あなたが知らなかった問題
もしあなたの会社が従来のメッセージングアプリを通じて請求書、注文書、納品書、または顧客データを含む文書を送信しているなら、そのデータはおそらくヨーロッパにないサーバーを経由しています。あるいはヨーロッパにあったとしても、外国の法律に従う企業のものです。GDPRはそれについて言いたいことがあります。
欧州のデータ保護規制は、あなたのデータがどこにあるか、誰がアクセスできるか、どの管轄下にあるかを把握することを求めています。中央サーバーを持つメッセージングアプリを使用すると、あなたの文書はあなたが管理していないインフラを通過します。あなたの顧客のデータは——たとえ一時的であっても——別の会社の、別の国の、別の法律の下にあるマシンに保存されます。
サーバーがないと何が変わるか
ピアツーピア通信では、データは送信者の端末から受信者の端末へと直接送られます。いかなるサーバーにも保存されません。直接接続ができない場合でも、データはリレー（ミラー）を経由して暗号化されたまま通過しますが、リレー側で保存されることも読み取られることもありません。文書はルーゴにあるあなたのPCを出て、バルセロナ、ベルリン、リスボンにいるクライアントのPCへと届きます。
これはGDPR（EU一般データ保護規則）にとっても重要です。当社が保管するアカウントデータは欧州連合内、ドイツのサーバーにあります。あなたのメッセージはいかなるサーバーにも保管されません。
誰にとって重要か
もしあなたが弁護士で、メッセージングを通じてクライアントに契約書を送っているなら、その契約書のデータはサーバーを経由します。もしあなたが税理士で確定申告を共有しているなら、そのデータはサーバーを経由します。もしあなたが医師で患者に報告書を送っているなら、健康データはサーバーを経由します。これらすべてのケースで、あなたは機密情報の管理を、あなたが選んでおらず管理もしていない企業に委ねています。
悪意があってそうしているわけではありません。使っているツールに他の選択肢がないからです。業務上のメッセージをどのサーバーにも残さないためには、あなたの画面から相手の画面へと直接通信が届く必要があります。
自動的なコンプライアンス
P2P通信では、メッセージングプロバイダーのサーバーがどこにあるかを監査する必要がありません。Privacy ShieldやEUの標準契約条項への準拠を確認する必要がありません。データが「欧州経済領域外で処理される可能性がある」と説明する条項をプライバシーポリシーに追加する必要がありません。第三者があなたのデータを処理していないため、これらは一切適用されません。
コンプライアンスは誰の善意にも依存しません。プロバイダーとのデータ処理契約にも依存しません。アメリカの企業が欧州の法律への取り組みを維持することにも依存しません。アーキテクチャに依存します。そしてアーキテクチャは検証可能で、不変で、考えを変えることがありません。
次の監査への質問
今度クライアントのデータがどこにあるか尋ねられたら、こう答えることができます。「メッセージは私の端末と相手の端末だけにあります。どのサーバーにも保存されていません。」