Wat een chatbot toevoegt aan je privacyverklaring
Een chat verzamelt persoonsgegevens zodra bezoekers over zichzelf typen: een naam, een ordernummer, soms veel meer. De AVG (GDPR) vraagt in artikel 13 om de informatie "bij de verkrijging" van die gegevens te geven. Je privacyverklaring moet dus vanuit de chat te bereiken zijn voordat iemand het eerste bericht stuurt. Een duidelijke link volstaat: de Autoriteit Persoonsgegevens (AP) schrijft dat een duidelijke verwijzing naar de online privacyverklaring genoeg is als mensen gegevens invullen op een website.
Toezichthouders kijken daar dit jaar extra naar. Op 19 maart 2026 startte het Europees Comité voor gegevensbescherming (EDPB) een gecoördineerde actie waarin 25 Europese toezichthouders onderzoeken hoe organisaties hun informatieplicht uit de artikelen 12 tot en met 14 naleven.
| Wat artikel 13 vraagt | Wat dat voor een chat betekent |
|---|---|
| Wie je bent, en je functionaris gegevensbescherming (FG) als je die hebt (lid 1, sub a en b) | Jouw organisatie is verwerkingsverantwoordelijke, ook al draait de software bij een leverancier |
| Doeleinden en grondslag (lid 1, sub c), en het belang zelf bij gerechtvaardigd belang (sub d) | Vragen beantwoorden, antwoorden controleren, misbruik weren |
| Ontvangers (lid 1, sub e) | De chatleverancier, de AI-leverancier en andere subverwerkers; netjes is ook te zeggen wie in je team de chats leest |
| Doorgifte buiten de EU (lid 1, sub f) | Elke stap die elders draait, het adequaatheidsbesluit of de waarborg die haar dekt, en hoe je een kopie van een waarborg krijgt |
| Bewaartermijn (lid 2, sub a) | Een termijn per soort gegeven, of de criteria |
| Rechten en klachten (lid 2, sub b tot en met d) | Hoe je ze uitoefent in een chat die nooit vroeg wie je bent |
| Of verstrekking verplicht is (lid 2, sub e) | De chat is niet verplicht; noem een andere manier om je te bereiken |
| Geautomatiseerde besluitvorming (lid 2, sub f) | Meestal niet; zeg dat dan ook |
Twee dingen staan niet in artikel 13 maar horen er wel naast: de AI-melding in de chat zelf, en een verzoek om geen gevoelige gegevens te typen.
Werk je in Nederland met het sjabloon privacyverklaring voor het mkb dat de AP in september 2026 publiceerde? Daarin staat geen chatbot. Je voegt hem toe als eigen verwerking, onder "Eigen situatie", en daar passen de modules hieronder.
Wat één chatbot echt bewaart: een uitgewerkt voorbeeld
Deze paragraaf schrijf je niet uit een sjabloon: je hebt de echte gegevenskaart van je leverancier nodig. Als voorbeeld een chat van ChatterLab, uit onze documentatie over gegevens en privacy. Vervang elke rij door de feiten van je eigen leverancier, en zie de kolom grondslag als vertrekpunt voor je eigen afweging.
| Wat wordt bewaard | Waarvoor | Mogelijke grondslag | Hoe lang (ChatterLab) | Wie er nog meer bij komt |
|---|---|---|---|---|
| Het gesprek: berichten, antwoorden, tijdstip, gebruikte bronnen, pagina van de vraag | Antwoorden; antwoorden controleren en verbeteren | Gerechtvaardigd belang; precontractuele stappen bij vragen over je aanbod | Tot je het verwijdert | Cortecs schrijft de antwoorden; OpenAI zet elke vraag om in zoekvectoren; je team |
| Een willekeurig bezoekersnummer | De berichten van één bezoek bij elkaar houden | Gerechtvaardigd belang | In de browser tot het tabblad sluit; bij het gesprek | Zoals hierboven |
| Een duim omhoog of omlaag | De kwaliteit van antwoorden meten | Gerechtvaardigd belang | Bij het gesprek | Alleen ChatterLab |
| Contactgegevens, als het contactformulier aanstaat | De bezoeker contacteren; aanbiedingen alleen met het vinkje | Precontractuele stappen of gerechtvaardigd belang; toestemming voor marketing | 3 jaar, of tot je ze verwijdert | Per e-mail naar jou, via Resend |
| Een ticket, als tickets aanstaan: e-mailadres, naam, vraag, antwoorden | Per e-mail antwoorden | Precontractuele stappen, overeenkomst of gerechtvaardigd belang | 2 jaar nadat het opgelost is | E-mail via Resend |
| Bestanden van een bezoeker, als je die toelaat | Een vraag over het bestand beantwoorden | Zoals het gesprek | 30 dagen, daarna alleen de naam | Cloudflare R2 bewaart ze; de tekst gaat via Cortecs naar het model |
| Het IP-adres | Niet bewaard; een vingerafdruk bewaakt de berichtenlimiet | Gerechtvaardigd belang (misbruik voorkomen) | 24 uur | Alleen ChatterLab |
De widget plaatst geen cookies en bewaart niets in de browser voordat de bezoeker de chat gebruikt, tenzij je site hun toestemming doorgeeft voor het tweede bericht. Twee stappen draaien in de Verenigde Staten, bij OpenAI en Resend. Daarom is module D hieronder voor een ChatterLab-chat niet optioneel.
