Faut-il le consentement d'un visiteur qui parle spontanément de sa santé à l'assistant ?

Pour une collecte non prévisible, la CNIL n'exige pas de consentement préalable. Elle demande de limiter les risques : avertir l'utilisateur avant usage de ne pas communiquer de données sensibles, et purger ces données immédiatement ou au moins régulièrement.

Qui doit purger les données sensibles d'un assistant revendu ?

Le client décide de la règle, l'éditeur l'exécute dans la plateforme, le partenaire vérifie que le réglage est en place pour chaque client. C'est à écrire noir sur blanc entre les trois.

Données sensibles dans un chatbot : qui fait quoi

Les données sensibles (santé, opinions politiques, religion, appartenance syndicale, origine, vie sexuelle, données génétiques et biométriques) sont interdites de traitement, sauf exceptions prévues par l'article 9 du RGPD (règlement général sur la protection des données). Pour un chatbot, la CNIL (Commission nationale de l'informatique et des libertés) distingue deux situations. Si l'assistant est fait pour en recueillir, il faut une exception de l'article 9 et souvent une analyse d'impact. Si le visiteur en confie sans qu'on le lui demande, il faut l'avertir avant usage et purger ces données. Dans une chaîne de revente, le client décide, le partenaire paramètre, l'éditeur exécute.

La liste

L'article 9, paragraphe 1, vise les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données génétiques, les données biométriques servant à identifier une personne de manière unique, les données concernant la santé et celles concernant la vie sexuelle ou l'orientation sexuelle. Leur traitement est interdit, sauf exceptions de l'article 9, paragraphe 2 : par exemple le consentement explicite de la personne, ou des données qu'elle a manifestement rendues publiques.

Les deux situations décrites par la CNIL

Dans ses conseils du 19/02/2021 sur les chatbots :

Situation	Exemple	Ce que la CNIL demande
Collecte prévisible et pertinente	Un assistant d'aide dans le domaine de la santé	S'appuyer sur une exception de l'article 9, paragraphe 2 (consentement explicite, motif d'intérêt public important…) ; ces données font partie des critères pouvant imposer une analyse d'impact
Collecte non prévisible	Un visiteur qui raconte sa maladie à l'assistant d'une boutique	Pas de consentement préalable exigé, mais une mise en garde avant utilisation et une purge « immédiat ou au moins régulier » ; leur conservation n'est pas pertinente

Qui fait quoi dans la chaîne

Action	Client (responsable)	Partenaire	Éditeur
Dire si des données sensibles sont prévisibles	Décide, d'après son métier	Pose la question avant de vendre	—
Choisir l'exception de l'article 9 si la collecte est prévue	Décide, avec son conseil	Signale que le choix est nécessaire	—
Afficher l'avertissement avant usage	Valide le texte	Le paramètre dans l'assistant	Rend le réglage possible
Purger les données sensibles	Fixe la règle	Vérifie le réglage chez chaque client	Exécute la purge, y compris chez ses prestataires
Limiter ce que l'assistant demande	Fixe le périmètre	Écrit les consignes de l'assistant en ce sens	—
Analyse d'impact si elle s'impose	La réalise	Aide et fournit l'information	Fournit la documentation

L'article 28 du RGPD fonde la répartition : le sous-traitant agit sur instruction documentée du client et l'aide à respecter ses obligations, notamment en matière d'analyse d'impact.

Repérer les clients concernés avant de vendre

Quelques questions suffisent pour savoir si un client vous expose à ce sujet :

Ses visiteurs ont-ils des raisons de parler de leur santé : cabinet de soins, pharmacie, mutuelle, salle de sport, service d'aide à domicile ?
De leurs convictions ou opinions : association, organisation syndicale ou politique, communauté religieuse ?
L'assistant pose-t-il des questions ouvertes du type « décrivez votre situation » ?
Le public comprend-il des personnes vulnérables ? C'est un autre critère d'analyse d'impact selon la CNIL.

Si la réponse à la question 1 ou 2 est oui et que l'assistant est fait pour aborder ces sujets, la collecte devient prévisible : faites valider le montage par un avocat ou un délégué à la protection des données (DPO) avant de signer. Voir l'analyse d'impact.

Un avertissement type (à adapter)

Merci de ne pas indiquer dans cet échange d'informations sur votre santé, vos opinions, votre religion ou votre vie privée. Si vous l'avez fait, ces informations seront supprimées.

Le texte n'a de valeur que si la seconde phrase est vraie. Il s'intègre au premier niveau de la mention d'information.

Ce qu'il faut demander à l'éditeur

La plateforme permet-elle d'afficher un avertissement avant le premier message ?
Peut-on purger les conversations automatiquement, avec quel délai, client par client ?
La purge atteint-elle les journaux, les sauvegardes et le fournisseur du modèle de langage ?
Peut-on supprimer une conversation précise à la demande ?

Les réponses déterminent ce que vous pouvez promettre à vos clients. Voir aussi la durée de conservation des conversations.

Cette page est une information générale. Un assistant conçu pour recueillir des données de santé ou d'autres données sensibles demande un examen juridique préalable par un avocat ou un DPO.