A probléma, amiről nem is tudtál
Ha a céged hagyományos üzenetküldő alkalmazáson keresztül küld számlákat, megrendeléseket, szállítóleveleket vagy bármilyen ügyféladatokat tartalmazó dokumentumot, azok az adatok olyan szervereken mennek keresztül, amelyek valószínűleg nincsenek Európában. Vagy ha igen, egy külföldi jogszabályok hatálya alá tartozó céghez tartoznak. A GDPR-nek van erről mondanivalója.
Az európai adatvédelmi szabályozás megköveteli, hogy tudd, hol vannak az adataid, kinek van hozzáférése és milyen joghatóság alatt. Amikor központi szerverrel rendelkező üzenetküldőt használsz, a dokumentumaid olyan infrastruktúrán mennek keresztül, amelyet nem te irányítasz. Az ügyfeleid adatai — még ha ideiglenesen is — egy másik cég gépeire kerülnek, egy másik országban, más törvények alatt.
Mi változik, ha nincs szerver
A pont-pont közötti kommunikációban az adatok közvetlenül a küldő eszközéről jutnak el a fogadó eszközére. Egyetlen szerveren sem tárolódnak. Ha a közvetlen kapcsolat nem lehetséges, titkosítva haladnak át a tükörszerverünkön, amely nem tárolja és nem tudja elolvasni őket. A dokumentum elhagyja a számítógépedet Lugóban, és megérkezik az ügyfeled gépére Barcelonában, Berlinben vagy Lisszabonban.
Ez fontos a GDPR szempontjából. A fiókod általunk tárolt adatai németországi szervereken találhatók, az Európai Unióban. Az üzeneteidet semmilyen szerveren nem tároljuk.
Kit érint ez
Ha ügyvéd vagy, és üzenetküldőn keresztül küldesz szerződést egy ügyfélnek, annak a szerződésnek az adatai szerveren mennek keresztül. Ha adótanácsadó vagy, és adóbevallást osztasz meg, azok az adatok szerveren mennek keresztül. Ha orvos vagy, és leletet küldesz egy páciensnek, az egészségügyi adatok szerveren mennek keresztül. Mindezekben az esetekben bizalmas információk őrizetét delegálod egy olyan cégnek, amelyet nem te választottál és amelyet nem te irányítasz.
Ezt nem rossz szándékkal teszed. Az általad használt eszköz egyszerűen nem ad más választást. Ahhoz, hogy szakmai üzeneteid ne tárolódjanak semmilyen szerveren, a kommunikációnak közvetlenül a te képernyődről kell az övére jutnia.
Automatikus megfelelőség
P2P kommunikációval nem kell auditálnod, hol vannak az üzenetküldő szolgáltatód szerverei. Nem kell ellenőrizned a Privacy Shield-nek vagy az EU általános szerződési feltételeinek való megfelelést. Nem kell záradékot hozzáadnod az adatvédelmi szabályzatodhoz, amely elmagyarázza, hogy az adataid 'az Európai Gazdasági Térségen kívül is feldolgozásra kerülhetnek'. Semmi ilyesmi nem érvényes, mert egyetlen harmadik fél sem dolgozza fel az adataidat.
A megfelelőség nem függ senki jóakaratától. Nem függ egy szolgáltatóval kötött adatkezelési megállapodástól. Nem függ attól, hogy egy amerikai cég fenntartja-e az európai jogszabályok iránti elkötelezettségét. Az architektúrától függ. Az architektúra pedig ellenőrizhető, változtathatatlan, és nem gondolja meg magát.
A kérdés a következő auditodra
Amikor legközelebb megkérdezi valaki, hol vannak az ügyfeleid adatai, ezt válaszolhatod: «Az üzenetek az én eszközömön és az övén vannak. Semmilyen szerveren nem tárolódnak.»