Problema pe care nu știai că o ai
Dacă firma ta trimite facturi, comenzi, avize de livrare sau orice document care conține date ale clienților printr-o aplicație de mesagerie convențională, acele date trec prin servere care probabil nu sunt în Europa. Sau dacă sunt, aparțin unei companii supuse legislației străine. GDPR are ceva de spus despre asta.
Reglementările europene de protecție a datelor cer să știi unde sunt datele tale, cine are acces la ele și sub ce jurisdicție. Când folosești o aplicație de mesagerie cu server central, documentele tale trec prin infrastructură pe care nu o controlezi. Datele clienților tăi sunt stocate — chiar dacă temporar — pe mașinile altei companii, în altă țară, sub alte legi.
Ce se schimbă când nu există server
Într-o comunicare punct la punct, datele merg direct de pe dispozitivul expeditorului pe cel al destinatarului. Nu sunt salvate pe niciun server. Când o conexiune directă nu este posibilă, trec criptate prin oglinda noastră, care nu le păstrează și nu le poate citi. Documentul pleacă de pe computerul tău din Lugo și ajunge pe cel al clientului tău din Barcelona, Berlin sau Lisabona.
Acest lucru contează pentru GDPR. Datele contului tău pe care le păstrăm se află pe servere din Germania, în Uniunea Europeană. Mesajele tale nu le salvăm pe niciun server.
Pe cine interesează
Dacă ești avocat și trimiți un contract unui client prin mesagerie, datele acelui contract trec printr-un server. Dacă ești consultant fiscal și partajezi o declarație fiscală, acele date trec printr-un server. Dacă ești medic și trimiți un raport unui pacient, datele de sănătate trec printr-un server. În toate aceste cazuri, delegi custodia informațiilor confidențiale unei companii pe care nu ai ales-o și nu o controlezi.
Nu o faci cu rea intenție. Instrumentul pe care îl folosești pur și simplu nu îți oferă altă opțiune. Pentru ca mesajele tale profesionale să nu fie salvate pe niciun server, comunicarea trebuie să meargă de pe ecranul tău direct pe al său.
Conformitate automată
Cu comunicare P2P, nu trebuie să auditezi unde sunt serverele furnizorului tău de mesagerie. Nu trebuie să verifici conformitatea cu Privacy Shield sau cu clauzele contractuale standard ale UE. Nu trebuie să adaugi o clauză în politica ta de confidențialitate care să explice că datele tale 'pot fi prelucrate în afara Spațiului Economic European'. Nimic din toate acestea nu se aplică, pentru că niciun terț nu îți prelucrează datele.
Conformitatea nu depinde de bunăvoința nimănui. Nu depinde de un acord de prelucrare a datelor cu un furnizor. Nu depinde de o companie americană care își menține angajamentul față de legislația europeană. Depinde de arhitectură. Iar arhitectura este verificabilă, imuabilă și nu se răzgândește.
Întrebarea pentru următorul tău audit
Data viitoare când cineva te întreabă unde sunt datele clienților tăi, poți răspunde: «Mesajele sunt pe dispozitivul meu și pe al său. Nu sunt salvate pe niciun server.»