Problém, o ktorom si nevedel
Ak tvoja firma posiela faktúry, objednávky, dodacie listy alebo akýkoľvek dokument s údajmi klientov cez bežnú aplikáciu na správy, tieto údaje prechádzajú cez servery, ktoré pravdepodobne nie sú v Európe. Alebo ak sú, patria firme podliehajúcej zahraničnej legislatíve. GDPR k tomu má čo povedať.
Európske nariadenia o ochrane údajov vyžadujú vedieť, kde sú tvoje údaje, kto k nim má prístup a pod akou jurisdikciou. Keď používaš aplikáciu na správy s centrálnym serverom, tvoje dokumenty prechádzajú cez infraštruktúru, ktorú nekontroluješ. Údaje tvojich klientov sú uložené — hoci aj dočasne — na strojoch inej firmy, v inej krajine, pod inými zákonmi.
Čo sa mení, keď nie je server
V komunikácii point-to-point putujú údaje priamo zo zariadenia odosielateľa do zariadenia príjemcu. Neukladajú sa na žiadnom serveri. Ak priame spojenie nie je možné, prechádzajú šifrované cez naše zrkadlo, ktoré ich neukladá a nemôže ich čítať. Dokument odíde z tvojho počítača v Lugu a dorazí do počítača tvojho klienta v Barcelone, Berlíne alebo Lisabone.
Toto je dôležité pre GDPR. Údaje tvojho účtu, ktoré uchovávame, sa nachádzajú na serveroch v Nemecku, v Európskej únii. Tvoje správy neuchovávame na žiadnom serveri.
Koho sa to týka
Ak si právnik a posielaš zmluvu klientovi cez správy, údaje tej zmluvy prechádzajú cez server. Ak si daňový poradca a zdieľaš daňové priznanie, tieto údaje prechádzajú cez server. Ak si lekár a posielaš správu pacientovi, zdravotné údaje prechádzajú cez server. Vo všetkých týchto prípadoch zveruješ úschovu dôverných informácií firme, ktorú si si nevybral a nekontroluješ.
Nerobíš to v zlom úmysle. Nástroj, ktorý používaš, ti jednoducho nedáva inú možnosť. Aby sa tvoje profesijné správy neukladali na žiadnom serveri, komunikácia musí ísť priamo z tvojej obrazovky na jeho.
Automatický súlad
S P2P komunikáciou nemusíš kontrolovať, kde sa nachádzajú servery tvojho poskytovateľa správ. Nemusíš overovať súlad s Privacy Shield alebo so štandardnými zmluvnými doložkami EÚ. Nemusíš pridávať doložku do svojej politiky ochrany osobných údajov vysvetľujúcu, že tvoje údaje 'môžu byť spracované mimo Európskeho hospodárskeho priestoru'. Nič z toho sa neuplatňuje, pretože žiadna tretia strana nespracúva tvoje údaje.
Súlad nezávisí od dobrej vôle nikoho. Nezávisí od zmluvy o spracovaní údajov s poskytovateľom. Nezávisí od toho, či americká firma dodrží svoj záväzok voči európskej legislatíve. Závisí od architektúry. A architektúra je overiteľná, nemenná a nemení názor.
Otázka pre tvoj ďalší audit
Až sa ťa nabudúce niekto opýta, kde sú údaje tvojich klientov, môžeš odpovedať: «Správy sú v mojom zariadení a v jeho. Na žiadnom serveri sa neukladajú.»