Gjelder personvernreglene for en chat på nettsiden?
Ja. Når en kunde skriver navnet og telefonnummeret sitt i en chat, er det personopplysninger. Det samme gjelder ofte det de skriver om hva saken gjelder. Da gjelder personvernforordningen, som ofte kalles GDPR, og den norske personopplysningsloven. Det er de samme reglene som gjelder for et kontaktskjema eller en e-post.
Dette er ikke juridisk rådgivning, men en praktisk oversikt. Datatilsynet har god veiledning for små bedrifter, og der finner du også mer om reglene.
Hvem er ansvarlig for opplysningene?
Som regel bedriften som har chatten på nettsiden. Du bestemmer hvorfor opplysningene samles inn og hva de brukes til, og da er du behandlingsansvarlig. Leverandøren som drifter chatten for deg, er vanligvis databehandler. Den behandler opplysningene på dine vegne.
Når noen behandler personopplysninger på dine vegne, skal det være en databehandleravtale mellom dere. Den beskriver hva leverandøren får gjøre med opplysningene, og hvordan de skal beskyttes. Spør leverandøren om den før du tar chatten i bruk.
Hva bør chatten samle inn?
Så lite som mulig. Et grunnprinsipp i personvernreglene er dataminimering: Du skal ikke samle inn mer enn du trenger for formålet. For en første henvendelse holder det ofte med navn, telefonnummer og hva det gjelder. Det er nok til at du kan ringe tilbake.
Unngå å be om fødselsnummer, adresse, bilder eller detaljer kunden ikke trenger å gi før dere har snakket sammen. Trenger du mer senere, kan du be om det da.
Hva med sensitive opplysninger?
Noen typer opplysninger er særlig beskyttet, for eksempel helseopplysninger. Driver du en bedrift der kundene kan finne på å skrive om helse eller andre sensitive forhold, bør du tenke nøye gjennom om en chat er riktig kanal for første kontakt. Det gjelder særlig klinikker, helsetjenester og lignende.
For håndverkere og servicebedrifter er dette som regel ikke et stort problem. Men det kan være lurt å la chatten si at kunden ikke trenger å oppgi mer enn navn, nummer og en kort beskrivelse.
Hvor lenge skal opplysningene lagres?
Ikke lenger enn du trenger dem. Det gjelder både i chatløsningen og i innboksen din. Spør leverandøren om samtalene lagres, hvor de lagres, og hvor lenge. Bestem deg også for hvor lenge du selv oppbevarer henvendelsene, og rydd jevnlig.
Er en henvendelse fulgt opp og blitt til et oppdrag, gjelder ofte andre regler, for eksempel bokføringsregler for fakturaer. Men henvendelser som aldri ble noe, trenger du sjelden å ta vare på lenge.
Hva må stå i personvernerklæringen?
Personvernerklæringen på nettsiden skal forklare at chatten finnes, hva den samler inn, hvorfor, hvem som behandler opplysningene, hvor lenge de lagres og hvilke rettigheter kunden har. Bruker chatten en leverandør utenfor EØS, eller AI-tjenester som behandler data andre steder, bør det også stå.
Skriv det enkelt. En personvernerklæring som ingen forstår, hjelper ingen.
Hva med informasjonskapsler?
Noen chatløsninger lagrer informasjon i nettleseren til den besøkende, for eksempel for å huske en pågående samtale. Spør leverandøren hva løsningen lagrer. Informasjonskapsler og lignende teknologi som ikke er strengt nødvendig, kan kreve samtykke. Er det bare det som trengs for at chatten skal virke, er reglene annerledes. Er du usikker, se veiledningen fra Datatilsynet og Nkom.
Hvilke rettigheter har kunden?
Kunden har rett til innsyn i opplysningene du har om dem, til å få feil rettet, og i mange tilfeller til å få opplysningene slettet. Du må kunne svare på slike forespørsler. Det er lettere når du vet hvor opplysningene ligger, og når du ikke har samlet inn mer enn nødvendig.
Hvor havner henvendelsene?
Tenk gjennom hele veien opplysningene går. Fra chatten på nettsiden, via leverandørens systemer, til innboksen din, og kanskje videre til et kundesystem eller en kollega. Hvert ledd er et sted opplysningene kan lagres eller lekke. Jo enklere veien er, jo lettere er den å ha oversikt over.
Sørg for at henvendelsene havner i en innboks som bare de som trenger det, har tilgang til. Videresender du dem, gjør det bevisst.
Hva bør du spørre leverandøren om?
Før du tar i bruk en chat, er det lurt å få svar på dette:
- Hvilke opplysninger samles inn, og hvor havner de?
- Lagres samtalene, og i så fall hvor og hvor lenge?
- Hvilke underleverandører brukes, og hvor behandles dataene?
- Brukes samtalene til å trene AI-modeller?
- Kan dere inngå databehandleravtale?
- Hva skjer med opplysningene hvis vi avslutter avtalen?
Gode leverandører svarer greit på dette. Får du vage svar, er det et faresignal.
Hva hvis noe går galt?
Kommer personopplysninger på avveie, for eksempel fordi en innboks blir hacket eller en henvendelse sendes til feil person, kan det være et brudd på personopplysningssikkerheten. Da kan du ha plikt til å melde fra til Datatilsynet innen kort tid, og i noen tilfeller til dem det gjelder. Sjekk Datatilsynets veiledning hvis det skjer.
Det beste er å forebygge. Bruk sterke passord og tofaktorinnlogging på e-posten der henvendelsene kommer inn. Gi bare tilgang til dem som trenger det. Og slett henvendelser du ikke lenger trenger.
Hva med KI-forordningen?
I tillegg til personvernreglene har EUs KI-forordning regler om at det skal gå fram når kunden snakker med en AI. Det handler om åpenhet, ikke om personopplysninger. Les rådet må chatten si at den er en AI?
Hvordan er Kundefangst satt opp?
Chatten fra Kundefangst sier alltid at den er en AI, og spør om navn, telefonnummer og hva det gjelder når kunden vil ha hjelp. Henvendelsen kommer til deg på e-post. Hvordan Kundefangst behandler opplysninger, står i personvernerklæringen vår, og flere svar finner du under spørsmål og svar.