מי צריך לדאוג ל-GDPR

GDPR חל אם אחד משלושה דברים נכון לגבי העסק שלכם:

  • אתם משרתים לקוחות הממוקמים באיחוד האירופי/EEA, אפילו מדי פעם
  • יש לכם עובדים או קבלנים המבוססים באיחוד האירופי/EEA
  • אתם פועלים מהאיחוד האירופי/EEA

אם אחד מאלה חל, GDPR חל, וצ'אטבוט ה-AI שלכם כלול בכך. סעיף 3 של התקנה - סעיף "התחום הטריטוריאלי" - רחב יותר ממה שרוב העסקים מחוץ לאיחוד האירופי מבינים. מכירת מוצר בודד ללקוח בגרמניה, קבלת הזמנה מיחיד בצרפת, העסקת עובד מרחוק בספרד - כל אלה יכולים להכניס את העסק שלכם לתחום התקנה.

תפיסה מוטעית נפוצה: "אנחנו לא מבוססים באיחוד האירופי, אז GDPR לא חל." בדרך כלל לא נכון. התקנה עוקבת אחרי מיקום הלקוח, לא מיקום העסק. חברות ישראליות, חברות אמריקאיות, חברות בריטיות לאחר הברקזיט - כולן כפופות ל-GDPR כאשר הן מטפלות בנתונים אישיים של תושבי האיחוד האירופי.

תפיסה מוטעית שנייה: "זה רק לחברות גדולות." גם זה בדרך כלל לא נכון. הסף הוא עיבוד נתונים אישיים, לא גודל החברה. ייעוץ של שני אנשים שמקבל פגישה מלקוח פוטנציאלי בברלין נמצא בתחום.

מאמר זה הוא הנחיה כללית לבעלי עסקים, לא ייעוץ משפטי. למצב הספציפי שלכם, ובמיוחד לכל עניין אכיפה, התייעצו עם עורך דין מוסמך בתחום השיפוט שלכם.

למה צ'אטבוטים מבוססי AI במיוחד כלולים בתחום

כל מה שלקוח מקליד - שם, מספר טלפון, שאלה בריאותית - הוא נתון אישי, וצ'אטבוט מעבד אותו בשלושה מקומות: השיחה, הלוגים השמורים וכל מה שמועבר ל-CRM או לדוא"ל שלכם.

תוכן השיחה הוא נתון אישי. כאשר לקוח מקליד לצ'אטבוט שלכם - שם, דוא"ל, טלפון, דאגה רפואית, כוונת הזמנה - זהו נתון אישי לפי הגדרת GDPR, ללא קשר אם השיחה נשמרת בכוונה או כתוצר לוואי של רישום.

צ'אטבוטים בדרך כלל מעבדים נתונים אישיים בשלושה מקומות בו זמנית: השיחה עצמה (קלט מהלקוח), לוגי השיחה (נשמרים בתשתית הספק), וכל נתון לקוח או ליד שמועבר ל-CRM או לדוא"ל שלכם לאחר מכן. כל אחד מהם הוא אירוע עיבוד ש-GDPR קובע כללים לגביו.

זה הופך את הצ'אטבוטים לאחד הפריטים שדורשים תשומת לב גבוהה יותר בביקורת GDPR. הם פונים ללקוחות, הם לוכדים נתונים מזהים, והם לעיתים קרובות פועלים על תשתית צד שלישי שעשויה לחצות גבולות. אף אחד מאלה לא פוסל - צ'אטבוטים יכולים להיות תואמי GDPR - אבל עבודת התאימות היא אמיתית, לא ניירת.

4 הדרישות שבאמת חשובות

ארבע דרישות מכסות את רוב העבודה: בסיס חוקי לכל סוג עיבוד, לדעת היכן הנתונים נשמרים ומעובדים, טיפול בבקשות זכויות הלקוחות, והסכם עיבוד נתונים חתום עם הספק.

רבים ממאמרי GDPR, ארבע דרישות מעשיות שמשפיעות ביותר על פריסת צ'אטבוטים.

בסיס חוקי לעיבוד

לפי GDPR, כל עיבוד של נתונים אישיים צריך "בסיס חוקי" - סיבה חוקית שמותר לכם לעשות זאת. עבור צ'אטבוטים, שני בסיסים נפוצים: הסכמה (הלקוח מסכים במפורש) ואינטרס לגיטימי (יש לכם סיבה עסקית לגיטימית שאינה גוברת על זכויות הלקוח).

