Problém, o kterém jsi nevěděl
Pokud tvoje firma posílá faktury, objednávky, dodací listy nebo jakýkoli dokument s údaji klientů přes běžnou aplikaci pro zasílání zpráv, tato data procházejí servery, které pravděpodobně nejsou v Evropě. Nebo pokud jsou, patří společnosti podléhající zahraniční legislativě. GDPR k tomu má co říct.
Evropské předpisy o ochraně osobních údajů vyžadují vědět, kde jsou tvoje data, kdo k nim má přístup a pod jakou jurisdikcí. Když používáš aplikaci pro zasílání zpráv s centrálním serverem, tvoje dokumenty procházejí infrastrukturou, kterou nekontroluješ. Data tvých klientů jsou uložena — i když dočasně — na strojích jiné společnosti, v jiné zemi, podle jiných zákonů.
Co se změní, když není server
Při komunikaci point-to-point putují data přímo ze zařízení odesílatele do zařízení příjemce. Neukládají se na žádném serveru. Pokud přímé spojení není možné, procházejí šifrovaně přes naše zrcadlo, které je neukládá a nemůže je číst. Dokument odejde z tvého počítače v Lugu a dorazí do počítače tvého klienta v Barceloně, Berlíně nebo Lisabonu.
To je důležité pro GDPR. Údaje tvého účtu, které ukládáme, jsou na serverech v Německu, v Evropské unii. Tvé zprávy na žádném serveru neukládáme.
Koho se to týká
Pokud jsi právník a posíláš smlouvu klientovi přes zprávy, data této smlouvy procházejí serverem. Pokud jsi daňový poradce a sdílíš daňové přiznání, tato data procházejí serverem. Pokud jsi lékař a posíláš zprávu pacientovi, zdravotní údaje procházejí serverem. Ve všech těchto případech deleguješ péči o důvěrné informace na společnost, kterou sis nevybral a nekontroluješ.
Neděláš to ve zlém úmyslu. Nástroj, který používáš, ti nedává jinou možnost. Aby se tvé profesní zprávy neukládaly na žádném serveru, musí komunikace jít přímo z tvé obrazovky na jeho.
Automatický soulad
S P2P komunikací nemusíš auditovat, kde jsou servery tvého poskytovatele zpráv. Nemusíš ověřovat soulad s Privacy Shield nebo standardními smluvními doložkami EU. Nemusíš do svých zásad ochrany osobních údajů přidávat doložku vysvětlující, že tvoje data 'mohou být zpracovávána mimo Evropský hospodářský prostor'. Nic z toho neplatí, protože žádná třetí strana tvoje data nezpracovává.
Soulad nezávisí na dobré vůli nikoho. Nezávisí na dohodě o zpracování dat s poskytovatelem. Nezávisí na tom, zda americká společnost dodrží svůj závazek vůči evropské legislativě. Závisí na architektuře. A architektura je ověřitelná, neměnná a nemění názor.
Otázka pro tvůj další audit
Až se tě příště někdo zeptá, kde jsou data tvých klientů, můžeš odpovědět: «Zprávy jsou v mém zařízení a v jeho. Na žádném serveru se neukládají.»