GDPR та професійні месенджери

Документ, який подорожує далі, ніж ви думаєте

Буденна ситуація: податковий консультант отримує через месенджер документ з даними клієнта. Торговий представник пересилає через чат пропозицію колезі. Лікар ділиться тим самим шляхом клінічним звітом з колегою. Ніхто не думає двічі. Це нормально. Це зручно. Це те, що робиться щодня в кожному офісі в кожному європейському місті.

Але цей документ у багатьох випадках щойно здійснив подорож до сервера у Сполучених Штатах. Він був збережений, нехай і тимчасово, і навіть якщо "зашифрований у стані спокою", у хмарі, яку не контролюють ні фахівець, ні його клієнт. Він пройшов через системи, які технічно можуть індексувати метадані, пов’язані з вмістом. І Загальний регламент захисту даних (GDPR) Європи має досить чітку позицію щодо цього.

Що вимагає норма

GDPR — і, як наслідок, судова практика Суду Європейського Союзу (зокрема рішення Schrems II, C-311/18, від 2020 р.) — встановлює, що персональні дані європейських громадян мають бути належним чином захищені. Якщо ці дані залишають Європейський економічний простір, контролер даних повинен гарантувати, що одержувач пропонує рівень захисту, «по суті еквівалентний» європейському. На практиці це означає, що надсилання даних клієнтів через сервіси, сервери яких підпадають під юрисдикцію США, без проведення оцінки впливу та без впровадження додаткових гарантій — стандартних договірних умов, додаткових технічних заходів, таких як перевірене шифрування тощо — може становити порушення регламенту. Навіть якщо досі ніхто нічого не сказав.

І справа не лише у змісті повідомлень. Метадані, тобто хто кому що надсилає, коли, з якою частотою та звідки, також є особистими даними згідно з нормативними актами, відповідно до неодноразового тлумачення Європейської ради із захисту даних. Сервіс, який збирає метадані з професійних комунікацій користувача, обробляє особисті дані клієнтів цього користувача без їхнього відома та без їхньої згоди на таку обробку.

Звичайна схема мислення — «я використовую додаток лише для письма; додаток не є постачальником даних мого клієнта» — юридично помилкова. Якщо дані клієнта проходять крізь інфраструктуру третьої сторони, ця третя сторона обробляє ці дані. І якщо вона їх обробляє, має бути юридична підстава, договір про обробку даних та відповідні гарантії.

Хто відповідальний

Питання про те, хто несе юридичну відповідальність, не є академічним. GDPR розрізняє контролера даних (хто вирішує, які дані обробляються і з якою метою) та процесора (хто робить це матеріально від імені контролера). Професіонал, який надсилає документи клієнтів, є контролером. Постачальник месенджера в багатьох випадках є фактичним процесором. Без договору про обробку — і без більшості умов, які такий договір повинен містити — контролер не виконав своє зобов'язання.

Поблажливе тлумачення каже: «більшість професіоналів цього не знають». Суворе тлумачення каже: «незнання закону не звільняє від відповідальності». І тлумачення будь-якого спеціалізованого адвоката з захисту даних, з яким консультуються з цього приводу, зазвичай є суворим.

Для кого це важливо конкретно

Для кожного професіонала або компанії, яка хоча б час від часу оперує персональною інформацією третіх осіб:

• Адвокати, які отримують клієнтську документацію (договори, позови, декларації, звіти про майно).
• Лікарі та інші медичні працівники, які діляться даними про здоров'я — які вважаються згідно зі ст. 9 GDPR особливими категоріями з посиленим режимом захисту.
• Податкові консультанти та адміністративні менеджери, які оперують ідентифікаційними, податковими та банківськими даними.
• Відділи кадрів, які керують трудовою та особистою документацією працівників.
• Комерційні представники, які отримують контактні дані та часто чутливу бізнес-інформацію від потенційних та існуючих клієнтів.

У всіх випадках інформація захищена GDPR. У всіх випадках у звичайній практиці ця інформація тече каналами, юрисдикція яких не дозволяє оголосити їх «по суті еквівалентними» європейській базі без додаткових гарантій. Не через злий намір. Через звичку. І через технологічну інфраструктуру, яка протягом п'ятнадцяти років ставила зручність вище відповідності.

Аргумент «всі так роблять»

Варто передбачити найпоширеніше заперечення: «якщо всі роблять так само, це не може бути реальною проблемою». Це аргумент, який цілком зрозумілий по-людськи, але юридично він не має жодної сили. Той факт, що практика є поширеною, не робить її такою, що відповідає регламенту. Органи захисту даних в останні роки наклали санкції на кілька компаній саме за способи використання месенджерів, які здавалися нешкідливими до моменту перевірки.