לשאלות שירות לקוחות שגרתיות - "מתי אתם פתוחים?" - אינטרס לגיטימי הוא בדרך כלל הבסיס הנכון, בדומה לאופן שבו שיחות טלפון פועלות. הלקוח יזם קשר, מצפה לתגובה, ועיבוד סביר מתבצע.

ללכידת לידים, בניית פרופיל, מעקב שיווקי, או כל שימוש בנתוני השיחה מעבר למענה על השאלה המיידית, בדרך כלל תצטרכו הסכמה. זה אומר הודעת פרטיות ברורה כאשר הצ'אט נפתח, הסבר בשפה פשוטה על מה שקורה עם הנתונים, ובחירה אמיתית - לא תיבה מסומנת מראש.

הטעות להימנע ממנה: להניח שבסיס אחד מכסה את כל עיבוד הצ'אטבוט. לעיתים קרובות זה לא כך. חלק מהעיבוד הוא אינטרס לגיטימי, חלק הוא הסכמה. תעדו מה הוא מה.

מיקום הנתונים

איפה השיחה נשמרת, איפה היא מעובדת, ואיפה היא חוצה גבולות כל אלה חשובים לפי GDPR.

ההגדרה הפשוטה ביותר: נתוני לקוחות תושבי האיחוד האירופי נשארים בתשתית האיחוד האירופי, מעובדים על ידי שירותים מבוססי האיחוד האירופי. אין העברות בינלאומיות, פחות שאלות תאימות.

ההגדרה הקשה יותר: הנתונים חוצים גבולות - לספקי AI שאינם מהאיחוד האירופי, לפלטפורמות שאינן מהאיחוד האירופי, לאזורי ענן שאינם מהאיחוד האירופי. העברות בינלאומיות מהאיחוד האירופי דורשות אמצעי הגנה ספציפיים: סעיפים חוזיים סטנדרטיים (SCC), כללים תאגידיים מחייבים, או אחד ממנגנונים אחרים. ללא אחד מהם, ההעברה אינה חוקית מבחינה טכנית.

לפריסות צ'אטבוטים, השאלה המעשית היא: האם תשתית הספק שלכם נשארת באיחוד האירופי עבור לקוחות האיחוד האירופי, או שהיא מנתבת לאזורים אחרים? אם היא מנתבת, מהו אמצעי ההגנה? "אנחנו משתמשים בתשתית ענן" אינו אמצעי הגנה. SCC + מגורים באיחוד האירופי לאחסון + הערכת העברה מתועדת הם כן.

נושא סמוך: חלק מקטגוריות הנתונים - בריאות, ביומטרי, פוליטי - נתקלות בכללים מחמירים יותר. אם הצ'אטבוט שלכם מטפל באחד מאלה, מגורים באיחוד האירופי הם ברירת המחדל הבטוחה יותר.

זכויות הלקוח

GDPR מעניק לתושבי האיחוד האירופי זכויות ספציפיות שהם יכולים לממש מול העסק שלכם. עבור צ'אטבוטים, ארבע חשובות ביותר.

  • זכות גישה. לקוח יכול לשאול "איזה נתונים יש לכם עליי?" ובדרך כלל עליכם לענות תוך 30 יום. עבור נתוני צ'אטבוט, זה אומר להיות מסוגלים לאחזר את כל השיחות, נתוני הליד, וכל פרופיל נגזר המקושר ללקוח זה.
  • זכות למחיקה. לעיתים קרובות נקראת "הזכות להישכח." לקוח יכול לבקש מכם למחוק את הנתונים שלו, ובדרך כלל עליכם לציית (עם כמה חריגים לשמירת רשומות חוקית). עבור צ'אטבוטים, זה אומר יכולת מחיקה אמיתית - לא רק להסתיר את השיחה בלוח הבקרה שלכם.
  • זכות לניידות. לקוח יכול לבקש עותק של הנתונים שלו בפורמט קריא למכונה. עבור צ'אטבוטים, זה בדרך כלל אומר ייצוא JSON או CSV של השיחות שלהם.
  • זכות לתיקון. לקוח יכול לתקן נתונים לא מדויקים. פחות נפוץ עבור צ'אטבוטים אבל קיים.

