GDPR e automazione dell'assistenza clienti: una guida pratica

Un'automazione dell'assistenza tocca dati personali in diversi punti, spesso più di quanti il team immagini. Mapparli è il primo passo pratico, perché ognuno è un punto in cui entrano in gioco minimizzazione dei dati, conservazione e contratti con i fornitori.

• Trascrizioni di chat ed email: nomi, email, numeri di telefono, numeri d'ordine e qualsiasi altra cosa scrivano i clienti.
• Campi e allegati dei ticket dell'helpdesk che un'automazione legge o copia in un altro strumento.
• Prompt e risposte inviati a un modello di IA, se il tuo bot ne usa uno.
• Log di esecuzione nella tua piattaforma di automazione, che possono memorizzare i dati ricevuti da ogni passaggio.
• Notifiche pubblicate su Slack o su altri strumenti interni.

L'articolo 6(1) elenca sei basi giuridiche: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico e legittimo interesse. La Corte di giustizia dell'UE ha descritto questo elenco come esaustivo e tassativo, quindi il trattamento deve rientrare in almeno una di esse.

Nel lavoro di assistenza ricorrono più spesso due basi. La base contrattuale copre il trattamento necessario all'esecuzione di un contratto con la persona o all'esecuzione di misure precontrattuali adottate su sua richiesta. Nella causa C-621/22, la Corte di giustizia ha affermato che il legittimo interesse richiede tre condizioni cumulative: il titolare del trattamento o un terzo persegue un interesse legittimo, il trattamento è necessario per tale interesse e gli interessi o i diritti fondamentali della persona non prevalgono su di esso. Le autorità pubbliche non possono basarsi sul legittimo interesse per i trattamenti effettuati nell'esecuzione dei loro compiti.

In pratica, elenca ogni finalità separatamente. Rispondere alla domanda del cliente, formare il personale sulle trascrizioni passate e creare report sono finalità diverse, e ognuna ha bisogno della propria base.

In base all'articolo 28(1), puoi ricorrere solo a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. L'articolo 28(3) richiede un contratto o altro atto giuridico che stabilisca la materia disciplinata, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati. Deve anche prevedere che il responsabile agisca solo su tue istruzioni documentate, anche per quanto riguarda i trasferimenti di dati personali verso un paese terzo. In base all'articolo 28(4), un responsabile che ricorre a un sub-responsabile deve trasferirgli per contratto gli stessi obblighi in materia di protezione dei dati, e il responsabile iniziale resta pienamente responsabile nei tuoi confronti.

• Linee guida EDPB 07/2020: verificare le garanzie di un responsabile del trattamento è un obbligo continuativo, con audit e ispezioni ove opportuno. Le istruzioni possono essere riportate in un allegato al contratto o in altra forma scritta, come un'email, purché tu ne conservi traccia. Un elenco generico di sub-responsabili che può essere aggiornato di tanto in tanto non basta. Il responsabile dovrebbe informarti attivamente delle modifiche.
• Parere EDPB 22/2024: l'obbligo di verificare che responsabili e sub-responsabili offrano garanzie sufficienti si applica qualunque sia il livello di rischio, anche se la profondità delle verifiche può variare. La decisione finale sul ricorso a uno specifico sub-responsabile, e la relativa responsabilità, restano in capo al titolare del trattamento.

Una tipica catena di assistenza può includere un helpdesk, una piattaforma di automazione, un provider di modelli di IA e uno strumento di chat. Annota quali fornitori trattano dati personali per tuo conto, controlla i termini sul trattamento dei dati e l'elenco dei sub-responsabili di ciascuno e conservali agli atti.

Il luogo in cui gira la tua automazione decide dove vengono archiviati i suoi dati. Make offre due ubicazioni di data center, gli Stati Uniti e l'Unione europea. Ne scegli una quando crei un'organizzazione, non può essere cambiata in seguito e determina dove vengono archiviati e trattati i tuoi dati. Se installi n8n in self-hosting, le sue impostazioni di esecuzione controllano quanti dati di esecuzione vengono conservati. Il valore predefinito documentato è un massimo di 10.000 esecuzioni memorizzate, e 0 significa nessun limite.

Poiché l'articolo 28(3) copre le istruzioni sui trasferimenti verso paesi terzi, verifica nei termini di ogni fornitore dove vengono trattati i dati. Imposta la conservazione in ogni strumento che mantiene una copia dei dati, non solo nel tuo helpdesk.

• Passa gli ID dei ticket e i campi che servono a un passaggio invece di intere schede cliente.
• Maschera email, numeri di telefono e dati di pagamento prima che il testo arrivi a un modello di IA. Il testo oscurato può comunque contenere dati personali, quindi trattalo con la stessa cura.
• Sfoltisci i log di esecuzione delle automazioni e disattiva la registrazione completa dei payload dove non ti serve.
• Prevedi un modo per trovare, esportare o cancellare i dati di un singolo cliente nel bot, nell'helpdesk e nei log, così le singole richieste non richiedono una ricerca manuale.
• Invia i casi delicati o ad alto impatto a un agente umano invece di lasciar decidere il bot.
• Ricorda che i chatbot rientrano anche nelle norme di trasparenza separate dell'AI Act dell'UE.

TascaLab realizza automazioni su Zendesk, Freshdesk, Jira, Slack e strumenti interni, usando API, webhook, Make e n8n. Ogni progetto include una documentazione di base di ciò che è stato realizzato, utile quando mappi i flussi di dati, più 30 giorni di supporto dopo il lancio. Puoi iniziare con una call di Health Check gratuita di 30 minuti.