Профессиональная тайна в цифровую эпоху

Проблема, которую почти никто не видит

Адвокат получает на свой телефон конфиденциальный документ от клиента. Врач обсуждает с коллегой деликатный диагноз, а психолог координирует лечение пациента с психиатром. Налоговый консультант отправляет по тому же каналу данные декларации, ожидающей проверки. Все они используют мессенджеры. И почти никто не задумывается о том, куда на самом деле попадают эти сообщения.

Ответ в большинстве случаев один и тот же: на сервер, который специалист не контролирует, в страну, чье законодательство ему не обязательно известно, под управление компании, чья бизнес-модель, в прямом экономическом смысле, заключается в накоплении данных. Сообщение может быть зашифровано при передаче. Но как только оно попадает на сервер, это уже копия, хранящаяся в инфраструктуре третьей стороны, подчиняющаяся оперативным, юридическим и коммерческим решениям этой третьей стороны. А не специалиста.

Что говорит законодательство

Европейский общий регламент по защите данных однозначен в своей статье 32: каждый, кто обрабатывает персональные данные, должен внедрить «соответствующие» технические и организационные меры для обеспечения уровня безопасности, соответствующего риску. Соответствие мер оценивается не по тому, «что приложение говорит, что оно делает», а по реальному риску. Если данные клиента попадают на сервер, юрисдикция которого не гарантирует уровень защиты, эквивалентный уровню Европейской экономической зоны, контролер данных — то есть профессионал — берет на себе риск, о котором он, вероятно, не совсем осознает.

И это не только GDPR. Профессиональная тайна, которая регулируется специально для адвокатов, врачей, психологов, аудиторов, журналистов и других, требует, чтобы общение с клиентом было конфиденциальным. Не «как можно более конфиденциальным». Конфиденциальным без оговорок. Если используемый технический канал не может этого гарантировать, профессионал берет на себя риск, который деонтология его профессии не позволяет принимать.

Парадокс в том, что риск невидимый. Никто не проводит аудит мессенджеров в офисе. Никто не запрашивает договор об обработке данных у поставщика чата. Риск обнаруживается только тогда, когда уже слишком поздно: утечка, опубликованный взлом, судебный приказ, исполненный на другом континенте без уведомления пользователя.

Что технически нужно профессионалу

То, что нужно лицу, обязанному хранить тайну, на самом деле удивительно просто с точки зрения требований:

• Канал, где сообщения идут напрямую с устройства отправителя на устройство получателя, без прохождения через промежуточный сервер, который хранит копии.
• Инфраструктура, юрисдикция и политики которой согласованы с GDPR по дизайну, а не по декларации.
• Способ идентифицироваться с собеседником без необходимости передавать третьей стороне профессиональные контакты (имена клиентов, номера телефонов, адресную книгу).
• Система, которую можно проверить — не на основе слов поставщика — чтобы подтвердить, что сообщение дошло до нужного человека.

Это не является требовательным списком. Это на самом деле то, что считалось само собой разумеющимся в профессиональной коммуникации доцифровой эпохи. Заказное письмо соответствовало всем этим критериям. Телефонный звонок с коммутатора офиса до коммутатора клиента — также. Странно не то, что эти гарантии требуются сегодня: странно то, что они были потеряны при переходе к цифровому каналу, без того, чтобы кто-то это заметил.

Разница между шифрованием и несохранением

Есть полезная метафора. Шифровать сообщение и хранить его на сервере эквивалентно тому, чтобы положить документ в сейф и оставить сейф в доме незнакомца. Сейф хороший. Документ в принципе невозможно прочитать. Но документ все еще находится в чужом доме. И тот кто-то может получить судебный приказ, подвергнуться кибератаке, изменить свои условия обслуживания, быть купленным другой компанией с другой этикой или может исчезнуть завтра.

Структурная альтернатива, не процедурная и не основанная на доверии, заключается в том, чтобы документ никогда не покидал офис. Чтобы он отправлялся напрямую со стола специалиста на стол клиента, минуя каких-либо посредников. Именно это технически делает связь «точка-точка» между устройствами: устраняет посредника. Посредник — это не плохо: в случае профессиональной тайны он просто не нужен. А то, что не нужно, в любой системе, претендующей на безопасность, должно быть устранено в принципе.

Вопрос ответственности

В конце концов, вопрос, на который каждый профессионал с обязательством хранить тайну должен иметь возможность ответить решительным «да», следующий:

Если завтра произойдет утечка разговора с одним из моих клиентов, и суд или профессиональная палата спросят меня, как я управляю конфиденциальностью, смогу ли я технически доказать, что канал, который я использовал, не хранит копии в инфраструктуре третьих сторон? Смогу ли я доказать, что данные никогда не покидали устройств двух лиц, участвовавших в разговоре? Смогу ли я, не полагаясь на слова компании с другого континента, доказать, что конфиденциальность была гарантирована архитектурой, а не обещанием?

Если ответ «нет», то проблема не в конкретном инструменте: проблема в том, что ему делегирована ответственность, для которой он не был разработан. Это все равно, что положить конфиденциальные документы в прозрачный конверт и надеяться, что почтальон не будет смотреть.

Инструмент, который профессионал выбирает для общения со своими клиентами, много говорит о том, как он ценит их доверие. Есть инструменты, спроектированные так, чтобы это доверие не зависело от обещаний, а от архитектуры. И есть инструменты, которые не являются такими. Знание разницы — часть работы.