ההשלכה הטכנית: הפלטפורמה שלכם צריכה נקודות קצה עובדות לכל הארבע. רוב פלטפורמות הצ'אטבוטים המודרניות תומכות בכך. ישנות יותר או פחות קפדניות עשויות שלא. שאלו לפני שאתם חותמים.

הסכם עיבוד נתונים חתום עם הספק

הסכם עיבוד נתונים הוא החוזה ביניכם (הבקר של הנתונים האישיים) לבין הספק שלכם (המעבד). הוא מגדיר איזה נתונים מעובדים, איך, איפה, עם איזה אמצעי הגנה, ומה קורה אם משהו משתבש.

הסכם עיבוד נתונים אמיתי מכסה: היקף העיבוד, אמצעי אבטחה, גילוי תת-מעבדים, לוחות זמנים להודעת הפרה, טיפול בזכויות לקוחות, מחיקת נתונים בסיום החוזה, וזכויות ביקורת.

ספק שאין לו תבנית הסכם עיבוד נתונים מוכנה אינו מוכר לשווקים באיחוד האירופי ברצינות. ספק שיש לו אחד אבל לא ייתן לכם לראות אותו לפני החתימה הוא גם דגל אדום. החוזה צריך להיות זמין לעיון, ניתן למשא ומתן על סעיפים מרכזיים, וניתן לחתימה בצורה סטנדרטית.

אם אתם עסק שמשרת את האיחוד האירופי והספק שלכם לצ'אטבוטים לא יחתום על הסכם עיבוד נתונים - זהו שובר העסקה. אין יוצאים מן הכלל, אין פתרונות עוקפים.

בקר מול מעבד: לדעת את התפקיד שלכם

אתם הבקר ונושאים ברוב החובות; ספק הצ'אטבוט הוא המעבד ויכול לטפל בנתונים רק כפי שהחוזה והסכם עיבוד הנתונים שלכם קובעים. אף צד לא יכול להעביר את חובותיו לאחר.

GDPR מחלק את האחריות בין הבקר (אתם, העסק שמחליט למה ואיך הנתונים מעובדים) לבין המעבד (הספק שלכם, שמטפל בנתונים בשמכם).

לבקר יש את נטל התאימות הגדול יותר. אתם מחליטים על הבסיס החוקי, אתם מטפלים בבקשות זכויות לקוחות, אתם מודיעים לרשויות על הפרות, אתם קובעים את השמירה. תפקיד הספק הוא לעשות את מה שהתקשרתם איתם לעשות, בצורה מאובטחת ועם אמצעי ההגנה המפורטים בהסכם עיבוד הנתונים.

ההבחנה הזו חשובה כי חלק מהספקים מנסים להעביר את עבודת התאימות חזרה אליכם. אם הספק שלכם אומר "אתם מטפלים ב-GDPR בעצמכם, אנחנו רק מספקים תשתית" - הם מתנערים מאחריות המעבד שיש להם בפועל. מעבד רציני מתחזק תוכנית GDPR משלו, תומך בתהליכי זכויות הלקוחות שלכם, וחותם על אחריות עבור החלק שהוא שולט בו.

בקצרה: אתם לא יכולים להוציא את חובות הבקר למיקור חוץ, וספק טוב לא מנסה להוציא את חובות המעבד למיקור חוץ.

טעויות נפוצות ספציפיות לצ'אטבוטים ב-GDPR

הטעויות הרגילות הן רישום נתונים אישיים שאתם לא צריכים, שמירת לוגים לנצח, ניתוב שיחות של האיחוד האירופי דרך אזורים אחרים ללא אמצעי הגנה, היעדר אפשרות לביטול, והתייחסות ללחיצה כהסכמה.

חמש טעויות שמופיעות שוב ושוב בביקורות ותלונות.

נתונים אישיים בלוגי השיחה שאין צורך בהם. לקוחות מתנדבים מספרי טלפון, כתובות, מספרי תעודת זהות, והצ'אטבוט רושם את כל זה כברירת מחדל. אם אתם לא צריכים את זה לתשובת שירות הלקוחות, אל תשמרו את זה. מסכו, חשפנו, או מחקו בקליטה כשאפשר.