Wat ChatterLab doet, en wat bij jou blijft
ChatterLab is je verwerker en stuurt de verwerkersovereenkomst op aanvraag. Het contactformulier en de ticketkaart kun je niet aanzetten zonder het adres van je privacyverklaring, en beide linken ernaar. In de Mededeling boven het gesprek mag basisopmaak in markdown, dus je kunt daar vragen geen gevoelige gegevens te delen (module E hieronder) en naar je privacyverklaring linken. Een bezoeker kan de mededeling wegklikken; zet dat verzoek dus ook in je privacyverklaring.
ChatterLab schrijft je privacyverklaring niet, verwijdert gesprekken niet vanzelf en beantwoordt geen verzoeken van bezoekers in jouw plaats. Let op bij Verbeter antwoord: daarmee wordt de vraag van een bezoeker een vraag-en-antwoordbron, en wat in je bronnen staat, kan elke bezoeker te zien krijgen. Haal dus persoonsgegevens uit de vraag voordat je opslaat. Bouw je agents voor klanten, dan is je klant verwerkingsverantwoordelijke, ben jij de verwerker van je klant en is ChatterLab de jouwe. De chat zelf probeer je op het gratis abonnement.
Welke grondslag past bij een chatbot
Geen van de toezichthoudersteksten in dit artikel kent alle chatbots één grondslag toe. Je kiest per doel, en je moet je keuze kunnen onderbouwen (verantwoordingsplicht, artikel 5, lid 2, AVG). Overheidsinstanties hebben één grondslag minder: gerechtvaardigd belang geldt niet voor verwerkingen in het kader van hun taken (artikel 6, lid 1, tweede alinea). De chat van een gemeente heeft dus een andere grondslag nodig, zoals een taak van algemeen belang (sub e).
| Als de chat... | Grondslag om te overwegen | Wat er dan in je privacyverklaring moet |
|---|---|---|
| vragen beantwoordt die bezoekers zelf stellen | Gerechtvaardigd belang, art. 6 lid 1 sub f | Het belang, het recht van bezwaar, en dat de afweging op verzoek beschikbaar is |
| vragen beantwoordt over je producten, prijzen of beschikbaarheid | Maatregelen op verzoek van de bezoeker vóór een overeenkomst, art. 6 lid 1 sub b | Dat de gegevens dienen voor de stappen waar de bezoeker om vroeg |
| een bestelling van een bestaande klant afhandelt | Uitvoering van de overeenkomst, art. 6 lid 1 sub b | Welke overeenkomst |
| nieuws en aanbiedingen stuurt aan wie een vinkje zette | Toestemming, art. 6 lid 1 sub a | Hoe je die intrekt, even makkelijk als je haar gaf (art. 7 lid 3) |
| bedoeld is voor gezondheid of andere gevoelige onderwerpen | Daarnaast een uitzondering uit art. 9 lid 2, zoals uitdrukkelijke toestemming | De uitzondering; een DPIA is dan waarschijnlijk nodig |
Gerechtvaardigd belang vraagt drie stappen, die de AP en het EDPB op dezelfde manier beschrijven: een werkelijk belang, een verwerking die daarvoor noodzakelijk is, en een belangenafweging waarin de redelijke verwachtingen van de bezoeker meewegen en die in jouw voordeel uitvalt. De EDPB-richtsnoeren over artikel 6, lid 1, sub f, waarschuwen ervoor deze grondslag te kiezen alleen omdat ze minder streng lijkt, en zeggen dat mensen moeten horen dat ze informatie over de afweging kunnen opvragen. Op 25 oktober 2026 zijn die richtsnoeren nog versie 1.0, het consultatieontwerp van 8 oktober 2024.
Precontractuele stappen gaan verder dan een formele offerte. De AP noemt als voorbeeld een offerte op verzoek, en het EDPB zegt dat wie contact opneemt om te informeren naar je aanbod, op die grondslag een antwoord kan krijgen. Ongevraagde marketing valt er niet onder.
De rest. Marketing per e-mail vraagt voorafgaande toestemming volgens artikel 13 van de e-privacyrichtlijn, zoals omgezet in je nationale wet, met een uitzondering voor bestaande klanten en soortgelijke producten. En geautomatiseerde besluitvorming (artikel 22) is niet wat een informatiechat doet. De Franse toezichthouder CNIL noemt wat wel over de grens gaat: een chat die zonder menselijke tussenkomst een online krediet weigert, een hogere prijs rekent of iemand belet te solliciteren.
