Poradniki i zgodność

RODO a automatyzacja obsługi klienta: praktyczny przewodnik

Autor: Roman Zakharenko · Fakty sprawdzone 19 października 2026

RODO ma zastosowanie do automatyzacji wsparcia tak samo jak do każdego innego przetwarzania danych osobowych. Potrzebujesz podstawy prawnej z art. 6, przetwarzasz tylko to, czego potrzebujesz (art. 5 ust. 1 lit. c), i przechowujesz dane tylko tak długo, jak to konieczne (art. 5 ust. 1 lit. e), a dostawcy przetwarzający dane w Twoim imieniu potrzebują umowy zgodnej z art. 28. W chatbotach i przepływach helpdesku większość z tego sprowadza się do decyzji projektowych: jakie pola wysyłasz, dokąd trafiają i jak długo przechowywane są logi.

W skrócie

Art. 5 ust. 1 lit. c: dane osobowe muszą być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów przetwarzania.
Art. 6 ust. 1 wymienia sześć podstaw prawnych. Trybunał Sprawiedliwości UE traktuje tę listę jako wyczerpującą.
Art. 28 ust. 3 wymaga wiążącej umowy z każdym podmiotem przetwarzającym, która stanowi m.in., że działa on wyłącznie na Twoje udokumentowane polecenie.
EROD (EDPB) wskazuje, że sprawdzanie, czy podmiot przetwarzający zapewnia wystarczające gwarancje, to obowiązek ciągły, a nie jednorazowy.
Make pozwala wybrać centrum danych w USA lub UE przy tworzeniu organizacji. Później nie można tego zmienić.

Gdzie w automatyzacji wsparcia pojawiają się dane osobowe

Automatyzacja wsparcia styka się z danymi osobowymi w kilku miejscach, często w większej liczbie, niż zespół zdaje sobie sprawę. Ich zmapowanie to pierwszy praktyczny krok, bo w każdym z tych miejsc w grę wchodzą minimalizacja danych, okresy przechowywania i umowy z dostawcami.

Zapisy czatów i e-maili: imiona i nazwiska, adresy e-mail, numery telefonów, numery zamówień i wszystko inne, co wpisują klienci.
Pola zgłoszeń w helpdesku i załączniki, które automatyzacja odczytuje lub kopiuje do innego narzędzia.
Prompty i odpowiedzi wysyłane do modelu AI, jeśli Twój bot z niego korzysta.
Logi wykonań w Twojej platformie automatyzacji, które mogą przechowywać dane otrzymane przez każdy krok.
Powiadomienia publikowane na Slacku lub w innych narzędziach wewnętrznych.

Artykuły RODO najważniejsze dla bota wsparcia

Artykuły RODO i ich praktyczny wpływ na automatyzację wsparcia
Artykuł	Co mówi tekst	Co to oznacza dla bota wsparcia
Art. 5 ust. 1 lit. c: minimalizacja danych	Dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.	Przekazuj każdemu krokowi tylko potrzebne mu pola. Jednym ze sposobów jest usuwanie identyfikatorów, zanim tekst trafi do modelu AI.
Art. 5 ust. 1 lit. e: ograniczenie przechowywania	Dane są przechowywane w formie umożliwiającej identyfikację osób nie dłużej, niż jest to niezbędne do celów przetwarzania, z wyjątkami dla archiwizacji, badań i celów statystycznych przy zabezpieczeniach z art. 89 ust. 1.	Ustal okresy przechowywania logów czatów, eksportów zgłoszeń i logów wykonań automatyzacji.
Art. 6 ust. 1: zgodność przetwarzania z prawem	Przetwarzanie jest zgodne z prawem tylko wtedy, gdy ma zastosowanie co najmniej jedna z sześciu podstaw: zgoda, umowa, obowiązek prawny, żywotne interesy, zadanie realizowane w interesie publicznym lub prawnie uzasadnione interesy.	Zapisz, która podstawa obejmuje każdy cel, np. odpowiedź na prośbę w odróżnieniu od analizy zapisów rozmów.
Art. 28: podmioty przetwarzające	Korzystaj wyłącznie z podmiotów przetwarzających zapewniających wystarczające gwarancje, na podstawie wiążącej umowy, która określa przetwarzanie i zobowiązuje je do działania na Twoje udokumentowane polecenie.	Zawrzyj umowę z każdym dostawcą w łańcuchu: helpdeskiem, platformą automatyzacji, dostawcą AI i hostingiem.

