GDPR och automatisering av kundtjänst: en praktisk guide

En supportautomatisering berör personuppgifter på flera ställen, ofta fler än teamet inser. Att kartlägga dem är det första praktiska steget, eftersom varje ställe är en punkt där uppgiftsminimering, lagringstid och leverantörsavtal spelar in.

• Transkript från chatt och mejl: namn, mejladresser, telefonnummer, ordernummer och allt annat som kunderna skriver.
• Ärendefält och bilagor i helpdesken som en automatisering läser eller kopierar till ett annat verktyg.
• Prompter och svar som skickas till en AI-modell, om din bot använder en sådan.
• Körloggar i din automatiseringsplattform, som kan lagra de data som varje steg tog emot.
• Aviseringar som postas i Slack eller andra interna verktyg.

Artikel 6.1 räknar upp sex rättsliga grunder: samtycke, avtal, rättslig förpliktelse, grundläggande intressen, uppgift av allmänt intresse och berättigat intresse. EU-domstolen har beskrivit listan som uttömmande och begränsande, så behandlingen måste passa in under minst en av dem.

Två grunder förekommer oftast i supportarbete. Avtalsgrunden omfattar behandling som är nödvändig för att fullgöra ett avtal med personen, eller för att vidta åtgärder som personen begärt innan ett avtal ingås. I mål C-621/22 slog EU-domstolen fast att berättigat intresse kräver tre kumulativa villkor: den personuppgiftsansvarige eller en tredje part har ett berättigat intresse, behandlingen är nödvändig för det intresset, och personens intressen eller grundläggande rättigheter väger inte tyngre. Offentliga myndigheter kan inte åberopa berättigat intresse för behandling som sker när de utför sina uppgifter.

I praktiken bör du lista varje ändamål separat. Att besvara kundens fråga, utbilda personal med hjälp av gamla transkript och ta fram rapporter är olika ändamål, och vart och ett behöver en egen grund.

Enligt artikel 28.1 får du bara anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder. Artikel 28.3 kräver ett avtal eller en annan rättsakt som anger föremålet för behandlingen, varaktigheten, behandlingens art och ändamål, typen av personuppgifter och kategorierna av registrerade. Det ska också framgå att biträdet bara agerar enligt dina dokumenterade instruktioner, även när det gäller överföringar av personuppgifter till tredjeland. Enligt artikel 28.4 måste ett biträde som anlitar ett underbiträde föra över samma dataskyddsskyldigheter genom avtal, och det ursprungliga biträdet förblir fullt ansvarigt gentemot dig.

• EDPB:s riktlinjer 07/2020: att kontrollera ett biträdes garantier är en löpande skyldighet, med revisioner och inspektioner där det är lämpligt. Instruktioner kan anges i en bilaga till avtalet eller i annan skriftlig form, till exempel mejl, så länge du sparar dokumentationen. En allmän lista över underbiträden som kan uppdateras då och då räcker inte. Biträdet bör aktivt informera dig om ändringar.
• EDPB:s yttrande 22/2024: skyldigheten att kontrollera att biträden och underbiträden ger tillräckliga garantier gäller oavsett risknivå, även om hur ingående kontrollerna är kan variera. Det slutliga beslutet om, och ansvaret för, att anlita ett visst underbiträde ligger kvar hos den personuppgiftsansvarige.

En typisk supportkedja kan omfatta en helpdesk, en automatiseringsplattform, en leverantör av AI-modeller och ett chattverktyg. Skriv ned vilka leverantörer som behandlar personuppgifter för din räkning, kontrollera var och ens villkor för personuppgiftsbehandling och lista över underbiträden, och spara dem.

Var din automatisering körs avgör var dess data lagras. Make erbjuder två platser för datacenter, USA och Europeiska unionen. Du väljer en när du skapar en organisation, den kan inte ändras senare, och den avgör var dina data lagras och behandlas. Om du hostar n8n själv styr dess inställningar för executions hur mycket körningsdata som sparas. Det dokumenterade standardvärdet är högst 10 000 sparade executions, och 0 betyder ingen gräns.

Eftersom artikel 28.3 omfattar instruktioner om överföringar till tredjeland bör du kontrollera i varje leverantörs villkor var uppgifterna behandlas. Ställ in lagringstid i varje verktyg som sparar en kopia av uppgifterna, inte bara i din helpdesk.

• Skicka ärende-ID:n och de fält som ett steg behöver i stället för hela kundposter.
• Maskera mejladresser, telefonnummer och betalningsuppgifter innan text skickas till en AI-modell. Maskerad text kan fortfarande innehålla personuppgifter, så hantera den med samma omsorg.
• Rensa automatiseringens körloggar och stäng av loggning av hela payloads där du inte behöver den.
• Bygg ett sätt att hitta, exportera eller radera en enskild kunds uppgifter i boten, helpdesken och loggarna, så att enskilda förfrågningar inte kräver manuell sökning.
• Skicka känsliga ärenden eller ärenden med stor påverkan till en mänsklig agent i stället för att låta boten avgöra.
• Kom ihåg att chattbottar även omfattas av AI-förordningens separata transparensregler.

TascaLab bygger automatiseringar ovanpå Zendesk, Freshdesk, Jira, Slack och interna verktyg, med API:er, webhooks, Make och n8n. Varje projekt inkluderar grundläggande dokumentation av det som byggts, vilket hjälper när du kartlägger dataflöden, plus 30 dagars support efter lansering. Du kan börja med ett kostnadsfritt Health Check-samtal på 30 minuter.