Проблемът, за който не знаеше
Ако компанията ти изпраща фактури, поръчки, товарителници или какъвто и да е документ с клиентски данни чрез конвенционално приложение за съобщения, тези данни преминават през сървъри, които вероятно не са в Европа. Или ако са, принадлежат на компания, предмет на чуждестранно законодателство. GDPR има какво да каже по въпроса.
Европейските регулации за защита на данните изискват да знаеш къде са данните ти, кой има достъп до тях и под чия юрисдикция. Когато използваш приложение за съобщения с централен сървър, документите ти преминават през инфраструктура, която не контролираш. Данните на клиентите ти се съхраняват — дори временно — на машини, принадлежащи на друга компания, в друга държава, под други закони.
Какво се променя, когато няма сървър
При комуникация от точка до точка данните отиват директно от устройството на изпращача до това на получателя. Не се записват на нито един сървър. Когато пряката връзка не е възможна, те преминават криптирани през нашето огледало, което не ги записва и не може да ги прочете. Документът тръгва от компютъра ти в Луго и пристига на този на клиента ти в Барселона, Берлин или Лисабон.
Това е важно за GDPR. Данните на профила ти, които пазим, се намират на сървъри в Германия, в Европейския съюз. Твоите съобщения не ги пазим на нито един сървър.
За кого е важно това
Ако си адвокат, изпращащ договор на клиент чрез съобщения, данните на този договор преминават през сървър. Ако си данъчен консултант, споделящ данъчна декларация, тези данни преминават през сървър. Ако си лекар, изпращащ доклад на пациент, здравните данни преминават през сървър. Във всички тези случаи делегираш попечителството на поверителна информация на компания, която не си избрал и не контролираш.
Не го правиш с лоши намерения. Инструментът, който използваш, не ти дава друг избор. За да не се записват професионалните ти съобщения на нито один сървър, комуникацията трябва да върви от твоя екран директно към неговия.
Автоматично съответствие
С P2P комуникация не е нужно да проверяваш къде са сървърите на доставчика на съобщения. Не е нужно да проверяваш съответствието с Privacy Shield или стандартните договорни клаузи на ЕС. Не е нужно да добавяш клауза в политиката за поверителност, обясняваща, че данните ти 'могат да бъдат обработвани извън Европейското икономическо пространство'. Нищо от това не се прилага, защото никоя трета страна не обработва данните ти.
Съответствието не зависи от добрата воля на никого. Не зависи от споразумение за обработка на данни с доставчик. Не зависи от поддържането на ангажимента на американска компания към европейското законодателство. Зависи от архитектурата. А архитектурата е проверима, неизменна и не си променя мнението.
Въпросът за следващия ти одит
Следващия път, когато някой те попита къде са данните на клиентите ти, можеш да отговориш: «Съобщенията са на моето устройство и на неговото. Не се записват на нито един сървър.»