Voorbeeldtekst: een basisalinea en zeven optionele modules
Zet de basisalinea in je privacyverklaring onder een eigen kopje en voeg alleen de modules toe die passen bij wat je chat echt doet. Vervang alles tussen vierkante haken, en toets ook de andere zinnen aan je leverancier: ze beschrijven een chat zoals in het voorbeeld hierboven. Het is voorbeeldtekst om aan te passen; laat de tekst nakijken door je adviseur als je sector of doelgroep meer risico meebrengt. Spreekt de rest van je privacyverklaring bezoekers aan met "u", zet de modules dan ook in de u-vorm.
Basisalinea (altijd).
Onze chatassistent
Op onze website staat een chatassistent die met kunstmatige intelligentie (AI) vragen beantwoordt op basis van informatie die wij hem gaven, zoals onze website en onze documenten. [Bedrijfsnaam], [Adres], is verantwoordelijk voor de persoonsgegevens die in de chat worden verwerkt. Je bereikt ons via [E-mailadres]. [Onze functionaris gegevensbescherming: Naam, E-mailadres.]
Als je de chat gebruikt, leggen we vast: je berichten, de antwoorden van de assistent, het tijdstip, de pagina waarop je de vraag stelde en een eventuele beoordeling. Tot je het tabblad sluit, bewaart je browser een willekeurig bezoekersnummer, het nummer van het gesprek en vergelijkbare technische gegevens, zodat de berichten van één bezoek bij elkaar blijven. De chat vraagt niet naar je naam of contactgegevens.
We gebruiken de gesprekken om je vragen te beantwoorden en om de antwoorden te controleren en te verbeteren. Dat doen we op grond van ons gerechtvaardigd belang om vragen van bezoekers snel en juist te beantwoorden (artikel 6, lid 1, sub f AVG). Vraag je naar onze producten, prijzen of een offerte, dan verwerken we je berichten ook om de stappen te zetten waar je vóór een mogelijke overeenkomst om vroeg (artikel 6, lid 1, sub b AVG). Je kunt ons vragen naar de afweging achter ons gerechtvaardigd belang.
De chat draait op software van [Leverancier], die de gesprekken in onze opdracht verwerkt als onze verwerker, met de partijen die hieronder staan. Onze [Team of functie] kan de gesprekken lezen.
Je hoeft de chat niet te gebruiken: je bereikt ons ook via [E-mailadres of telefoonnummer]. De assistent beantwoordt vragen; hij neemt geen besluiten over jou.
Je recht van bezwaar. Je kunt altijd, om redenen die met je specifieke situatie te maken hebben, bezwaar maken tegen ons gebruik van de gesprekken op grond van gerechtvaardigd belang. Mail daarvoor naar [E-mailadres].
Het recht van bezwaar staat apart omdat artikel 21, lid 4, AVG vraagt het duidelijk en gescheiden van andere informatie te vermelden. Schrap de zin over artikel 6, lid 1, sub b als je chat nooit over je aanbod gaat. Gebruik je module A of B, sluit de tweede alinea dan af met "tenzij je het contactformulier gebruikt of je vraag aan ons team doorgeeft, zoals hieronder beschreven". Geeft je site aan de chat door wie een ingelogde bezoeker is, vermeld dan dat het gesprek wordt bewaard met het klantnummer dat je site doorgeeft. Heeft een bureau de chat voor je gebouwd, dan is het ook jouw verwerker: noem het.
Module A (optioneel): contactgegevens in de chat.
Contactgegevens die je in de chat achterlaat. Vul je in de chat het contactformulier in, dan gebruiken we de gegevens die je invult ([Naam, e-mailadres, telefoonnummer]) om contact met je op te nemen over je vraag, zoals je vroeg. Onze grondslag is [de stappen waar je vóór een mogelijke overeenkomst om vroeg, artikel 6, lid 1, sub b AVG / ons gerechtvaardigd belang om je te antwoorden, artikel 6, lid 1, sub f AVG]. We bewaren deze gegevens [Termijn], tenzij je ons vraagt ze eerder te verwijderen. Nieuws en aanbiedingen sturen we alleen als je daarvoor het vakje aanvinkt (artikel 6, lid 1, sub a AVG); je trekt die toestemming altijd in via [Hoe].
ChatterLab verwijdert contactgegevens vanzelf na 3 jaar, vinkt het vakje voor nieuws nooit vooraf aan en bewaart bij de lead de woorden die de bezoeker te zien kreeg.
Module B (optioneel): vragen die je per e-mail beantwoordt.
