AVG en klantenservice-automatisering: een praktische gids

Een supportautomatisering komt op meerdere punten in aanraking met persoonsgegevens, vaak meer dan het team beseft. Die punten in kaart brengen is de eerste praktische stap, want op elk ervan spelen dataminimalisatie, bewaartermijnen en leverancierscontracten een rol.

• Chat- en e-mailtranscripten: namen, e-mailadressen, telefoonnummers, ordernummers en alles wat klanten verder typen.
• Ticketvelden en bijlagen in de helpdesk die een automatisering leest of naar een andere tool kopieert.
• Prompts en antwoorden die naar een AI-model worden gestuurd, als je bot er een gebruikt.
• Uitvoeringslogs in je automatiseringsplatform, die de gegevens kunnen opslaan die elke stap heeft ontvangen.
• Meldingen die in Slack of andere interne tools worden geplaatst.

Artikel 6(1) noemt zes grondslagen: toestemming, overeenkomst, wettelijke verplichting, vitaal belang, taak van algemeen belang en gerechtvaardigd belang. Het Hof van Justitie van de EU heeft deze lijst uitputtend en beperkend genoemd, dus een verwerking moet onder ten minste één ervan vallen.

In supportwerk komen twee grondslagen het vaakst voor. De grondslag overeenkomst dekt verwerking die nodig is om een overeenkomst met de persoon uit te voeren, of om op diens verzoek stappen te zetten voordat een overeenkomst wordt gesloten. In zaak C-621/22 stelde het Hof van Justitie dat gerechtvaardigd belang drie cumulatieve voorwaarden kent: de verwerkingsverantwoordelijke of een derde behartigt een gerechtvaardigd belang, de verwerking is noodzakelijk voor dat belang, en de belangen of grondrechten van de persoon wegen niet zwaarder. Overheidsinstanties kunnen zich niet op gerechtvaardigd belang beroepen voor verwerking bij de uitvoering van hun taken.

Zet in de praktijk elk doel apart op een rij. De vraag van de klant beantwoorden, medewerkers trainen met oude transcripten en rapporten maken zijn verschillende doelen, en elk doel heeft een eigen grondslag nodig.

Op grond van artikel 28(1) mag je alleen verwerkers inschakelen die voldoende garanties bieden voor passende technische en organisatorische maatregelen. Artikel 28(3) vereist een overeenkomst of andere rechtshandeling waarin het onderwerp, de duur, de aard en het doel van de verwerking, het soort persoonsgegevens en de categorieën betrokkenen zijn vastgelegd. Daarin moet ook staan dat de verwerker alleen handelt op basis van jouw gedocumenteerde instructies, ook wat betreft doorgiften van persoonsgegevens naar een derde land. Op grond van artikel 28(4) moet een verwerker die een subverwerker inschakelt dezelfde gegevensbeschermingsverplichtingen contractueel aan die subverwerker opleggen, en blijft de oorspronkelijke verwerker volledig aansprakelijk tegenover jou.

• EDPB-richtsnoeren 07/2020: het controleren van de garanties van een verwerker is een doorlopende verplichting, met audits en inspecties waar dat passend is. Instructies kunnen in een bijlage bij de overeenkomst staan of in een andere schriftelijke vorm, zoals e-mail, zolang je dat vastlegt. Een algemene lijst van subverwerkers die af en toe kan worden bijgewerkt, is niet voldoende. De verwerker moet je actief op de hoogte brengen van wijzigingen.
• EDPB-advies 22/2024: de plicht om te controleren of verwerkers en subverwerkers voldoende garanties bieden, geldt ongeacht het risiconiveau, al kan de diepgang van de controles verschillen. De uiteindelijke beslissing over, en verantwoordelijkheid voor, het inschakelen van een specifieke subverwerker blijft bij de verwerkingsverantwoordelijke.

Een typische supportketen kan bestaan uit een helpdesk, een automatiseringsplatform, een aanbieder van AI-modellen en een chattool. Leg vast welke leveranciers namens jou persoonsgegevens verwerken, controleer van elk de voorwaarden voor gegevensverwerking en de lijst met subverwerkers, en bewaar die in je administratie.

Waar je automatisering draait, bepaalt waar de gegevens worden opgeslagen. Make biedt twee datacenterlocaties: de Verenigde Staten en de Europese Unie. Je kiest er een wanneer je een organisatie aanmaakt, de keuze kan later niet worden gewijzigd, en ze bepaalt waar je gegevens worden opgeslagen en verwerkt. Host je n8n zelf, dan bepalen de instellingen voor executions hoeveel uitvoeringsdata wordt bewaard. De gedocumenteerde standaard is maximaal 10.000 opgeslagen executions, en 0 betekent geen limiet.

Omdat artikel 28(3) ook instructies over doorgiften naar derde landen omvat, controleer je in de voorwaarden van elke leverancier waar gegevens worden verwerkt. Stel bewaartermijnen in in elke tool die een kopie van de gegevens bewaart, niet alleen in je helpdesk.

• Geef ticket-ID's en de velden die een stap nodig heeft door in plaats van volledige klantrecords.
• Maskeer e-mailadressen, telefoonnummers en betaalgegevens voordat tekst naar een AI-model gaat. Geredigeerde tekst kan nog steeds persoonsgegevens bevatten, dus ga er met dezelfde zorg mee om.
• Schoon uitvoeringslogs van automatiseringen op en zet het volledig loggen van payloads uit waar je dat niet nodig hebt.
• Ontwerp een manier om de gegevens van één klant in de bot, de helpdesk en de logs te vinden, te exporteren of te verwijderen, zodat individuele verzoeken geen handmatige zoektocht vereisen.
• Stuur gevoelige zaken of zaken met veel impact naar een menselijke agent in plaats van de bot te laten beslissen.
• Vergeet niet dat chatbots ook onder de aparte transparantieregels van de Europese AI-verordening vallen.

TascaLab bouwt automatiseringen bovenop Zendesk, Freshdesk, Jira, Slack en interne tools, met API's, webhooks, Make en n8n. Elk project omvat basisdocumentatie van wat er is gebouwd, wat helpt bij het in kaart brengen van gegevensstromen, plus 30 dagen ondersteuning na livegang. Je kunt beginnen met een gratis Health Check-gesprek van 30 minuten.