Chatbot au comptoir d'une agence de domiciliation : ce que la CNIL demande, et pourquoi un humain qui valide règle presque tout
Dans ses conseils publiés le 19 février 2021, la CNIL fixe quatre règles pour les chatbots : pas de traceur sans consentement sauf si le visiteur ouvre lui-même la conversation, une conservation limitée à la finalité, une vigilance particulière sur les données sensibles, et l'interdiction qu'une conversation automatisée produise seule une décision importante (article 22 du RGPD). Un accueil par QR au retrait du courrier coche ces cases, à condition qu'un collaborateur garde la main.
Le texte de la CNIL est court et concret. Premier point : le traceur (cookie ou équivalent) posé par un chatbot est exempté de consentement s'il est déposé à la demande de l'utilisateur, c'est-à-dire quand c'est lui qui ouvre la conversation ; s'il est déposé dès l'arrivée sur la page, il faut recueillir le consentement. Deuxième point : les échanges ne se conservent que le temps nécessaire à la finalité annoncée — répondre au visiteur, transmettre une demande au service concerné — puis ils sont supprimés ou anonymisés. Troisième point : si la conversation peut faire remonter des données sensibles (santé, situation judiciaire), il faut en informer la personne à l'avance et prévoir une purge. Quatrième point, le plus important pour un domiciliataire : l'article 22 du RGPD interdit qu'une décision produisant des effets juridiques ou significatifs soit prise uniquement par un traitement automatisé. Un chatbot renseigne ; il ne refuse pas un retrait de pli et ne délivre pas une attestation.
Rapporté au comptoir d'une agence de domiciliation, cela dessine un cadre simple. Le visiteur scanne le QR posé sur la borne ou au guichet : c'est lui qui ouvre la conversation, donc pas de bandeau de consentement à cet instant. L'assistant explique les horaires, les pièces à présenter pour un retrait de courrier recommandé, le délai d'une attestation de domiciliation. Quand la demande exige un acte — remettre un pli, éditer une attestation, modifier un contrat — elle passe au collaborateur de l'agence, qui décide et signe. C'est ainsi que le Pack Accueil d'AppH est construit : la conversation suit le visiteur de la borne à son téléphone, mais rien ne sort de l'agence sans qu'une personne l'ait validé. L'assistant se présente comme tel dès la première ligne, et les échanges liés à un dossier sont conservés selon la durée fixée par le domiciliataire, hébergés en France, sous contrat de sous-traitance (article 28).
Pour AppH
- Le déclenchement par QR est exactement le cas « à la demande de l'utilisateur » que la CNIL exempte de consentement : l'accueil en agence part avec un avantage de conformité que n'a pas un widget chargé automatiquement sur le site du siège.
- Le principe « l'assistant informe, le collaborateur décide » n'est pas un slogan : c'est la ligne que trace l'article 22, et c'est aussi ce qui rassure un dirigeant de réseau soumis à l'agrément préfectoral.
Contre / la limite honnête
- Les conseils de la CNIL datent de 2021 et visent des chatbots à scénarios ; les modèles de langage actuels posent des questions supplémentaires (mémoire, réutilisation des échanges) que ce texte ne traite pas. Il faut lire aussi les fiches IA plus récentes de la CNIL.
- AppH n'est pas un conseil juridique : le registre des traitements, la durée de conservation et l'information des visiteurs restent des décisions du domiciliataire, responsable de traitement. Nous fournissons les réglages et le contrat, pas une conformité clé en main.
On nous demande souvent si un assistant d'accueil « est RGPD ». La question, mal posée, en cache une meilleure : qui décide ? Tant qu'un collaborateur agréé valide chaque acte, l'assistant est un panneau d'information qui parle, et la CNIL sait très bien encadrer cela depuis 2021. Le jour où l'on laisse la machine refuser un retrait ou délivrer un document, on change de catégorie juridique, et de responsabilité. Nous avons choisi de ne jamais franchir cette ligne, moins par prudence que par lucidité sur ce qu'un comptoir de domiciliation exige réellement : de la précision, et quelqu'un qui répond de ce qu'il remet.
Vérifié par un humain d'AppH