Vragen die we per e-mail beantwoorden. Geef je je vraag in de chat door aan ons team, dan gebruiken we je e-mailadres, je naam als je die geeft, je vraag en de pagina waarop je ze stelde om je per e-mail te antwoorden. Je antwoorden komen bij dezelfde aanvraag. We bewaren een aanvraag [Termijn] nadat ze is afgehandeld. [E-mailleverancier] verstuurt en ontvangt deze e-mails in onze opdracht.
ChatterLab bewaart een ticket 2 jaar nadat het opgelost is, en een ticket dat niet opgelost is tot je het verwijdert.
Module C (optioneel): bestanden van bezoekers.
Bestanden die je in de chat stuurt. Je kunt een document of afbeelding bij een vraag voegen. De assistent leest het om die vraag te beantwoorden. We bewaren het bestand en de tekst die eruit gelezen is [Termijn]; daarna blijft alleen de naam bij het gesprek. Stuur alleen wat je vraag nodig heeft, en geen identiteitsbewijzen of medische stukken.
ChatterLab bewaart zulke bestanden 30 dagen en stuurt de tekst met de vraag naar het model, niet naar OpenAI.
Module D (nodig zodra een stap buiten de EER draait): de AI-leverancier en doorgifte.
Wie de tekst verwerkt, en waar. [Leverancier] bewaart de gesprekken in [Locatie]. De antwoorden worden geschreven door [Modelleverancier of gateway], die je vraag krijgt, het recente gesprek en de gevonden passages uit onze informatie. Om op betekenis in onze informatie te zoeken, zet [Leverancier] in [Land] de tekst van elke vraag om in getallen. Doorgifte buiten de Europese Economische Ruimte gebeurt op basis van [een adequaatheidsbesluit van de Europese Commissie / de standaardcontractbepalingen van de Europese Commissie / Andere waarborg]; een kopie van de waarborgen vraag je op via [E-mailadres]. [Leverancier] gebruikt de gesprekken niet om AI-modellen te trainen.
Schrijf de laatste zin alleen als de voorwaarden van je leverancier dat zeggen, en noem er een andere partij alleen in als ook haar voorwaarden dat zeggen. ChatterLab traint geen modellen op je gesprekken, en het middenstuk hieronder dekt OpenAI. Cortecs schrijft in zijn eigen documentatie dat gegevens standaard niet voor AI-training worden gebruikt (gelezen op 25 oktober 2026); vraag je leverancier welke instellingen voor jouw chat gelden. Voor een chat van ChatterLab luidt het middenstuk:
We gebruiken ChatterLab, dat de gesprekken in de EU bewaart. De applicatie draait bij Vercel in Frankfurt, Duitsland, en bestanden die je stuurt, worden bewaard bij Cloudflare R2, onder EU-jurisdictie. De antwoorden worden geschreven via Cortecs, een Europese modelgateway. Om op betekenis in onze informatie te zoeken, zet OpenAI in de Verenigde Staten de tekst van elke vraag om in getallen, onder zijn voorwaarden voor gegevensverwerking; OpenAI gebruikt deze gegevens niet om zijn modellen te trainen. E-mails over contactverzoeken en tickets lopen via Resend in de Verenigde Staten, onder het EU-US Data Privacy Framework en standaardcontractbepalingen.
Artikel 13, lid 1, sub f vraagt per doorgifte of een adequaatheidsbesluit haar dekt of welke waarborg dat doet, en hoe iemand een kopie van die waarborg krijgt. Vraag je leverancier welke waarborg voor welke stap geldt. ChatterLab stuurt de verwerkersovereenkomst op aanvraag: management@sri-group.eu.
Module E (aanbevolen als bezoekers persoonlijke zaken kunnen delen): gevoelige gegevens.
Houd gevoelige gegevens uit de chat. De chat is bedoeld voor vragen over [Onderwerp]. Typ geen gegevens over je gezondheid, je financiën of je identiteitsbewijs, en geen gegevens over anderen. Komen zulke gegevens toch bij ons binnen, dan verwijderen we het gesprek zodra we ze zien. We kijken de gesprekken [Frequentie] na.
De Franse CNIL raadt dit tweetal aan voor gevoelige gegevens die niemand wilde verzamelen: een waarschuwing voordat de chat gebruikt wordt, en een opschoning, meteen of op zijn minst regelmatig. Zet de waarschuwing ook in de chat zelf.
Module F (optioneel): bewaartermijnen.
Hoe lang we chatgegevens bewaren. We bewaren gesprekken [Termijn] na het laatste bericht en verwijderen ze dan. Wordt een gesprek een klacht, bestelling of claim, dan bewaren we het zo lang als dat dossier. Contactgegevens: [Termijn]. Vragen die we per e-mail beantwoorden: [Termijn] na afhandeling. Bestanden: [Termijn].
