Guides et conformité

RGPD et automatisation du support client : guide pratique

Par Roman Zakharenko · Faits vérifiés 19 octobre 2026

Le RGPD s'applique à l'automatisation du support comme à tout autre traitement de données personnelles. Il vous faut une base légale au titre de l'article 6, vous ne traitez que ce dont vous avez besoin (article 5(1)(c)) et ne le conservez que le temps nécessaire (article 5(1)(e)), et les prestataires qui traitent des données pour votre compte doivent être liés par un contrat au titre de l'article 28. Pour les chatbots et les workflows de helpdesk, l'essentiel se joue dans des choix de conception : quels champs vous envoyez, où ils vont et combien de temps les logs sont conservés.

En bref

Article 5(1)(c) : les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités.
L'article 6(1) énumère six bases légales. La Cour de justice de l'UE considère cette liste comme exhaustive.
L'article 28(3) exige un contrat contraignant avec chaque sous-traitant, prévoyant notamment qu'il n'agit que sur vos instructions documentées.
Selon le CEPD (EDPB), vérifier qu'un sous-traitant présente des garanties suffisantes est une obligation continue, et non ponctuelle.
Make vous permet de choisir un data center aux États-Unis ou dans l'UE lors de la création d'une organisation. Ce choix ne peut pas être modifié ensuite.

Où apparaissent les données personnelles dans l'automatisation du support

Une automatisation du support touche des données personnelles à plusieurs endroits, souvent plus que l'équipe ne l'imagine. Les recenser est la première étape concrète, car chacun de ces points met en jeu la minimisation des données, la conservation et les contrats avec les prestataires.

Transcriptions de chats et d'e-mails : noms, e-mails, numéros de téléphone, numéros de commande et tout ce que les clients saisissent.
Champs et pièces jointes des tickets du helpdesk qu'une automatisation lit ou copie vers un autre outil.
Prompts et réponses envoyés à un modèle d'IA, si votre bot en utilise un.
Logs d'exécution de votre plateforme d'automatisation, qui peuvent stocker les données reçues par chaque étape.
Notifications publiées dans Slack ou d'autres outils internes.

Les articles du RGPD qui comptent le plus pour un bot de support

Articles du RGPD et leur impact concret sur l'automatisation du support
Article	Ce que dit le texte	Ce que cela implique pour un bot de support
Art. 5(1)(c) : minimisation des données	Les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités.	N'envoyez à chaque étape que les champs dont elle a besoin. Masquer les identifiants avant que le texte ne parte vers un modèle d'IA est une façon d'y parvenir.
Art. 5(1)(e) : limitation de la conservation	Les données sont conservées sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire au regard des finalités, avec des exceptions pour l'archivage, la recherche et les statistiques, sous réserve des garanties de l'article 89(1).	Fixez des durées de conservation pour les logs de chat, les exports de tickets et les logs d'exécution des automatisations.
Art. 6(1) : licéité	Le traitement n'est licite que si au moins l'une des six bases s'applique : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêts légitimes.	Consignez quelle base couvre chaque finalité, par exemple répondre à une demande ou analyser des transcriptions.
Art. 28 : sous-traitants	Ne faire appel qu'à des sous-traitants présentant des garanties suffisantes, dans le cadre d'un contrat contraignant qui définit le traitement et les oblige à agir sur vos instructions documentées.	Ayez un contrat avec chaque prestataire de la chaîne : helpdesk, plateforme d'automatisation, fournisseur d'IA et hébergement.

Base légale : décider finalité par finalité

L'article 6(1) énumère six bases légales : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêts légitimes. La Cour de justice de l'UE a qualifié cette liste d'exhaustive et limitative : un traitement doit donc relever d'au moins l'une d'elles.

Deux bases reviennent le plus souvent dans le travail de support. La base contractuelle couvre le traitement nécessaire à l'exécution d'un contrat avec la personne, ou à des mesures prises à sa demande avant la conclusion d'un contrat. Dans l'affaire C-621/22, la Cour de justice a indiqué que les intérêts légitimes supposent trois conditions cumulatives : le responsable du traitement ou un tiers poursuit un intérêt légitime, le traitement est nécessaire à cet intérêt, et les intérêts ou les droits fondamentaux de la personne ne prévalent pas. Les autorités publiques ne peuvent pas invoquer les intérêts légitimes pour les traitements effectués dans l'exécution de leurs missions.

En pratique, listez chaque finalité séparément. Répondre à la question du client, former le personnel à partir d'anciennes transcriptions et produire des rapports sont des finalités différentes, et chacune a besoin de sa propre base.

Sous-traitants et contrats au titre de l'article 28

En vertu de l'article 28(1), vous ne pouvez faire appel qu'à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. L'article 28(3) exige un contrat ou un autre acte juridique qui définit l'objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées. Il doit aussi prévoir que le sous-traitant n'agit que sur vos instructions documentées, y compris pour les transferts de données personnelles vers un pays tiers. En vertu de l'article 28(4), un sous-traitant qui fait appel à un autre sous-traitant doit lui imposer par contrat les mêmes obligations en matière de protection des données, et le sous-traitant initial reste pleinement responsable envers vous.

