Chatbot et RGPD : cartographier le trajet réel des données

01Une conversation effacée de l’interface peut subsister ailleurs

Le risque apparaît lorsqu’une donnée saisie dans le chatbot reste accessible après la réponse. Elle peut avoir été reprise dans le CRM, enregistrée dans des journaux, conservée dans une sauvegarde ou copiée par un sous-traitant. Un effacement limité à l’interface laisse alors subsister des copies ailleurs dans la chaîne. Il faut alors savoir où va cette donnée, à quelle fin elle est utilisée et qui peut encore agir sur elle.

Le relevé part d’un cas d’usage précisément défini : résultats attendus, contexte et usages exclus. Cette délimitation permet d’écarter les données sans rapport avec la réponse promise. Chaque donnée est ensuite reliée à sa finalité, à son emplacement et à la règle qui détermine ce qu’elle devient. Une information utile pour répondre à une demande n’est pas, par ce seul fait, réutilisable pour un autre usage.

Le parcours ne s’arrête pas au stockage principal. Pour chaque composant, le relevé identifie l’acteur capable de traiter une demande d’accès, de rectification, d’opposition ou d’effacement. Il vérifie aussi ce que le contrat du fournisseur prévoit pour la durée de conservation, la sécurité, la restitution, la gestion des incidents et le devenir des copies en fin de prestation. Si l’un de ces maillons ne permet aucune action effective, la portée d’une demande d’effacement demeure incertaine et appelle une validation juridique.

Le RGPD exige que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité.^[1] Cette règle transforme la carte technique en outil de décision : chaque donnée admise doit être justifiée, chaque destination doit avoir une fonction et chaque conservation doit avoir une échéance. Le registre doit refléter les traitements réels, avec leurs sous-traitants et leurs durées, plutôt qu’une représentation simplifiée de l’interface.^[2]

02La finalité détermine les données réellement nécessaires

Pour être exploitable, la finalité doit être déterminée, explicite et légitime dès la définition du projet.^[3] Par exemple, la formule « répondre aux clients La décision précise le résultat attendu, les situations admises, celles qui sont exclues et les informations que l’outil ne doit jamais intégrer à un dossier.

Le périmètre fonctionnel décrit les résultats attendus, le contexte d’usage et les informations sans rapport avec le besoin principal.^[4] Cette étape réduit la tentation de tout conserver au motif qu’une donnée pourrait être utile plus tard. La pertinence s’apprécie au regard de l’objectif effectivement poursuivi.^[5] La finalité détermine ainsi les données qui peuvent être recueillies et la durée pendant laquelle leur conservation reste justifiable.^[6]

Le périmètre peut alors être limité aux données nécessaires au résultat attendu ; cette nécessité n’autorise pas, à elle seule, leur collecte ou leur conservation. La durée envisagée reste liée à la finalité documentée et soumise aux validations applicables. Avant toute transmission, le relevé recense les composants et les acteurs destinataires. Leur inscription dans le document ne vaut pas autorisation de transfert, lequel reste soumis aux rôles, aux contrats et aux validations applicables.

La fiche de décision qui relie le cas d’usage aux principes vérifiés.

03La durée de conservation se décide pour chaque emplacement

La conversation, l’extrait transféré au CRM, le journal et la sauvegarde ne remplissent pas la même fonction. Un réglage unique ne convient donc que s’il correspond à la finalité de chaque emplacement. La CNIL relie la conservation des conversations à leur finalité et envisage leur effacement dès la fin de l’échange lorsque leur maintien n’est pas nécessaire.^[7]

Une règle complète indique le point de départ de la durée et l’événement qui déclenche l’action prévue. Elle précise aussi qui exécute l’action, comment une exception est autorisée et quelle trace permet de vérifier le résultat. Une durée inscrite dans un document sans mécanisme d’exécution reste une intention.

Les sauvegardes exigent une règle que le décideur puisse comprendre. Le document indique leur cycle, les restrictions d’accès et ce qui doit se passer après une restauration. Le dispositif doit empêcher qu’un élément retiré des systèmes actifs redevienne exploitable sans contrôle. Si la suppression immédiate d’une copie technique est impossible, il faut expliciter cette limite, préciser comment elle sera traitée, puis soumettre ces éléments à une validation juridique.

04Le rôle du fournisseur et ses responsabilités doivent être documentés

La CNIL indique que le rôle juridique du fournisseur doit être apprécié au cas par cas.^[8] Celui-ci peut héberger les conversations, produire des journaux, solliciter d’autres prestataires ou administrer une partie de l’infrastructure. Pour préparer cette analyse, la grille décrit les opérations réellement effectuées et signale les ambiguïtés à soumettre à une validation juridique.

Le contrat de sous-traitance doit notamment définir l’objet, la durée, la finalité, les obligations des parties et la sécurité du traitement.^[9] La carte doit donc permettre de répondre à des questions concrètes : où se trouvent les données, qui peut y accéder, comment un incident est-il signalé, quelles instructions peuvent être exécutées et que deviennent les copies à la fin de la prestation ?

À la fin de la prestation, le responsable du traitement peut choisir que le sous-traitant supprime ou restitue les données et détruise les copies existantes, sauf si le droit de l’Union ou d’un État membre impose leur conservation.^[10] Cette capacité doit être compatible avec l’architecture retenue. Un export inutilisable, une suppression invérifiable ou une chaîne de prestataires inconnue rend la sortie fragile.