Podstawa prawna: decyduj osobno dla każdego celu

Art. 6 ust. 1 wymienia sześć podstaw prawnych: zgodę, umowę, obowiązek prawny, żywotne interesy, zadanie realizowane w interesie publicznym i prawnie uzasadnione interesy. Trybunał Sprawiedliwości UE określił tę listę jako wyczerpującą i zamkniętą, więc przetwarzanie musi mieścić się w co najmniej jednej z nich.

W pracy wsparcia najczęściej pojawiają się dwie podstawy. Podstawa umowna obejmuje przetwarzanie niezbędne do wykonania umowy z daną osobą lub do podjęcia działań na jej żądanie przed zawarciem umowy. W sprawie C-621/22 Trybunał Sprawiedliwości stwierdził, że prawnie uzasadnione interesy wymagają spełnienia trzech łącznych warunków: administrator lub strona trzecia realizuje prawnie uzasadniony interes, przetwarzanie jest niezbędne do realizacji tego interesu, a interesy lub podstawowe prawa danej osoby nie mają wobec niego charakteru nadrzędnego. Organy publiczne nie mogą powoływać się na prawnie uzasadnione interesy w przypadku przetwarzania w ramach wykonywania swoich zadań.

W praktyce wypisz każdy cel osobno. Odpowiadanie na pytanie klienta, szkolenie pracowników na dawnych zapisach rozmów i tworzenie raportów to różne cele i każdy wymaga własnej podstawy.

Podmioty przetwarzające i umowy z art. 28

Zgodnie z art. 28 ust. 1 możesz korzystać wyłącznie z usług podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Art. 28 ust. 3 wymaga umowy lub innego instrumentu prawnego, który określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą. Musi on też stanowić, że podmiot przetwarzający działa wyłącznie na Twoje udokumentowane polecenie, także w odniesieniu do przekazywania danych osobowych do państwa trzeciego. Zgodnie z art. 28 ust. 4 podmiot przetwarzający, który korzysta z usług dalszego podmiotu przetwarzającego, musi umownie nałożyć na niego te same obowiązki w zakresie ochrony danych, a pierwotny podmiot przetwarzający ponosi wobec Ciebie pełną odpowiedzialność.

Wytyczne EROD 07/2020: weryfikacja gwarancji podmiotu przetwarzającego to obowiązek ciągły, w stosownych przypadkach z audytami i inspekcjami. Polecenia mogą być określone w załączniku do umowy lub w innej formie pisemnej, np. e-mailem, pod warunkiem że prowadzisz ich ewidencję. Ogólna lista dalszych podmiotów przetwarzających, która może być od czasu do czasu aktualizowana, nie wystarcza. Podmiot przetwarzający powinien aktywnie informować Cię o zmianach.
Opinia EROD 22/2024: obowiązek sprawdzenia, czy podmioty przetwarzające i dalsze podmioty przetwarzające zapewniają wystarczające gwarancje, obowiązuje niezależnie od poziomu ryzyka, choć szczegółowość weryfikacji może się różnić. Ostateczna decyzja o skorzystaniu z konkretnego dalszego podmiotu przetwarzającego i odpowiedzialność za nią pozostają po stronie administratora.

Typowy łańcuch wsparcia może obejmować helpdesk, platformę automatyzacji, dostawcę modelu AI i narzędzie do czatu. Zapisz, którzy dostawcy przetwarzają dane osobowe w Twoim imieniu, sprawdź warunki przetwarzania danych i listę dalszych podmiotów przetwarzających każdego z nich i przechowuj je w dokumentacji.

Hosting, lokalizacja danych i ustawienia przechowywania

To, gdzie działa Twoja automatyzacja, decyduje o tym, gdzie przechowywane są jej dane. Make oferuje dwie lokalizacje centrów danych: Stany Zjednoczone i Unię Europejską. Wybierasz jedną przy tworzeniu organizacji, nie można jej później zmienić i to ona decyduje, gdzie Twoje dane są przechowywane i przetwarzane. Jeśli hostujesz n8n samodzielnie, ustawienia wykonań określają, ile danych o wykonaniach jest przechowywanych. Udokumentowana wartość domyślna to maksymalnie 10 000 przechowywanych wykonań, a 0 oznacza brak limitu.