תקופות שמירה שהן למעשה לנצח. "אנחנו שומרים לוגים ללא הגבלת זמן" אינה תקופת שמירה לפי GDPR. הגדירו חלון שמירה מוגדר - בדרך כלל 12-24 חודשים לשיחות צ'אטבוט - ומחקו בפועל לאחר מכן. תעדו את ההיגיון.

ספק באזור הלא נכון ללא אמצעי הגנה. ניתוב שיחות לקוחות האיחוד האירופי דרך תשתית שאינה מהאיחוד האירופי ללא אמצעי העברה נכונים הוא הטעות הנפוצה ביותר. בדקו מגורים בכל שכבה, לא רק אחת.

אין מנגנון לביטול. לקוח צריך להיות מסוגל לעזוב את הצ'אט מבלי שהנתונים שלו יעובדו לשיווק או לבניית פרופיל. האפשרות לביטול צריכה להיות גלויה, לא קבורה.

התייחסות להסכמה כלחיצה. תיבה מסומנת מראש או "על ידי שימוש בצ'אט זה אתם מסכימים ל..." בדרך כלל אינה הסכמה תקפה לפי GDPR. הסכמה אמיתית היא מושכלת, ספציפית, וניתנת לסירוב חופשי.

מה אי-תאימות יכולה לעלות

המקסימום החוקי הוא 4% מההכנסות השנתיות הגלובליות או €20 מיליון, הגבוה מביניהם; עבור עסקים קטנים, פעולות אכיפה נופלות בדרך כלל בין €5,000 ל-€100,000, בנוסף לעלויות משפטיות וביקורת.

הקנסות המקסימליים של GDPR הם 4% מההכנסות השנתיות הגלובליות או €20 מיליון, הגבוה מביניהם. המקרים הכותרתיים - הקנס של Meta בסך €1.2 מיליארד ב-2023, הקנס של Amazon בסך €746 מיליון - מקבלים את תשומת הלב אך אינם מציאותיים לעסקים קטנים ובינוניים.

מה מציאותי לעסקים קטנים ובינוניים: פעולות אכיפה בטווח של €5,000-100,000 להפרות טיפוסיות כמו היעדר הסכם עיבוד נתונים, תגובה לא מספקת להפרות, או העברות בינלאומיות לא נכונות. חקירות גם מביאות עמלות משפטיות, עלויות ביקורת, ונזק למוניטין שלעיתים קרובות עולים על הקנס עצמו.

המספרים האלה אינם תיאורטיים. רשויות הגנת הנתונים של האיחוד האירופי מוציאות מאות פעולות אכיפה בקנה מידה של עסקים קטנים ובינוניים בשנה. רובם ניתנים למניעה עם עבודת תאימות בסיסית שנעשית לפני הפריסה.

חברות ישראליות המשרתות לקוחות מהאיחוד האירופי

עמדו בדרישות GDPR כברירת מחדל: זה בדרך כלל מחמיר יותר מחוק הגנת הפרטיות של ישראל, כך שעמידה בו מכסה את רוב הדרישות הישראליות גם כן. החלטת ההתאמה של ישראל לאיחוד האירופי מקלה על חלק מההעברות אך אינה מסירה את חובותיכם.

לישראל יש משטר פרטיות משלה - חוק הגנת הפרטיות (1981 בתוספת תיקונים מ-2017 ו-2024) - שחופף ל-GDPR אך אינו זהה. עבור עסקים ישראליים המשרתים לקוחות מהאיחוד האירופי, התשובה המעשית היא: עמדו בדרישות GDPR כברירת מחדל, מכיוון ש-GDPR בדרך כלל מחמיר יותר ומספק את רוב הדרישות הישראליות גם כן.

ישראל נהנית מהחלטת התאמה של האיחוד האירופי, שמפשטת העברות מסוימות - אך ההתאמה נבדקת באופן תקופתי ואין להתייחס אליה כקבועה. גם עם התאמה, חובות הבקר עדיין חלות: בסיס חוקי, זכויות לקוחות, הסכם עיבוד נתונים, משמעת שמירה.

