El RGPD reparte la responsabilidad sobre estos datos entre dos papeles: responsable y encargado del tratamiento. Del papel que usted desempeñe en un encargo concreto depende lo que debe hacer por sí mismo, qué contratos necesita y quién responde si algo sale mal. Vayamos por partes.
Los dos papeles en resumen
El responsable es quien determina los fines y los medios del tratamiento de datos personales (art. 4(7) RGPD). Responde de la licitud del tratamiento y debe poder demostrarla (art. 5(2), art. 24 RGPD).
El encargado es quien trata datos por cuenta del responsable y siguiendo sus instrucciones (art. 4(8) RGPD). Sus obligaciones las fija el contrato con el responsable (art. 28(3) RGPD).
El papel no depende del título del contrato ni de cómo se denomine usted, sino de los hechos: quién decide para qué y con qué medios se tratan los datos. El mismo traductor puede ser responsable el lunes y encargado el martes, según el encargo.
Cuándo el traductor es responsable
Situación típica: un particular acude directamente a usted con un documento para una traducción jurada. Usted decide cómo hacer el trabajo: con qué medios, dónde guardar el documento, cuándo suprimirlo. Además, el traductor jurado actúa dentro de sus propias obligaciones profesionales, fijadas por la ley de su país, y no siguiendo instrucciones del cliente: el cliente no puede pedirle que traduzca de otra manera ni que omita la certificación. En esta situación, usted es responsable del tratamiento.
Qué significa en la práctica:
- Base jurídica. Necesita una base para el tratamiento (art. 6(1) RGPD) — normalmente la ejecución del contrato con el cliente (art. 6(1)(b)). Si la ley de su país le obliga a conservar copias o a llevar un registro de traducciones, la base para ello es una obligación legal (art. 6(1)(c)).
- Categorías especiales. Los documentos contienen a menudo datos de salud, origen o religión (art. 9 RGPD) o información sobre condenas penales (art. 10 RGPD). Para ellos se necesitan bases adicionales y una protección reforzada. La base más frecuente en nuestro trabajo: el cliente necesita los datos para formular, ejercer o defender reclamaciones, por ejemplo ante un tribunal o un organismo (art. 9(2)(f)).
- Informar al cliente. Debe comunicar al cliente quién es usted, para qué trata los datos, a quién se comunican y cuánto tiempo se conservan (art. 13 RGPD). Basta un aviso breve en su web, en el presupuesto o en el contrato.
- Seguridad. Debe proteger los datos con medidas adecuadas al riesgo (art. 32 RGPD). En documentos con datos de salud o condenas, el riesgo es alto por definición.
- Plazo de conservación. Los datos no pueden conservarse más tiempo del necesario para el fin (art. 5(1)(e) RGPD). Si la ley nacional exige conservar copias — durante el tiempo que exija la ley, y no más.
- Los servicios que usa. Si sube un documento a un servicio en línea para traducirlo, ese servicio es su encargado. Con él necesita un contrato de encargo del tratamiento (art. 28(3) RGPD), y solo puede elegir un encargado que ofrezca garantías suficientes (art. 28(1) RGPD). Si el servicio usa sus documentos para fines propios — por ejemplo, para entrenar modelos —, deja de ser un simple encargado, y de esa comunicación tendrá que responder usted.
- Incidente. Si se filtran o se pierden documentos, como responsable dispone de 72 horas para notificar a la autoridad de control (art. 33(1) RGPD) y, si el riesgo es alto, debe informar también al cliente (art. 34 RGPD).
Cuándo el traductor es encargado
Otra situación: usted traduce para una agencia de traducción o una empresa que ha recibido los documentos de sus propios clientes y decide cómo tratarlos — qué documentos, en qué plazos, dónde entregar el resultado, cuándo suprimirlos. Aquí usted actúa, por regla general, por cuenta de ella — es decir, como encargado.
Qué significa en la práctica:
- Contrato con la agencia. La agencia debe celebrar con usted un contrato de encargo del tratamiento (art. 28(3) RGPD). Si no se lo han ofrecido, es motivo para pedirlo, no para trabajar sin él.
- Solo según instrucciones. Usted trata los datos solo siguiendo instrucciones documentadas de la agencia (art. 28(3)(a)). No puede usar los documentos para fines propios.
- Confidencialidad. Debe garantizar que solo tengan acceso a los documentos personas sujetas a una obligación de confidencialidad (art. 28(3)(b)).
