Le problème que tu ignorais
Si ton entreprise envoie des factures, des commandes, des bons de livraison ou tout document contenant des données clients via une application de messagerie classique, ces données transitent par des serveurs qui ne se trouvent probablement pas en Europe. Ou s'ils s'y trouvent, ils appartiennent à une entreprise soumise à une législation étrangère. Le RGPD a son mot à dire à ce sujet.
La réglementation européenne sur la protection des données exige de savoir où se trouvent tes données, qui y a accès et sous quelle juridiction. Lorsque tu utilises une application de messagerie avec un serveur central, tes documents transitent par une infrastructure que tu ne contrôles pas. Les données de tes clients sont stockées — même temporairement — sur des machines appartenant à une autre entreprise, dans un autre pays, sous d'autres lois.
Ce qui change quand il n'y a pas de serveur
Dans une communication de point à point, les données vont directement de l'appareil de l'expéditeur à celui du destinataire. Elles ne sont stockées sur aucun serveur. Quand une connexion directe n'est pas possible, elles transitent chiffrées par notre miroir, qui ne les conserve pas et ne peut pas les lire. Le document part de ton ordinateur à Lugo et arrive sur celui de ton client à Barcelone, Berlin ou Lisbonne.
C'est important pour le RGPD. Les données de ton compte que nous conservons se trouvent sur des serveurs en Allemagne, dans l'Union européenne. Tes messages ne sont stockés sur aucun serveur.
À qui cela concerne
Si tu es avocat et que tu envoies un contrat à un client par messagerie, les données de ce contrat transitent par un serveur. Si tu es conseiller fiscal et que tu partages une déclaration d'impôts, ces données transitent par un serveur. Si tu es médecin et que tu envoies un rapport à un patient, les données de santé transitent par un serveur. Dans tous ces cas, tu délègues la garde d'informations confidentielles à une entreprise que tu n'as pas choisie et que tu ne contrôles pas.
Tu ne le fais pas avec de mauvaises intentions. L'outil que tu utilises ne te donne tout simplement pas d'autre choix. Pour que tes messages professionnels ne soient stockés sur aucun serveur, la communication doit aller directement de ton écran au sien.
Conformité automatique
Avec la communication P2P, tu n'as pas besoin d'auditer où se trouvent les serveurs de ton fournisseur de messagerie. Tu n'as pas besoin de vérifier la conformité au Privacy Shield ou aux clauses contractuelles types de l'UE. Tu n'as pas besoin d'ajouter une clause à ta politique de confidentialité expliquant que tes données « peuvent être traitées en dehors de l'Espace économique européen ». Rien de tout cela ne s'applique, car aucun tiers ne traite tes données.
La conformité ne dépend de la bonne volonté de personne. Elle ne dépend pas d'un accord de traitement des données avec un prestataire. Elle ne dépend pas d'une entreprise américaine maintenant son engagement envers la législation européenne. Elle dépend de l'architecture. Et l'architecture est vérifiable, immuable, et ne change pas d'avis.
La question pour ton prochain audit
La prochaine fois que quelqu'un te demandera où se trouvent les données de tes clients, tu pourras répondre : « Les messages sont sur mon appareil et sur le leur. Ils ne sont stockés sur aucun serveur. »