Beloof alleen wat er echt gebeurt. ChatterLab verwijdert gesprekken niet vanzelf: je wist ze een voor een met Verwijderen in Activiteit, of vanaf het Studio-abonnement via de API.
Module G (aanbevolen): rechten in een chat zonder account.
Je rechten. Je kunt ons vragen welke gegevens we over je hebben en om een kopie, en vragen ze te corrigeren of te verwijderen, het gebruik te beperken, of ermee te stoppen waar we ons op gerechtvaardigd belang baseren. Waar de wet dat recht geeft, krijg je je gegevens ook in een gangbaar formaat. Gegeven toestemming kun je altijd intrekken. De chat vraagt niet wie je bent: vertel ons dus ongeveer wanneer je chatte en iets wat je schreef. We kunnen om een detail vragen waaruit blijkt dat het gesprek van jou is. Mail naar [E-mailadres]; we antwoorden binnen een maand. Je kunt ook een klacht indienen bij de toezichthouder: in Nederland de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit.
Dit volgt de artikelen 12, 15 tot en met 21 en 77 AVG. Artikel 77 laat bezoekers ook klagen in het land waar ze wonen of werken; woont een deel van je bezoekers elders, noem dan in het algemeen "de toezichthouder in je land".
Formuleringen die je beter weglaat
- "We kunnen je chats gebruiken om onze diensten te verbeteren." De transparantierichtsnoeren van de vroegere Artikel 29-werkgroep, die het EDPB overnam, noemen woorden als "kan", "zou kunnen", "sommige" en "mogelijk" (in het Engelse origineel "may", "might", "some", "possible") als te vermijden. Zeg wat je doet: "we lezen gesprekken na om foute antwoorden te verbeteren".
- "Er gaan geen gegevens buiten de EU." Niet waar zodra één stap elders draait, zoals de zoekvectoren of de e-mail, en artikel 13, lid 1, sub f verplicht je de doorgifte te noemen.
- "De chat is anoniem." De CNIL wijst erop dat een chatbot vaak persoonsgegevens verwerkt, bijvoorbeeld om het gesprek bij te houden, ook als niemand een account aanmaakt.
- "Wie gevoelige gegevens deelt, geeft daarvoor toestemming." Een gepubliceerde privacyverklaring voor een chatbot die we lazen, zegt ongeveer hetzelfde en spreekt zelfs van uitdrukkelijke toestemming. Voor gevoelige gegevens die niemand wilde verzamelen, adviseert de CNIL een waarschuwing en opschoning, geen toestemming.
- "Raadpleeg deze pagina regelmatig voor wijzigingen." Dezelfde richtsnoeren noemen dat "niet alleen onvoldoende maar ook onbehoorlijk" (in het Engels "not only insufficient but also unfair"). Nieuwe ontvangers of een nieuwe doorgifte buiten de EU zien ze als een wijziging die je actief meldt.
- Een link naar de privacyverklaring van je leverancier in plaats van je eigen tekst. Jij bent verwerkingsverantwoordelijke; de informatieplicht ligt bij jou. De privacyverklaring van ChatterLab zelf verwijst bezoekers met vragen naar de website waarop ze chatten.
Hoe lang je chatgesprekken bewaart
De AVG noemt geen termijn. Artikel 5, lid 1, sub e (opslagbeperking) staat niet langer toe dan het doel vraagt, overweging 39 vraagt de verwerkingsverantwoordelijke termijnen vast te stellen voor wissen of periodieke toetsing, en artikel 13, lid 2, sub a vraagt de termijn of de criteria te vermelden. De CNIL maakt een nuttig onderscheid: een chat die hielp bij een aankoop wis je aan het einde van het gesprek, een klacht over een gekocht product kan langer bewaren rechtvaardigen. De GBA merkt in haar brochure over AI en de AVG op dat de AI-verordening geen uitdrukkelijk andere of extra eis over opslagbeperking toevoegt.
De voorbeelden hieronder zijn illustraties, geen wettelijke normen:
| Gegeven | Wat de termijn bepaalt | Vraag om te beantwoorden | Voorbeeld van een keuze |
|---|---|---|---|
| Gesprekken die met een antwoord eindigden | Antwoorden, daarna antwoorden nalezen | Hoe vaak lees je gesprekken na? | Drie maanden, als je ze maandelijks naleest |
| Gesprekken die een klacht of bestelling werden | Dat dossier | Hoe lang kan de zaak terugkomen? | Neem wat je nodig hebt op in het dossier en wis de chat |
| Contactgegevens uit de chat | De bezoeker contacteren; marketing met toestemming | Wanneer is een lead niet meer de moeite? | Standaard bij ChatterLab: 3 jaar |
| Vragen die je per e-mail beantwoordt | Antwoorden en opvolging | Hoe lang na afhandeling komt er nog een reactie? | Standaard bij ChatterLab: 2 jaar na afhandeling |
| Bestanden van bezoekers | Lezen voor het antwoord | Heb je het bestand nog nodig na het antwoord? | Standaard bij ChatterLab: 30 dagen |
| Gevoelige gegevens waar niemand om vroeg | Geen | Geen | Verwijderen zodra je ze ziet |
Zet de termijn in module F en geef iemand de taak om op tijd te verwijderen.