Ponieważ art. 28 ust. 3 obejmuje polecenia dotyczące przekazywania danych do państw trzecich, sprawdź w warunkach każdego dostawcy, gdzie przetwarzane są dane. Ustaw okresy przechowywania w każdym narzędziu, które przechowuje kopię danych, a nie tylko w helpdesku.

Praktyczne decyzje projektowe dla automatyzacji zgodnej z RODO

Przekazuj ID zgłoszeń i pola potrzebne danemu krokowi zamiast całych rekordów klientów.
Maskuj adresy e-mail, numery telefonów i dane płatnicze, zanim tekst trafi do modelu AI. Tekst po usunięciu identyfikatorów nadal może zawierać dane osobowe, więc traktuj go z taką samą ostrożnością.
Przycinaj logi wykonań automatyzacji i wyłącz logowanie pełnych payloadów tam, gdzie go nie potrzebujesz.
Zaprojektuj sposób wyszukania, wyeksportowania lub usunięcia danych jednego klienta w bocie, helpdesku i logach, aby indywidualne żądania nie wymagały ręcznego przeszukiwania.
Kieruj sprawy wrażliwe lub o dużym wpływie do konsultanta, zamiast pozwalać botowi decydować.
Pamiętaj, że chatboty podlegają też odrębnym przepisom AI Act dotyczącym przejrzystości.

To nie jest porada prawna. Ta strona opisuje, co mówią tekst RODO i wytyczne EROD, oraz powszechne praktyki inżynierskie. Przy decyzjach dotyczących Twojego przetwarzania porozmawiaj ze swoim inspektorem ochrony danych lub wykwalifikowanym prawnikiem.

TascaLab buduje automatyzacje na Zendesk, Freshdesk, Jira, Slacku i narzędziach wewnętrznych, wykorzystując API, webhooki, Make i n8n. Każdy projekt obejmuje podstawową dokumentację tego, co zostało zbudowane – przydaje się ona przy mapowaniu przepływów danych – oraz 30 dni wsparcia po uruchomieniu. Możesz zacząć od bezpłatnej 30-minutowej rozmowy Health Check.

Najczęściej zadawane pytania

Która podstawa prawna z RODO obejmuje chatbota wsparcia?

RODO nie przypisuje jednej. Art. 6 ust. 1 wymienia sześć podstaw, w tym umowę i prawnie uzasadnione interesy, a Ty wybierasz i dokumentujesz tę, która pasuje do każdego celu. Trybunał Sprawiedliwości UE traktuje tę listę jako wyczerpującą.

Czy potrzebuję umowy powierzenia przetwarzania danych z platformą automatyzacji?

Art. 28 ust. 3 wymaga, aby przetwarzanie przez podmiot przetwarzający odbywało się na podstawie umowy lub innego instrumentu prawnego, który określa m.in. przedmiot, czas trwania, charakter i cel przetwarzania. Jeśli dostawca przetwarza dane osobowe w Twoim imieniu, sprawdź, czy takie warunki obowiązują.

Czy mogę wysyłać wiadomości klientów do modelu AI?

Obowiązują te same zasady RODO co przy każdym innym przetwarzaniu: podstawa prawna, minimalizacja danych i umowa z podmiotem przetwarzającym, jeśli dostawca przetwarza dane w Twoim imieniu. Usuwanie identyfikatorów przed wysłaniem tekstu to jeden z praktycznych sposobów ograniczenia tego, co udostępniasz.

Jak długo mogę przechowywać zapisy czatów?

Art. 5 ust. 1 lit. e mówi, że dane osobowe powinny być przechowywane w formie umożliwiającej identyfikację osób nie dłużej, niż jest to niezbędne do celów przetwarzania. Tekst nie określa stałej liczby dni, więc okres przechowywania ustalasz dla każdego celu.

Gdzie Make przechowuje moje dane?

Make ma centra danych w USA i UE. Wybierasz jedno przy tworzeniu organizacji i nie można go później zmienić.

Chcesz takie rozwiązanie dla swojego zespołu?

Umów bezpłatny Health Check: 30-minutowa rozmowa i pisemny raport z 2–3 konkretnymi rekomendacjami, stałą ceną i szacowanymi kosztami bieżącymi. Bez nachalnej sprzedaży.

Opinie na Upwork