Сучасна оперативна реальність полягає в тому, що ризик є низьким з точки зору ймовірності — перевірка AEPD дуже рідко перевіряє конкретні інструменти обміну повідомленнями середнього бюро — але високим з точки зору впливу, якщо він матеріалізується. Це ризик, на який більшість йде, не підозрюючи про це. Тобто без оцінки того, чи узгоджується використовуваний інструмент із юридичною відповідальністю контролера даних.

Цифрові сліди мають зворотну силу

Є другий аргумент, майже симетричний попередньому, який варто передбачити: «якби це була серйозна проблема, адміністрація вже почала б це контролювати». Поточна спостережувана реальність дає йому поверхневу рацію. Перевірок через неналежне використання месенджерів у малих компаніях і особливо у самозайнятих сьогодні майже не існує — не тому, що поведінка дозволена, а тому, що адміністрації в більшій частині ЄС бракує людських ресурсів, необхідних для аудиту мільйонів зобов'язаних суб'єктів.

Це те, що припускає сьогоднішня спостережувана практика. Але це не те, що припускає наступне десятиліття. Два вектори сходяться, щоб змінити баланс у відносно короткі терміни.

По-перше: цифрові сліди мають зворотну силу. Кожне повідомлення, надіслане через додаток з центральним сервером, залишається зареєстрованим — принаймні в метаданих — в інфраструктурі, яка зберігається. Те, що було надіслано шість місяців тому, технічно все ще підлягає аудиту сьогодні. Те, що надсилається сьогодні, буде підлягати аудиту через п'ять років. Відсутність перевірки в даний час не є гарантією відсутності перевірки в майбутньому. Це відстрочка оцінки, а не звільнення від неї.

По-друге: здатність адміністративного аудиту зростатиме прискорено. Впровадження інструментів штучного інтелекту в процеси контролю усуває людське вузьке місце, яке досі захищало (фактично, а не юридично) малі компанії та самозайнятих. Системі, здатній перехресно перевіряти масові масиви метаданих, податкові декларації, торгові реєстри та зобов'язання щодо повідомлення про порушення безпеки, не потрібні інспектори: їй потрібен доступ. А доступ через запити до постачальників з юридичною присутністю в ЄС у межах нинішньої нормативної бази є цілком здійсненним.

До цього додається менш технічний, але не менш визначальний фактор: європейські держави перебувають у процесі постійного зростання боргу і їм потрібно, майже без винятку, розширювати свою податкову базу. Адміністративна санкція, що випливає з недотримання GDPR, є в чисто фіскальному вираженні зростаючим і політично зручним джерелом доходу. Це не припущення: це спостережувана тенденція у щорічних звітах європейських органів захисту даних, де загальний обсяг санкцій зростає протягом кількох фінансових років поспіль.

Операційний висновок для контролера не є алармістським, а тверезим: рішення про те, як сьогодні керується комунікація з клієнтами, оцінюється відносно спроможності перевірки того року, в якому прийде перевірка, а не відносно поточної. І ця спроможність у розумні терміни буде суттєво іншою, ніж сьогодні. Той, хто почне робити речі правильно сьогодні, буде в порядку не лише відсьогодні: слід, що генерується з цього моменту, відповідатиме нормі, і це захищає ретроактивно майбутній період. Той, хто продовжуватиме як раніше, накопичуватиме слід, що підлягає аудиту, відповідність якого буде оцінюватися за стандартами — і ресурсами — наступних років.

Що змінюється з іншою архітектурою

Існують технічні альтернативи, в яких дані не зберігаються в інфраструктурі третіх сторін, а натомість подорожують безпосередньо з пристрою відправника на пристрій одержувача. У цій архітектурі відповідність GDPR щодо міжнародних передач не залежить від стандартних договірних умов, ні від доброї волі постачальника чи майбутніх аудитів. Вона залежить від того факту, що передачі немає. А те, чого не існує, неможливо порушити.

Це не єдине рішення і не єдине можливе. Але воно структурно інше, і нормативна відповідність перестає бути процедурним додатком і стає прямим наслідком дизайну. Для професіонала, який серйозно ставиться до своєї відповідальності як контролера, ця різниця має значення.

---

Наступний випуск Cuadernos детально проаналізує рішення Schrems II та його практичні наслідки для малих та середніх компаній, залежних від американських хмарних сервісів, через п'ять років після його опублікування.