O problema que non sabías que tiñas
Se a túa empresa envía facturas, pedidos, albaráns de entrega ou calquera documento con datos de clientes a través dunha aplicación de mensaxería convencional, eses datos pasan por servidores que probablemente non están en Europa. Ou se están, pertencen a unha empresa suxeita a lexislación estranxeira. O RXPD ten algo que dicir sobre iso.
A normativa europea de protección de datos esixe saber onde están os teus datos, quen ten acceso a eles e baixo que xurisdición. Cando usas unha aplicación de mensaxería cun servidor central, os teus documentos pasan por unha infraestrutura que non controlas. Os datos dos teus clientes almacénanse — aínda que temporalmente — en máquinas doutra empresa, noutro país, baixo outras leis.
Que cambia cando non hai servidor
Nunha comunicación punto a punto, os datos van directamente do dispositivo de quen envía ao de quen recibe. Non se gardan en ningún servidor. Cando non é posible unha conexión directa, pasan cifrados polo noso espello, que non os garda e non pode lelos. O documento sae do teu ordenador en Lugo e chega ao do teu cliente en Barcelona, en Berlín ou en Lisboa.
Isto importa para o RGPD. Os datos da túa conta que gardamos están en servidores de Alemaña, na Unión Europea. As túas mensaxes non as gardamos en ningún servidor.
A quen lle importa isto
Se es avogado e envías un contrato a un cliente por mensaxería, os datos dese contrato pasan por un servidor. Se es asesor fiscal e compartes unha declaración de impostos, eses datos pasan por un servidor. Se es médico e envías un informe a un paciente, os datos de saúde pasan por un servidor. En todos eses casos, estás delegando a custodia de información confidencial nunha empresa que non elixiches e que non controlas.
Non o fas con mala intención. A ferramenta que usas non che dá outra opción. Para que as túas mensaxes profesionais non se garden en ningún servidor, a comunicación ten que ir da túa pantalla á súa.
Cumprimento automático
Coa comunicación P2P, non necesitas auditar onde están os servidores do teu provedor de mensaxería. Non necesitas verificar o cumprimento co Privacy Shield ou coas cláusulas contractuais tipo da UE. Non necesitas engadir unha cláusula á túa política de privacidade explicando que os teus datos 'poden ser procesados fóra do Espazo Económico Europeo'. Nada diso aplica, porque ningún terceiro está procesando os teus datos.
O cumprimento non depende da boa vontade de ninguén. Non depende dun acordo de tratamento de datos cun provedor. Non depende dunha empresa americana mantendo o seu compromiso coa lexislación europea. Depende da arquitectura. E a arquitectura é verificable, inmutable e non cambia de opinión.
A pregunta para a túa próxima auditoría
A próxima vez que alguén che pregunte onde están os datos dos teus clientes, podes contestar: «As mensaxes, no meu dispositivo e no seu. Non se gardan en ningún servidor.»