leven of dood situatie!)
• Het voert een taak uit in het algemeen belang
• Het maakt deel uit van je officiële autoriteit
• Het is om legitieme belangen na te streven (tenzij deze belangen zwaarder wegen dan de belangen of fundamentele rechten en vrijheden van de gebruiker) 

De meest voorkomende redenen voor het verwerken van klantgegevens zijn toestemming, uitvoering van een contract of legitieme belangen.

4. Wees klantgericht

Je moet gebruikers in staat stellen hun privacyrechten uit te oefenen.

Een van de punten op de GDPR-checklist voor online chatbots is ervoor te zorgen dat chatbotgebruikers een of meer van de verschillende privacyrechten kunnen uitoefenen die ze onder de GDPR hebben. 

Chatbotgebruikers moeten toegang hebben tot de klantgegevens die de chatbot over hen heeft verzameld, deze kunnen corrigeren, de verwerking ervan kunnen beperken en er bezwaar tegen kunnen maken, om verwijdering van hun gegevens kunnen vragen of deze in een draagbaar formaat kunnen krijgen. 

Idealiter kunnen gebruikers deze rechten direct uitoefenen via je chatbots conversatiestroom, via een interactief vraag-en-antwoordproces. Gelukkig biedt Botpress deze mogelijkheid. 

5. Wees menselijk

Probeer aan te tonen dat geautomatiseerde beslissingen menselijke betrokkenheid hebben.

Chatbots van Botpress maken gebruik van AI-technologie. Het zijn AI-agenten die worden aangestuurd door LLMs.

Tenzij aan bepaalde voorwaarden wordt voldaan, kun je je chatbot niet zo structureren dat AI alleen kritieke beslissingen over een gebruiker zou nemen: beslissingen die over gebruikers worden genomen, kunnen geen rechtsgevolgen hebben of de gebruiker significant beïnvloeden. 

Dit betekent dat er in elke fase van de implementatie van een chatbot die gebruik maakt van agentische AI menselijk toezicht aanwezig moet zijn om GDPR-naleving te garanderen. Het is essentieel dat je gebruikers kunt laten zien dat menselijke betrokkenheid een rol heeft gespeeld bij het nemen van deze beslissingen.

6. Wees wars van logboeken

Evalueer wat voor soort logs je bijhoudt via je chatbot. Heb je foutlogs? Toegang logs? Veiligheidscontrole logs? 

Als je dat doet, bepaal dan of deze logs klantgegevens bevatten, zoals IP-adressen, identificatiegegevens of volledige namen. Als het antwoord 'ja' is, moet je mogelijk een proces instellen om deze klantgegevens te verwijderen. De GDPR verbiedt je om deze gegevens te bewaren zonder de juiste rechtvaardiging.

Als het bewaren niet gerechtvaardigd is, verwijder dan alle persoonlijke gegevens die via logbestanden zijn verkregen.

Op Botpress verwijderen we automatisch persoonlijke gegevens die via logbestanden zijn verkregen na een expliciet gedefinieerde periode.

7. Wees veilig

Naast alle andere elementen moet je er ook voor zorgen dat je technische, organisatorische, fysieke en administratieve maatregelen implementeert om de informatie die via je chatbot wordt verwerkt te beschermen. 

Dit kan betekenen dat je ervoor zorgt dat je:

• De klantgegevens in rust en tijdens het transport versleutelen
• Klantgegevens anonimiseren of pseudonimiseren
• De toegang van uw werknemers tot klantgegevens beheren op basis van need-to-know
• Zorg onder andere voor de juiste back-ups

Dit zijn allemaal passende maatregelen om de gegevens die aan je worden toevertrouwd te beveiligen - ze zullen variëren op basis van het doel van je chatbot en de gegevens die hij verzamelt.

Voor andere voorbeelden kun je kijken naar Bijlage 2 van Botpress' Gegevensverwerkingsovereenkomst voor een lijst met beveiligingsmaatregelen die we treffen wanneer je een chatbot met onze hulp bouwt.

Chatbots bouwen die aan de regels voldoen

Ervoor zorgen dat je chatbot voldoet aan de GDPR is niet alleen belangrijk om juridische of financiële redenen. Het opbouwen van vertrouwen en transparantie met je gebruikers is integraal voor het publieke imago van je bedrijf en je individuele klantrelaties. Als je twijfelt, zorg er dan voor dat je producten en diensten een GDPR-checklist volgen om naleving te garanderen.

We helpen je graag om ervoor te zorgen dat je AI-chatbot voldoet aan de noodzakelijke regelgeving. Veel functies voor GDPR-compliance zijn ingebouwd in Botpress , zodat jij je kunt richten op het bouwen van de bot.

Voor vragen kunt u contact opnemen via legal@botpress.com.

FAQs