GDPR rozděluje odpovědnost za takové údaje mezi dvě role: správce a zpracovatele. Na tom, v jaké roli v konkrétní zakázce vystupujete, závisí, co musíte udělat sami, jaké smlouvy potřebujete a kdo nese odpovědnost, pokud se něco pokazí. Popořadě.
Dvě role ve zkratce
Správce je ten, kdo určuje účely a prostředky zpracování osobních údajů (čl. 4 bod 7 GDPR). Odpovídá za zákonnost zpracování a musí ji umět doložit (čl. 5 odst. 2, čl. 24 GDPR).
Zpracovatel je ten, kdo zpracovává údaje pro správce a podle jeho pokynů (čl. 4 bod 8 GDPR). Jeho povinnosti určuje smlouva se správcem (čl. 28 odst. 3 GDPR).
Roli neurčuje název smlouvy ani to, jak se sami nazýváte, ale fakta: kdo rozhoduje, proč a jakými prostředky se údaje zpracovávají. Tentýž překladatel může být v pondělí správcem a v úterý zpracovatelem — podle zakázky.
Kdy je překladatel správcem
Typická situace: soukromá osoba k vám přijde přímo s dokumentem k soudnímu překladu. Sami rozhodujete, jak práci provedete: jakými prostředky, kde dokument uložíte, kdy ho smažete. Navíc soudní překladatel jedná v rámci vlastních profesních povinností daných zákonem své země, ne podle pokynů klienta: klient vám nemůže nařídit, abyste přeložili jinak nebo vynechali překladatelskou doložku. V takové situaci jste správce.
Co to znamená v praxi:
- Právní základ. Potřebujete základ pro zpracování (čl. 6 odst. 1 GDPR) — obvykle plnění smlouvy s klientem (čl. 6 odst. 1 písm. b)). Pokud vám zákon vaší země ukládá uchovávat kopie nebo vést evidenci překladů, je základem právní povinnost (čl. 6 odst. 1 písm. c)).
- Zvláštní kategorie. Dokumenty často obsahují údaje o zdraví, původu, náboženství (čl. 9 GDPR) nebo údaje o odsouzeních (čl. 10 GDPR). Pro ně jsou potřeba další základy a zvýšená ochrana. Nejčastější základ v naší práci: klient údaje potřebuje k určení, výkonu nebo obhajobě právních nároků, například u soudu nebo na úřadě (čl. 9 odst. 2 písm. f)).
- Informování klienta. Klientovi musíte sdělit, kdo jste, proč údaje zpracováváte, komu se předávají a jak dlouho se uchovávají (čl. 13 GDPR). Stačí krátké oznámení na webu, v cenové nabídce nebo ve smlouvě.
- Zabezpečení. Údaje musíte chránit opatřeními přiměřenými riziku (čl. 32 GDPR). U dokumentů s údaji o zdraví nebo odsouzeních je riziko z definice vysoké.
- Doba uložení. Údaje lze uchovávat jen po dobu nezbytnou pro daný účel (čl. 5 odst. 1 písm. e) GDPR). Pokud vnitrostátní zákon vyžaduje uchovávat kopie — tak dlouho, jak zákon vyžaduje, a ne déle.
- Služby, které používáte. Pokud k překladu nahráváte dokument do online služby, je tato služba vaším zpracovatelem. Potřebujete s ní smlouvu o zpracování osobních údajů (čl. 28 odst. 3 GDPR) a vybrat můžete jen zpracovatele, který poskytuje dostatečné záruky ochrany (čl. 28 odst. 1 GDPR). Pokud služba používá vaše dokumenty pro vlastní účely — například k trénování modelů —, přestává být pouhým zpracovatelem a za toto předání budete odpovídat vy.
- Incident. Pokud dokumenty uniknou nebo se ztratí, máte jako správce 72 hodin na ohlášení dozorovému úřadu (čl. 33 odst. 1 GDPR) a při vysokém riziku musíte informovat i klienta (čl. 34 GDPR).
Kdy je překladatel zpracovatelem
Jiná situace: překládáte pro překladatelskou agenturu nebo firmu, která sama dostala dokumenty od svých klientů a rozhoduje, jak s nimi naložit — jaké dokumenty, v jakých termínech, kam odevzdat výsledek, kdy je smazat. Tady zpravidla jednáte jejím jménem — tedy jako zpracovatel.
Co to znamená v praxi:
- Smlouva s agenturou. Agentura s vámi musí uzavřít smlouvu o zpracování osobních údajů (čl. 28 odst. 3 GDPR). Pokud vám ji nenabídli, je to důvod se zeptat, ne důvod pracovat bez ní.
- Jen podle pokynů. Údaje zpracováváte jen na základě doložených pokynů agentury (čl. 28 odst. 3 písm. a)). Dokumenty nesmíte používat pro vlastní účely.
- Mlčenlivost. Musíte zajistit, aby k dokumentům měly přístup jen osoby zavázané mlčenlivostí (čl. 28 odst. 3 písm. b)).