Lignes directrices 07/2020 du CEPD : vérifier les garanties d'un sous-traitant est une obligation continue, avec des audits et des inspections le cas échéant. Les instructions peuvent figurer dans une annexe au contrat ou sous une autre forme écrite, comme un e-mail, à condition d'en garder une trace. Une liste générale de sous-traitants ultérieurs susceptible d'être mise à jour de temps à autre ne suffit pas. Le sous-traitant doit vous informer activement des changements.
Avis 22/2024 du CEPD : l'obligation de vérifier que les sous-traitants et sous-traitants ultérieurs présentent des garanties suffisantes s'applique quel que soit le niveau de risque, même si la profondeur des vérifications peut varier. La décision finale de recourir à un sous-traitant ultérieur précis, et la responsabilité de ce choix, restent au responsable du traitement.

Une chaîne de support typique peut inclure un helpdesk, une plateforme d'automatisation, un fournisseur de modèle d'IA et un outil de chat. Notez quels prestataires traitent des données personnelles pour votre compte, vérifiez les conditions de traitement des données et la liste des sous-traitants ultérieurs de chacun, et conservez-les dans vos dossiers.

Hébergement, localisation des données et paramètres de conservation

L'endroit où s'exécute votre automatisation détermine où ses données sont stockées. Make propose deux localisations de data center, les États-Unis et l'Union européenne. Vous en choisissez une lors de la création d'une organisation, elle ne peut pas être modifiée ensuite, et elle détermine où vos données sont stockées et traitées. Si vous auto-hébergez n8n, ses paramètres d'exécution contrôlent la quantité de données d'exécution conservée. La valeur par défaut documentée est un maximum de 10 000 exécutions stockées, et 0 signifie aucune limite.

Comme l'article 28(3) couvre les instructions relatives aux transferts vers des pays tiers, vérifiez dans les conditions de chaque prestataire où les données sont traitées. Réglez la conservation dans chaque outil qui garde une copie des données, et pas seulement dans votre helpdesk.

Choix de conception concrets pour une automatisation conforme au RGPD

Transmettez les identifiants de tickets et les champs dont une étape a besoin plutôt que des fiches clients entières.
Masquez les e-mails, les numéros de téléphone et les données de paiement avant que le texte ne parte vers un modèle d'IA. Un texte masqué peut encore contenir des données personnelles : traitez-le avec le même soin.
Purgez les logs d'exécution des automatisations et désactivez la journalisation complète des charges utiles là où vous n'en avez pas besoin.
Prévoyez un moyen de retrouver, d'exporter ou de supprimer les données d'un client dans le bot, le helpdesk et les logs, pour que les demandes individuelles ne nécessitent pas de recherche manuelle.
Confiez les cas sensibles ou à fort impact à un agent humain au lieu de laisser le bot décider.
N'oubliez pas que les chatbots relèvent aussi des règles de transparence distinctes de l'AI Act européen.

Ceci ne constitue pas un conseil juridique. Cette page décrit ce que disent le texte du RGPD et les orientations du CEPD, ainsi que des pratiques d'ingénierie courantes. Pour les décisions concernant vos propres traitements, adressez-vous à votre délégué à la protection des données ou à un avocat qualifié.

TascaLab construit des automatisations sur Zendesk, Freshdesk, Jira, Slack et des outils internes, avec des API, des webhooks, Make et n8n. Chaque projet comprend une documentation de base de ce qui a été construit, utile pour cartographier les flux de données, ainsi que 30 jours de support après le lancement. Vous pouvez commencer par un appel Health Check gratuit de 30 minutes.

Questions fréquentes

Quelle base légale du RGPD couvre un chatbot de support ?

Le RGPD n'en attribue aucune d'office. L'article 6(1) énumère six bases, dont le contrat et les intérêts légitimes, et c'est à vous de choisir et de consigner celle qui convient à chaque finalité. La Cour de justice de l'UE considère cette liste comme exhaustive.

Ai-je besoin d'un contrat de sous-traitance avec ma plateforme d'automatisation ?

L'article 28(3) exige que le traitement effectué par un sous-traitant soit régi par un contrat ou un autre acte juridique qui définit notamment l'objet, la durée, la nature et la finalité du traitement. Si un prestataire traite des données personnelles pour votre compte, vérifiez que de telles clauses sont en place.

Puis-je envoyer les messages des clients à un modèle d'IA ?

Les mêmes principes du RGPD s'appliquent que pour tout autre traitement : une base légale, la minimisation des données et un contrat de sous-traitance lorsque le fournisseur traite des données pour votre compte. Masquer les identifiants avant d'envoyer le texte est un moyen concret de réduire ce que vous partagez.

Combien de temps puis-je conserver les transcriptions de chat ?

Selon l'article 5(1)(e), les données personnelles doivent être conservées sous une forme permettant l'identification des personnes pendant une durée n'excédant pas celle nécessaire au regard des finalités. Le texte ne fixe pas de nombre de jours : c'est à vous de définir une durée de conservation pour chaque finalité.

Où Make stocke-t-il mes données ?

Make dispose de data centers aux États-Unis et dans l'UE. Vous en choisissez un lors de la création d'une organisation, et ce choix ne peut pas être modifié ensuite.

Vous voulez mettre cela en place pour votre équipe ?

Réservez un Health Check gratuit : un appel de 30 minutes et un rapport écrit avec 2 à 3 recommandations concrètes, un prix fixe et une estimation des coûts de fonctionnement. Sans argumentaire commercial.

Avis sur Upwork