עדיפויות מעשיות לחברה ישראלית לפני פריסת צ'אטבוט ללקוחות האיחוד האירופי:

  • ברירת מחדל למגורים באיחוד האירופי עבור נתוני לקוחות, אפילו כאשר ההתאמה עשויה לאפשר חלופות
  • חתמו על הסכמי עיבוד נתונים עם כל הספקים המעבדים נתוני לקוחות מהאיחוד האירופי
  • תעדו את הבסיס החוקי שלכם לעיבוד צ'אטבוט
  • בנו תהליכי זכויות לקוחות לפני הפריסה, לא לאחר מכן
  • בדקו את מצב החלטת ההתאמה באופן תקופתי; התייחסו אליה כאל זכות, לא כאל ערובה

משטרי פרטיות אחרים בקצרה

GDPR אינו משטר הפרטיות היחיד שמשפיע על צ'אטבוטים, אך הוא המחמיר ביותר שניתן ליישם בדרך כלל. אם הגדרת הצ'אטבוט שלכם תואמת GDPR, אתם ממוקמים היטב לרוב האחרים.

  • CCPA/CPRA (קליפורניה). דומה בצורתו ל-GDPR, עם מונחים שונים וכמה פרטים שונים סביב אפשרויות ביטול ומכירת מידע אישי. רוב הגדרות הצ'אטבוט התואמות GDPR מספקות את CCPA עם התאמות קלות.
  • LGPD (ברזיל). מבוסס בצורה קרובה על GDPR. אותה עבודה מבנית לתאימות חלה.
  • PIPEDA (קנדה), חוק הפרטיות של אוסטרליה, ואחרים. בדרך כלל פחות מחמירים מ-GDPR; אותם עקרונות.

לפרטים על כל אחד מאלה, הספק שלכם צריך שיהיו לו מסמכי תאימות. בקשו אותם. אם אין להם, זו אינפורמציה.

רשימת בדיקה לפני פריסה ב-7 שלבים

לפני עלייה לאוויר: ודאו ש-GDPR חל, בחרו בסיס חוקי לכל פעילות, חתמו על הסכם עיבוד נתונים, וודאו מיקום נתונים, בנו תהליכי זכויות, הגדירו תקופת שמירה ופרסמו הודעת פרטיות בכל שפה.

בסדר:

  1. ודאו ש-GDPR חל. מיפוי היכן הלקוחות שלכם נמצאים. אם כלשהם נמצאים באיחוד האירופי/EEA, אתם בתחום.
  2. בחרו בסיס חוקי לכל פעילות עיבוד. תעדו איזה עיבוד הוא אינטרס לגיטימי ואיזה הוא הסכמה. חלקים שונים מעיבוד הצ'אטבוט עשויים להשתמש בבסיסים שונים.
  3. קבלו את הסכם עיבוד הנתונים חתום. לפני הפריסה, לא לאחר מכן. קראו אותו. התנגדו לכל סעיף שמעביר חובות בקר אליכם.
  4. וודאו מיקום נתונים. אזור אחסון, אזור עיבוד, תת-מעבדים, אמצעי העברה - כל הארבעה מתועדים.
  5. בנו תהליכי זכויות. בדקו את תהליכי הגישה, המחיקה, הניידות והתיקון לפני עלייה לאוויר. בקשות זכויות לקוחות יגיעו; היו מוכנים לטפל בהן בתוך המועדים החוקיים.
  6. הגדירו תקופת שמירה. מוגדרת, מתועדת, נאכפת. לא "ללא הגבלת זמן."
  7. כתבו את הודעת הפרטיות בשפות הנכונות. שפה פשוטה, ברורה, גלויה כשהצ'אט נפתח. אם אתם משרתים לקוחות רב-לשוניים, כל גרסת שפה צריכה להיבדק על ידי דובר ילידי - לא מתורגמת אוטומטית.

לבחירת ספקים שמעלה את הנושאים האלה מוקדם, השתמשו במדריך הקונים. סעיף 10 השאלות מכויל במיוחד לחשוף ספקים שמטפלים ב-GDPR בצורה גרועה.

הערה אחרונה: זו הנחיה כללית לבעלי עסקים המפרסים צ'אטבוטים. להערכה מחייבת של תאימות, למצב הספציפי שלכם, או לכל עניין אכיפה, התייעצו עם עורך דין פרטיות בתחום השיפוט שלכם. המבנה לעיל יביא אתכם לרוב הדרך; תפקידו של עורך הדין הוא החלק שתלוי במצב הספציפי שלכם.