De AI-melding hoort in de chat zelf
Artikel 50, lid 1, van de AI-verordening verplicht aanbieders ervoor te zorgen dat mensen die met een AI-systeem praten, dat te horen krijgen, en lid 5 zegt: duidelijk, en uiterlijk bij de eerste interactie. Dat geldt sinds 2 augustus 2026. De Digitale omnibus inzake AI van 8 juli 2026 liet die datum staan en stelde binnen artikel 50 alleen de machineleesbare markering uit, en alleen voor generatieve systemen die al op de markt waren. Een zin in je privacyverklaring doet dit werk niet: de privacyverklaring is geen deel van het gesprek. De GBA geeft in haar brochure zelf een voorbeeld van zo'n opening: "Hallo, ik ben Nelson, een chatbot. Hoe kan ik u vandaag van dienst zijn?" Meer voorbeelden staan in onze gids voor de AI-melding; bij ChatterLab opent elk gesprek met "Je chat met een AI-assistent", in de taal van de widget, en dat kun je niet weghalen. Wie als aanbieder en wie als gebruiksverantwoordelijke telt, lees je in aanbieder of gebruiksverantwoordelijke; de bredere regels staan op onze pagina over de AI Act.
In een gezamenlijke oproep van 2 oktober 2025 zeiden de AP en de Autoriteit Consument & Markt (ACM) dat organisaties die chatbots inzetten, mensen altijd de mogelijkheid moeten bieden om met een medewerker te spreken, en duidelijk moeten maken wanneer ze met een chatbot te maken hebben. De zin in de basisalinea over een andere manier om je te bereiken, dient precies dat doel. Of de chat een cookiemelding nodig heeft, is een aparte vraag onder de e-privacyregels: zie chatbots en cookietoestemming.
Als een bezoeker vraagt wat je over hem bewaart
- Vraag naar het wanneer en het wat: ongeveer wanneer de bezoeker chatte, op welke pagina, en een zin die hij typte. Bij ChatterLab koppelt het bezoekersnummer alleen de berichten van één bezoek en zegt het niets over wie de persoon is. Geeft je site aan de chat door wie een ingelogde bezoeker is, dan draagt het gesprek jouw eigen id voor die bezoeker.
- Ga na of het gesprek van hem is. Artikel 12, lid 6, laat je om extra informatie vragen als je redelijke twijfel hebt over iemands identiteit; stuur geen gesprek van een ander naar wie een datum gokt. Kun je iemand niet identificeren, dan vraagt artikel 11, lid 2, je dat te melden.
- Antwoord binnen een maand (artikel 12, lid 3), met twee maanden verlenging als de complexiteit of het aantal verzoeken dat nodig maakt.
- Stuur een kopie met alleen zijn gesprek (artikel 15, lid 3). In Activiteit bevat PDF exporteren elk gesprek uit de gekozen dagen; controleer het bestand dus voor je het verstuurt.
- Noem de ontvangers. Het Hof van Justitie oordeelde in zaak C-154/21 (12 januari 2023) dat het inzagerecht de werkelijke identiteit van de ontvangers omvat, tenzij dat onmogelijk is of het verzoek kennelijk ongegrond of buitensporig is.
- Wis op verzoek (artikel 17). Verwijderen boven een gesprek wist het met de berichten, de lead, de bestanden en het ticket, definitief. Bestand verwijderen wist één bestand; Leads en Tickets hebben elk hun eigen Verwijderen.
ChatterLab beantwoordt zulke verzoeken niet in jouw plaats: de gegevens zijn van jou, en het antwoord ook.
Heeft een chatbot een DPIA nodig?
Artikel 35 AVG vraagt een DPIA (gegevensbeschermingseffectbeoordeling) als een verwerking, "in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt", waarschijnlijk een hoog risico oplevert. De AP hanteert de negen criteria van de Europese toezichthouders, met als vuistregel: bij twee of meer criteria een DPIA. Voor een chat tellen gevoelige of zeer persoonlijke gegevens, grootschaligheid, kwetsbare mensen zoals kinderen of patiënten, en innovatief gebruik van technologie; de CNIL rekent in haar aanbevelingen voor de ontwikkeling van AI-systemen generatieve AI waarvan het gedrag niet in elk geval te voorspellen is, tot innovatief gebruik. Volgens die lezing wijst een generatieve chat met gezondheidsvragen, een jong publiek of heel veel gesprekken op een DPIA. Dat is een interpretatie, geen regel uit de AVG.