Dans un cas de suivi de commande, par exemple, le relevé distingue le numéro de commande et l’adresse électronique nécessaires pour retrouver le dossier du message libre, qui peut contenir des informations étrangères à la demande. Il recense ensuite chaque destination, l’acteur concerné, la donnée transmise et le motif de la transmission. Le relevé distingue une transmission au CRM ou à un sous-traitant d’un transfert vers un pays tiers ou une organisation internationale. Dans ce second cas, le registre documente aussi les garanties éventuelles^[2]. Le relevé ne formule aucune conclusion juridique que les preuves disponibles ne permettent pas d’établir. Lorsque ces choix conditionnent l’architecture, ils doivent être clarifiés lors d’un cadrage d’assistant conversationnel adapté aux contraintes réelles, avant de figer la solution.

05L’exercice des droits exige de retrouver chaque copie concernée

La cartographie suit de bout en bout les opérations nécessaires à l’accès, à la rectification, à l’opposition et à l’effacement afin de préparer la mise en œuvre de ces droits. Elle décrit le parcours technique sans définir l’obligation juridique applicable. Le point d’entrée peut être le support, un formulaire ou un autre canal validé. Il faut alors retrouver les éléments concernés, transmettre la demande aux détenteurs autorisés et documenter son issue.

Une grille opérationnelle doit encore être soumise à une validation juridique. Pour l’accès, elle recense les emplacements qui peuvent être interrogés ; pour la rectification, elle repère les endroits où la valeur erronée a été reprise ; pour l’opposition, elle distingue les usages concernés ; pour l’effacement, elle documente le traitement prévu pour les données actives, les journaux, les sauvegardes et les systèmes des sous-traitants. Cette grille sert à préparer l’exécution ; la portée juridique de chaque droit reste à déterminer par les personnes compétentes.

1. 01

   Recevoir la demande

   La demande parvient par le canal autorisé avec les éléments nécessaires à son traitement.

2. 02

   Vérifier la portée

   L’acteur compétent identifie la personne, la donnée et l’action demandée.

3. 03

   Rechercher les emplacements

   La carte désigne les systèmes internes et les fournisseurs susceptibles de détenir une copie.

4. 04

   Exécuter les actions

   Chaque responsable exécute l’action attendue en matière d’accès, de rectification, d’opposition ou de suppression.

5. 05

   Contrôler les dépendances

   Chaque reprise dans un dossier, un journal ou une copie technique est traitée selon la règle documentée.

6. 06

   Consigner l’issue

   Le résultat, les limites et les validations requises deviennent vérifiables.

Il faut aussi prévoir les échecs. Un identifiant peut ne pas permettre de retrouver une conversation. Une donnée peut avoir été détachée de son échange d’origine dans le CRM. Un fournisseur peut exiger une procédure spécifique. Ces obstacles doivent être repérés avant la première demande réelle, puis leur traitement doit être confié à un responsable et vérifié par un test.

Ce tableau relie chaque demande à la capacité technique qui conditionne son exécution.

La présence d’une sauvegarde ou d’un journal ne suffit pas à déterminer la réponse juridique appropriée. Le relevé décrit le mécanisme, ses limites et l’action techniquement possible. La décision juridique intervient lorsque la qualification, la portée du droit ou une exception reste incertaine. Cette séparation évite de masquer une impossibilité technique derrière une formule de conformité.

06La cartographie fournit des critères vérifiables avant le déploiement

Un test simple consiste à tracer une donnée depuis sa saisie jusqu’à sa suppression ou son transfert. À chaque étape, il faut pouvoir répondre à cinq questions concrètes. Quelle finalité autorise sa présence ? Dans quel composant se trouve-t-elle ? Qui peut agir sur elle ? Quel événement déclenche l’action prévue ? Comment une demande d’exercice d’un droit est-elle transmise jusqu’à cet emplacement ?

Ce test peut commencer avec une conversation représentative du cas d’usage, sans prétendre couvrir par analogie toutes les situations. Il faut ensuite vérifier les variantes qui changent réellement le parcours : reprise dans un dossier, contenu non pertinent, intervention d’un fournisseur, conservation technique ou transfert. Toute branche encore inconnue doit être clarifiée avant le déploiement.

La décision d’achat s’en trouve clarifiée. Une solution séduisante à l’écran reste inadaptée si elle ne permet pas d’identifier les destinations, d’appliquer les durées retenues ou de transmettre les demandes aux fournisseurs concernés pour qu’ils les traitent. À l’inverse, une architecture dont le fonctionnement peut être documenté fournit des critères de comparaison précis : capacité d’export, suppression, gestion des journaux, maîtrise des sous-traitants et procédure de sortie.

Ce relevé n’établit pas à lui seul la conformité juridique. Il fournit les éléments factuels nécessaires pour arbitrer, contractualiser et signaler les points qui exigent une validation. Un échange de cadrage devient utile lorsque le cas d’usage reste pertinent, mais que le trajet des données, les responsabilités ou les conditions de sortie ne peuvent pas encore être déterminés.

La décision de déployer reste suspendue tant qu’une branche du trajet n’a pas de responsable identifié ou ne peut pas être vérifiée.