- Sus subencargados. Solo puede recurrir a un subencargado propio — otro traductor, un revisor, un servicio en línea — con la autorización de la agencia (art. 28(2) RGPD). Al subencargado se le aplican las mismas obligaciones de protección de datos y, si las incumple, usted responde ante la agencia (art. 28(4) RGPD).
- Supresión tras el trabajo. Al terminar el encargo, usted suprime o devuelve los datos — según decida la agencia (art. 28(3)(g)).
- Incidente. Comunica cualquier filtración a la agencia sin dilación indebida (art. 33(2) RGPD); notificar a la autoridad de control corresponde entonces a la agencia como responsable.
Casos límite
- Traducción jurada por encargo de una agencia. Incluso trabajando a través de una agencia, el traductor jurado certifica la traducción personalmente y responde de ella según la ley nacional. En esta situación, a veces se considera al traductor no encargado, sino responsable independiente. Depende de quién determina de hecho qué ocurre con el documento.
- Traducción por encargo de un tribunal u organismo. El papel se determina igual: según quién decide para qué y cómo se tratan los datos. A menudo el procedimiento lo establece directamente la ley de su país sobre traductores jurados.
- Trabajo conjunto con un colega. Si deciden entre los dos cómo realizar un encargo, pueden ser corresponsables del tratamiento (art. 26 RGPD), y entonces hay que acordar quién responde de qué.
En caso de duda, deje por escrito su decisión y el motivo. Una posición documentada es mejor que ninguna: es justo lo que pedirá la autoridad de control.
Registro de actividades de tratamiento: ¿lo necesita?
Tanto los responsables como los encargados deben llevar un registro de actividades de tratamiento (art. 30 RGPD). Existe una excepción para organizaciones con menos de 250 empleados (art. 30(5) RGPD), pero no se aplica si el tratamiento no es ocasional o incluye categorías especiales de datos o datos sobre condenas penales. Quien traduce documentos oficiales trata esos datos con regularidad, por lo que la excepción, por regla general, no se le aplica — aunque trabaje por su cuenta.
Qué inscribir como responsable — lo mínimo (art. 30(1) RGPD):
- su nombre y sus datos de contacto;
- los fines del tratamiento (traducción y certificación de documentos de clientes);
- las categorías de interesados y de datos (clientes y personas mencionadas en los documentos; datos de los documentos, incluidas las categorías especiales);
- los destinatarios (por ejemplo, un servicio de traducción en línea como encargado);
- las transferencias fuera de la UE/EEE, si las hay;
- los plazos de supresión;
- una descripción general de las medidas de seguridad.
Si es usted encargado, el registro es más breve (art. 30(2) RGPD): por cuenta de quién trabaja, qué tipos de tratamiento realiza, las transferencias fuera de la UE/EEE y las medidas de seguridad.
El registro no hay que presentarlo en ningún sitio. Lo lleva usted y lo muestra a la autoridad de control si se lo pide (art. 30(4) RGPD). Para quien trabaja por su cuenta, son una o dos páginas.
Dónde encaja Lingverra
Para el traductor, Lingverra es encargado del tratamiento. Con cada usuario rige automáticamente un contrato de encargo del tratamiento conforme al art. 28 RGPD; no hace falta solicitarlo ni firmarlo aparte. Todas las empresas que participan en el tratamiento figuran en la lista pública de subencargados — qué hace cada una, dónde se encuentra y con qué base (art. 28(2) y (4) RGPD). Los documentos de los clientes no se usan para entrenar modelos.
Para su registro, esto significa: en el apartado «destinatarios» indica a Lingverra como encargado y adjunta los enlaces al contrato y a la lista de subencargados. Si usted mismo trabaja como encargado para una agencia, puede mostrarle esa misma lista cuando pida autorización para usar el servicio.
Cómo protegemos los documentos — paso a paso y con referencias al RGPD — se describe en el artículo «Adónde va el documento de su cliente cuando traduce con Lingverra».
En resumen
- El cliente acudió directamente a usted — por regla general es responsable: base jurídica, información al cliente, contrato con su servicio como encargado, registro.
- Trabaja para una agencia — por regla general es encargado: contrato con la agencia, trabajo solo según sus instrucciones y su autorización para sus subencargados.
- La traducción jurada es su responsabilidad personal según la ley, aunque el encargo llegara a través de una agencia.
- Quien traduce documentos oficiales casi siempre necesita un registro conforme al art. 30.
Contrato de encargo del tratamiento (art. 28 RGPD)
Lea también: Adónde va el documento de su cliente cuando traduce con Lingverra