Problem, o którym nie wiedziałeś
Jeśli Twoja firma wysyła faktury, zamówienia, dowody dostawy lub jakikolwiek dokument zawierający dane klientów przez konwencjonalny komunikator, te dane przechodzą przez serwery, które prawdopodobnie nie znajdują się w Europie. Lub jeśli się znajdują, należą do firmy podlegającej zagranicznemu prawodawstwu. RODO ma na ten temat coś do powiedzenia.
Europejskie przepisy o ochronie danych wymagają wiedzy o tym, gdzie są Twoje dane, kto ma do nich dostęp i pod jaką jurysdykcją. Gdy korzystasz z komunikatora z centralnym serwerem, Twoje dokumenty przechodzą przez infrastrukturę, której nie kontrolujesz. Dane Twoich klientów są przechowywane — nawet jeśli tymczasowo — na maszynach innej firmy, w innym kraju, pod innymi przepisami.
Co się zmienia, gdy nie ma serwera
W komunikacji punkt-punkt dane wędrują bezpośrednio z urządzenia nadawcy na urządzenie odbiorcy. Nie są zapisywane na żadnym serwerze. Gdy bezpośrednie połączenie nie jest możliwe, przechodzą zaszyfrowane przez nasze lustro, które ich nie zapisuje i nie może ich odczytać. Dokument opuszcza Twój komputer w Lugo i dociera do komputera Twojego klienta w Barcelonie, Berlinie lub Lizbonie.
Ma to kluczowe znaczenie dla RODO (GDPR). Przechowywane przez nas dane Twojego konta znajdują się na serwerach w Niemczech, w Unii Europejskiej. Twoich wiadomości nie zapisujemy na żadnym serwerze.
Kogo to dotyczy
Jeśli jesteś prawnikiem wysyłającym umowę klientowi przez komunikator, dane tej umowy przechodzą przez serwer. Jeśli jesteś doradcą podatkowym udostępniającym zeznanie podatkowe, te dane przechodzą przez serwer. Jeśli jesteś lekarzem wysyłającym raport pacjentowi, dane zdrowotne przechodzą przez serwer. We wszystkich tych przypadkach powierzasz przechowywanie poufnych informacji firmie, której nie wybrałeś i nie kontrolujesz.
Nie robisz tego w złej wierze. Narzędzie, z którego korzystasz, po prostu nie daje Ci innego wyboru. Aby Twoje wiadomości zawodowe nie były zapisywane na żadnym serwerze, komunikacja musi płynąć bezpośrednio z Twojego ekranu na jego ekran.
Automatyczna zgodność
Przy komunikacji P2P nie musisz kontrolować, gdzie znajdują się serwery Twojego dostawcy komunikatora. Nie musisz weryfikować zgodności z Privacy Shield ani ze standardowymi klauzulami umownymi UE. Nie musisz dodawać klauzuli do swojej polityki prywatności wyjaśniającej, że Twoje dane 'mogą być przetwarzane poza Europejskim Obszarem Gospodarczym'. Nic z tego nie ma zastosowania, bo żaden podmiot trzeci nie przetwarza Twoich danych.
Zgodność nie zależy od niczyjej dobrej woli. Nie zależy od umowy o przetwarzanie danych z dostawcą. Nie zależy od tego, czy amerykańska firma dotrzyma zobowiązań wobec europejskiego prawodawstwa. Zależy od architektury. A architektura jest weryfikowalna, niezmienna i nie zmienia zdania.
Pytanie na Twój następny audyt
Następnym razem, gdy ktoś zapyta Cię, gdzie znajdują się dane Twoich klientów, możesz odpowiedzieć: «Wiadomości są na moim urządzeniu i na urządzeniu klienta. Nie są zapisywane na żadnym serwerze.»