Ongelma, josta et tiennyt
Jos yrityksesi lähettää laskuja, tilauksia, lähetysluetteloita tai mitä tahansa asiakastietoja sisältäviä asiakirjoja tavanomaisen viestisovelluksen kautta, nuo tiedot kulkevat palvelimien kautta, jotka eivät todennäköisesti ole Euroopassa. Tai jos ovat, ne kuuluvat ulkomaisen lainsäädännön alaiselle yritykselle. GDPR:llä on tästä sanottavaa.
Euroopan tietosuojasäännökset edellyttävät tietämistä, missä tietosi ovat, kenellä on niihin pääsy ja minkä lainkäyttöalueen alla. Kun käytät viestisovellusta, jolla on keskuspalvelin, dokumenttisi kulkevat infrastruktuurin kautta, jota et hallitse. Asiakkaidesi tiedot tallennetaan — vaikka vain tilapäisesti — koneisiin, jotka kuuluvat toiselle yritykselle, toisessa maassa, toisten lakien alla.
Mikä muuttuu, kun palvelinta ei ole
Päästä päähän -viestinnässä data kulkee suoraan lähettäjän laitteelta vastaanottajan laitteelle. Sitä ei tallenneta yhdellekään palvelimelle. Kun suora yhteys ei ole mahdollinen, se kulkee salattuna peilimme kautta, joka ei tallenna sitä eikä voi lukea sitä. Asiakirja lähtee tietokoneeltasi Lugosta ja saapuu asiakkaasi koneelle Barcelonaan, Berliiniin tai Lissaboniin.
Tällä on merkitystä GDPR:n kannalta. Säilyttämämme tilisi tiedot ovat palvelimilla Saksassa, Euroopan unionissa. Viestejäsi emme tallenna yhdellekään palvelimelle.
Ketä tämä koskee
Jos olet asianajaja, joka lähettää sopimuksen asiakkaalle viestillä, sopimuksen tiedot kulkevat palvelimen kautta. Jos olet veroneuvojа, joka jakaa veroilmoituksen, nuo tiedot kulkevat palvelimen kautta. Jos olet lääkäri, joka lähettää raportin potilaalle, terveystiedot kulkevat palvelimen kautta. Kaikissa näissä tapauksissa delegoit luottamuksellisten tietojen säilytyksen yritykselle, jota et valinnut etkä hallitse.
Et tee sitä pahaa tarkoittaen. Käyttämäsi työkalu ei vain anna muuta vaihtoehtoa. Jotta ammatillisia viestejäsi ei tallennettaisi yhdellekään palvelimelle, viestinnän on kuljettava suoraan sinun näytöltäsi hänen näytölleen.
Automaattinen vaatimustenmukaisuus
P2P-viestinnässä sinun ei tarvitse tarkastaa, missä viestipalveluntarjoajasi palvelimet sijaitsevat. Sinun ei tarvitse todentaa Privacy Shield -yhteensopivuutta tai EU:n vakiosopimuslausekkeita. Sinun ei tarvitse lisätä tietosuojakäytäntöösi lauseketta, joka selittää, että tietojasi 'voidaan käsitellä Euroopan talousalueen ulkopuolella'. Mikään näistä ei päde, koska mikään kolmas osapuoli ei käsittele tietojasi.
Vaatimustenmukaisuus ei riipu kenenkään hyvästä tahdosta. Se ei riipu tietojenkäsittelysopimuksesta palveluntarjoajan kanssa. Se ei riipu siitä, pitääkö amerikkalainen yritys lupauksensa eurooppalaiselle lainsäädännölle. Se riippuu arkkitehtuurista. Ja arkkitehtuuri on todennettavissa, muuttumaton eikä muuta mieltään.
Kysymys seuraavaa tarkastustasi varten
Kun joku seuraavan kerran kysyy, missä asiakkaidesi tiedot ovat, voit vastata: «Viestit ovat minun laitteellani ja hänen laitteellaan. Niitä ei tallenneta yhdellekään palvelimelle.»