Probleem, millest sa ei teadnud
Kui su ettevõte saadab arveid, tellimusi, saatelehti või mõnda muud kliendiandmeid sisaldavat dokumenti tavalise sõnumirakenduse kaudu, läbivad need andmed servereid, mis tõenäoliselt ei asu Euroopas. Või kui asuvad, kuuluvad need välisriigi seadusandlusele alluvale ettevõttele. GDPR-il on selle kohta midagi öelda.
Euroopa andmekaitsemäärused nõuavad teadmist, kus su andmed asuvad, kellel on neile juurdepääs ja millise jurisdiktsiooni all. Kui kasutad sõnumirakendust keskse serveriga, läbivad su dokumendid infrastruktuuri, mida sa ei kontrolli. Su klientide andmeid hoitakse — isegi ajutiselt — masinates, mis kuuluvad teisele ettevõttele, teises riigis, teiste seaduste all.
Mis muutub, kui serverit pole
Otsesuhtluses liiguvad andmed otse saatja seadmest saaja seadmesse. Neid ei salvestata üheski serveris. Kui otsene ühendus pole võimalik, liiguvad need krüpteeritult läbi meie peegli, mis ei salvesta neid ega saa neid lugeda. Dokument väljub sinu arvutist Lugos ja jõuab kliendi arvutisse Barcelonas, Berliinis või Lissabonis.
See on oluline GDPR-i jaoks. Sinu konto andmed, mida me säilitame, asuvad serverites Saksamaal, Euroopa Liidus. Sinu sõnumeid me üheski serveris ei salvesta.
Kellele see oluline on
Kui oled advokaat, kes saadab lepingut kliendile sõnumiga, läbivad selle lepingu andmed serverit. Kui oled maksunõustaja, kes jagab maksudeklaratsiooni, läbivad need andmed serverit. Kui oled arst, kes saadab aruannet patsiendile, läbivad terviseandmed serverit. Kõigil neil juhtudel delegeerid konfidentsiaalse teabe hoidmise ettevõttele, mida sa ei valinud ja mida sa ei kontrolli.
Sa ei tee seda pahatahtlikult. Sinu kasutatav tööriist lihtsalt ei anna muud valikut. Selleks, et sinu ametialaseid sõnumeid ei salvestataks üheski serveris, peab suhtlus toimuma otse sinu ekraanilt tema ekraanile.
Automaatne vastavus
P2P suhtlusega ei pea sa auditeerima, kus su sõnumiteenuse pakkuja serverid asuvad. Sa ei pea kontrollima vastavust Privacy Shieldile ega EL-i standardsetele lepingutingimustele. Sa ei pea lisama oma privaatsuspoliitikasse klauslit, mis selgitab, et su andmeid 'võidakse töödelda väljaspool Euroopa Majanduspiirkonda'. Miski sellest ei kehti, sest ükski kolmas osapool ei töötle su andmeid.
Vastavus ei sõltu kellegi heast tahtest. See ei sõltu andmetöötluslepingust teenusepakkujaga. See ei sõltu sellest, kas Ameerika ettevõte peab kinni oma kohustusest Euroopa seadusandluse ees. See sõltub arhitektuurist. Ja arhitektuur on kontrollitav, muutumatu ega muuda meelt.
Küsimus su järgmiseks auditiks
Järgmine kord, kui keegi küsib, kus asuvad sinu klientide andmed, võid vastata: «Sõnumid on minu ja tema seadmes. Üheski serveris neid ei salvestata.»