- Vaši subdodavatelé. Vlastního subdodavatele — jiného překladatele, korektora, online službu — můžete zapojit jen se svolením agentury (čl. 28 odst. 2 GDPR). Na subdodavatele přecházejí tytéž povinnosti ochrany údajů, a pokud je poruší, odpovídáte agentuře vy (čl. 28 odst. 4 GDPR).
- Smazání po práci. Po skončení zakázky údaje smažete nebo vrátíte — jak rozhodne agentura (čl. 28 odst. 3 písm. g)).
- Incident. O jakémkoli úniku informujete agenturu bez zbytečného odkladu (čl. 33 odst. 2 GDPR); ohlášení dozorovému úřadu je pak úkolem agentury jako správce.
Hraniční případy
- Soudní překlad na zakázku agentury. I při práci přes agenturu soudní překladatel ověřuje překlad osobně a odpovídá za něj podle vnitrostátního zákona. V takové situaci se překladatel někdy nepovažuje za zpracovatele, ale za samostatného správce. Rozhoduje, kdo fakticky určuje, co se s dokumentem děje.
- Překlad na zakázku soudu nebo úřadu. Role se určuje stejně: podle toho, kdo rozhoduje, proč a jak se údaje zpracovávají. Postup často přímo stanoví zákon vaší země o soudních překladatelích.
- Spolupráce s kolegou. Pokud spolu rozhodujete, jak zakázku provést, můžete být společnými správci (čl. 26 GDPR), a pak je třeba dohodnout, kdo za co odpovídá.
Pokud si nejste jisti, zapište své rozhodnutí a jeho důvod. Zdokumentovaný postoj je lepší než žádný: právě na něj se zeptá dozorový úřad.
Záznamy o činnostech zpracování: potřebujete je?
Záznamy o činnostech zpracování (čl. 30 GDPR) musí vést správci i zpracovatelé. Výjimka pro organizace s méně než 250 zaměstnanci existuje (čl. 30 odst. 5 GDPR), neplatí však, pokud zpracování není příležitostné nebo zahrnuje zvláštní kategorie údajů či údaje o odsouzeních. Překladatel úředních dokumentů takové údaje zpracovává pravidelně, takže se na něj výjimka zpravidla nevztahuje — i když pracuje sám.
Co zapsat jako správce — minimum (čl. 30 odst. 1 GDPR):
- své jméno a kontaktní údaje;
- účely zpracování (překlad a ověření dokumentů klientů);
- kategorie subjektů a údajů (klienti a osoby uvedené v dokumentech; údaje z dokumentů včetně zvláštních kategorií);
- příjemce (například online překladatelská služba jako zpracovatel);
- předávání mimo EU/EHP, pokud k němu dochází;
- lhůty pro výmaz;
- obecný popis bezpečnostních opatření.
Pokud jste zpracovatel, jsou záznamy kratší (čl. 30 odst. 2 GDPR): pro koho pracujete, jaké druhy zpracování provádíte, předávání mimo EU/EHP a bezpečnostní opatření.
Záznamy se nikam nepodávají. Vedete je pro sebe a na požádání je předložíte dozorovému úřadu (čl. 30 odst. 4 GDPR). Pro překladatele, který pracuje sám, jde o jednu až dvě strany.
Kde je tu Lingverra
Pro překladatele je Lingverra zpracovatelem. S každým uživatelem automaticky platí smlouva o zpracování osobních údajů podle čl. 28 GDPR — není třeba o ni žádat ani ji zvlášť podepisovat. Všechny společnosti, které se na zpracování podílejí, jsou uvedeny ve veřejném seznamu dalších zpracovatelů — co která dělá, kde sídlí a na jakém základě (čl. 28 odst. 2 a 4 GDPR). Dokumenty klientů se nepoužívají k trénování modelů.
Pro vaše záznamy to znamená: do kolonky „příjemci“ uvedete Lingverra jako zpracovatele a přiložíte odkazy na smlouvu a seznam dalších zpracovatelů. Pokud sami pracujete jako zpracovatel pro agenturu, můžete jí stejný seznam ukázat, když žádáte o svolení k použití služby.
Jak dokumenty chráníme — krok za krokem a s odkazy na GDPR — popisuje článek „Kam putuje dokument vašeho klienta, když překládáte s Lingverra“.
Ve zkratce
- Klient přišel přímo k vám — zpravidla jste správce: právní základ, informování klienta, smlouva s vaší službou jako zpracovatelem, záznamy.
- Pracujete pro agenturu — zpravidla jste zpracovatel: smlouva s agenturou, práce jen podle jejích pokynů a s jejím svolením pro vaše subdodavatele.
- Soudní překlad je vaší osobní odpovědností podle zákona, i když zakázka přišla přes agenturu.
- Překladatel úředních dokumentů téměř vždy potřebuje záznamy podle čl. 30.
Smlouva o zpracování osobních údajů (čl. 28 GDPR)
Čtěte také: Kam putuje dokument vašeho klienta, když překládáte s Lingverra