De nationale lijsten tellen mee. Op de Nederlandse lijst van verplichte DPIA's (Staatscourant 2019, nr. 64418) staat de grootschalige verwerking of stelselmatige monitoring van communicatiegegevens die tot personen herleidbaar zijn; de Belgische lijst (beslissing nr. 01/2019 van de GBA) noemt die verwerking als ze niet strikt noodzakelijk is voor een dienst waar de betrokkene om vroeg. Een kleine webwinkel met een chat over levering en retour, zonder accounts, zonder gevoelige onderwerpen en met een korte bewaartermijn, voldoet aan hooguit één criterium. Ook dan zegt de AP dat je moet kunnen onderbouwen waarom je geen DPIA doet, en de GBA vraagt die beslissing te documenteren. De AP werkt aan een lijst van verwerkingen zonder DPIA-plicht: op haar DPIA-pagina is dat op 25 oktober 2026 nog een voorlopige lijst, en de conceptlijst van 24 juni 2026 noemt geen chatbots.
Checklist voordat je de nieuwe privacyverklaring publiceert
- De chat toont de AI-melding en linkt naar je privacyverklaring vóór het eerste bericht. Artikel 13, lid 1, AVG en artikel 50, lid 5, AI-verordening.
- De verwerkingsverantwoordelijke, een contactadres en eventueel je FG staan erin. Artikel 13, lid 1, sub a en b.
- Elke ontvanger staat erin, ook de AI-leverancier en de subverwerkers, en de verwerkersovereenkomst is getekend. Artikelen 13, lid 1, sub e, en 28, lid 3.
- Elke doorgifte buiten de EER staat erin, met de waarborg. Artikel 13, lid 1, sub f.
- Elk doel heeft een grondslag, en een gerechtvaardigd belang is uitgeschreven, met het recht van bezwaar. Artikelen 13, lid 1, sub c en d, en 21.
- Elke bewaartermijn wordt ook echt toegepast. Artikel 5, lid 1, sub e; bij ChatterLab verwijder je gesprekken zelf of via de API.
- De chat vraagt geen gevoelige gegevens te delen, en iemand schoont op wat toch binnenkomt. Het advies van de CNIL.
- De route voor verzoeken is één keer getest: zoek een testgesprek, maak een kopie, verwijder het. Artikelen 12, lid 3, 15 en 17.
Meer over de AVG en chatbots lees je op onze AVG-pagina en in de checklist voor EU-hosting.
Vragen over de privacyverklaring voor een chatbot
Moet ik mijn privacyverklaring aanpassen als ik een chatbot gebruik?
Ja, als de chat vastlegt wat bezoekers typen, en dat doet bijna elke chat. Artikel 13 AVG verplicht je bezoekers bij het verzamelen te vertellen wie je bent, waarom je hun gegevens verwerkt en op welke grondslag, wie ze ontvangt, of ze buiten de EU gaan, hoe lang je ze bewaart en welke rechten ze hebben. Een privacyverklaring van vóór de chat noemt de chatleverancier en de AI-leverancier niet.
Welke grondslag geldt voor een chatbot op mijn website?
Geen enkele toezichthouderstekst in dit artikel wijst alle chatbots één grondslag toe. Voor een chat die vragen van bezoekers beantwoordt, ligt gerechtvaardigd belang (artikel 6, lid 1, sub f) voor de hand, als je afweging in drie stappen standhoudt; een overheidsinstantie kan zich er voor haar taken niet op beroepen. Vragen over je producten of een offerte kunnen rusten op precontractuele stappen (sub b), zoals de AP en het EDPB aangeven. Marketing vraagt toestemming, gevoelige onderwerpen een uitzondering uit artikel 9.
Heb ik toestemming nodig voor een chatbot?
Voor het gesprek zelf meestal niet: gerechtvaardigd belang of precontractuele stappen kunnen het beantwoorden van vragen dragen. Toestemming komt in beeld bij marketing, omdat e-mailmarketing voorafgaande toestemming vraagt onder de e-privacyregels, en bij gezondheid of andere gevoelige onderwerpen die je bewust in de chat behandelt. Of wat de widget in de browser bewaart toestemming vraagt, is een aparte vraag onder de regels voor cookies en vergelijkbare technieken.
Hoe lang mag ik chatgesprekken bewaren?
De AVG noemt geen termijn. Artikel 5, lid 1, sub e staat niet langer toe dan het doel vraagt, en overweging 39 vraagt je termijnen voor wissen of periodieke toetsing vast te leggen. De CNIL onderscheidt chats die je wist zodra het gesprek voorbij is, van chats die je langer mag bewaren, zoals een klacht over een aankoop. Kies een termijn per soort gegeven, zet die in je privacyverklaring en zorg dat er echt op tijd verwijderd wordt.
Moet ik de AI-leverancier noemen in mijn privacyverklaring?
Artikel 13 staat "ontvangers of categorieën van ontvangers" toe, maar de transparantierichtsnoeren die het EDPB overnam, zeggen dat de namen van ontvangers voor mensen meestal het zinvolst zijn, en verwerkers tellen als ontvanger. Wie om inzage vraagt, heeft recht op de werkelijke identiteit van de ontvangers, oordeelde het Hof van Justitie in januari 2023 (zaak C-154/21). Wie de chatleverancier en de AI-leverancier nu al noemt, hoeft dat later niet apart uit te zoeken.
Heb ik een aparte privacyverklaring voor de chatbot nodig?
Nee. Een paragraaf in je gewone privacyverklaring volstaat, zolang de chat er vóór het eerste bericht naar linkt en de paragraaf makkelijk te vinden is. De AP tipt een privacyverklaring in lagen: eerst kort wie je bent en welke verwerkingen het zwaarst wegen, daarna de details. Een aparte pagina kan handig zijn als één chat op meerdere websites draait, of als de chat gegevens verwerkt die de rest van je site niet raakt.
Bronnen
- Verordening (EU) 2016/679 (algemene verordening gegevensbescherming), Publicatieblad van de Europese Unie, geraadpleegd op 25 oktober 2026.
- Verordening (EU) 2024/1689 (AI-verordening), Publicatieblad van de Europese Unie, geraadpleegd op 25 oktober 2026.
- Verordening (EU) 2026/1744 (Digitale omnibus inzake AI), Publicatieblad van de Europese Unie, geraadpleegd op 25 oktober 2026.
- Richtlijn 2002/58/EG (e-privacyrichtlijn), geconsolideerde tekst, Publicatieblad van de Europese Unie, geraadpleegd op 25 oktober 2026.
- Arrest in zaak C-154/21, Österreichische Post, 12 januari 2023, Hof van Justitie van de Europese Unie, geraadpleegd op 25 oktober 2026.
- Guidelines on transparency under Regulation 2016/679 (WP260 rev.01), Artikel 29-werkgroep, overgenomen door het EDPB, geraadpleegd op 25 oktober 2026.
- Guidelines on Data Protection Impact Assessment (WP248 rev.01), Artikel 29-werkgroep, overgenomen door het EDPB, geraadpleegd op 25 oktober 2026.
- Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, versie 1.0, Europees Comité voor gegevensbescherming, geraadpleegd op 25 oktober 2026.
- Guidelines 2/2019 on the processing of personal data under Article 6(1)(b) GDPR, Europees Comité voor gegevensbescherming, geraadpleegd op 25 oktober 2026.
- CEF 2026: EDPB launches coordinated enforcement action on transparency and information obligations under the GDPR, Europees Comité voor gegevensbescherming, geraadpleegd op 25 oktober 2026.
- Recht op informatie, Autoriteit Persoonsgegevens, geraadpleegd op 25 oktober 2026.
- Sjabloon privacyverklaring mkb, Autoriteit Persoonsgegevens, geraadpleegd op 25 oktober 2026.
- Grondslagen AVG uitgelegd, Autoriteit Persoonsgegevens, geraadpleegd op 25 oktober 2026.
- Data protection impact assessment (DPIA), Autoriteit Persoonsgegevens, geraadpleegd op 25 oktober 2026.
- Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een DPIA verplicht is (Staatscourant 2019, nr. 64418), Autoriteit Persoonsgegevens, in de Staatscourant, geraadpleegd op 25 oktober 2026.
- AP vraagt reacties op lijst DPIA-uitzonderingen, Autoriteit Persoonsgegevens, geraadpleegd op 25 oktober 2026.
- AP en ACM: chatbot mag mens niet volledig vervangen bij klantenservice, Autoriteit Persoonsgegevens, geraadpleegd op 25 oktober 2026.
- Effectbeoordeling inzake gegevensbescherming, Gegevensbeschermingsautoriteit, geraadpleegd op 25 oktober 2026.
- Beslissing nr. 01/2019 van 16 januari 2019 (lijst van verwerkingen waarvoor een GEB vereist is), Gegevensbeschermingsautoriteit, geraadpleegd op 25 oktober 2026.
- Artificiële-intelligentiesystemen en de AVG (versie december 2024), Gegevensbeschermingsautoriteit, geraadpleegd op 25 oktober 2026.
- Chatbots : les conseils de la CNIL pour respecter les droits des personnes, CNIL, geraadpleegd op 25 oktober 2026.
- IA : Réaliser une analyse d'impact si nécessaire, CNIL, geraadpleegd op 25 oktober 2026.
- Data Governance & Controls, Cortecs, geraadpleegd op 25 oktober 2026.
Zo is dit gemaakt: opgesteld met AI en daarna gecontroleerd tegen hoe ChatterLab echt werkt en tegen de bronnen die in het artikel staan. Een fout gezien? Mail naar management@sri-group.eu.