Traducteur assermenté et RGPD : êtes-vous responsable du traitement ou sous-traitant ?

Le RGPD répartit la responsabilité de ces données entre deux rôles : responsable du traitement et sous-traitant. Le rôle que vous jouez dans une commande donnée détermine ce que vous devez faire vous-même, quels contrats il vous faut et qui répond si quelque chose tourne mal. Voyons cela dans l'ordre.

Les deux rôles en bref

Le responsable du traitement est celui qui détermine les finalités et les moyens du traitement des données personnelles (art. 4(7) RGPD). Il répond de la licéité du traitement et doit pouvoir la démontrer (art. 5(2), art. 24 RGPD).

Le sous-traitant est celui qui traite des données pour le compte du responsable et sur ses instructions (art. 4(8) RGPD). Ses obligations sont fixées par le contrat conclu avec le responsable (art. 28(3) RGPD).

Le rôle ne dépend ni de l'intitulé du contrat ni de la façon dont vous vous désignez, mais des faits : qui décide pourquoi et par quels moyens les données sont traitées. Le même traducteur peut être responsable du traitement le lundi et sous-traitant le mardi, selon la commande.

Quand le traducteur est responsable du traitement

Situation typique : un particulier vient vous voir directement avec un document à traduire sous serment. Vous décidez vous-même comment faire le travail : avec quels outils, où conserver le document, quand le supprimer. De plus, le traducteur assermenté agit dans le cadre de ses propres obligations professionnelles fixées par la loi de son pays, et non sur instruction du client : le client ne peut pas vous demander de traduire autrement ni de supprimer la mention de certification. Dans cette situation, vous êtes responsable du traitement.

Ce que cela signifie en pratique :

• Base juridique. Il vous faut une base pour le traitement (art. 6(1) RGPD) — en général l'exécution du contrat avec le client (art. 6(1)(b)). Si la loi de votre pays vous oblige à conserver des copies ou à tenir un registre des traductions, la base en est une obligation légale (art. 6(1)(c)).
• Catégories particulières. Les documents contiennent souvent des données de santé, sur l'origine ou la religion (art. 9 RGPD) ou des informations sur des condamnations pénales (art. 10 RGPD). Elles exigent des fondements supplémentaires et une protection renforcée. Le fondement le plus fréquent dans notre travail : le client a besoin des données pour la constatation, l'exercice ou la défense d'un droit en justice, par exemple devant un tribunal ou une administration (art. 9(2)(f)).
• Information du client. Vous devez indiquer au client qui vous êtes, pourquoi vous traitez les données, à qui elles sont communiquées et combien de temps elles sont conservées (art. 13 RGPD). Une courte mention sur votre site, dans le devis ou dans le contrat suffit.
• Sécurité. Vous devez protéger les données par des mesures adaptées au risque (art. 32 RGPD). Pour des documents comportant des données de santé ou des condamnations, le risque est élevé par définition.
• Durée de conservation. Les données ne peuvent être conservées plus longtemps que nécessaire au regard de la finalité (art. 5(1)(e) RGPD). Si la loi nationale impose de conserver des copies — aussi longtemps qu'elle l'exige, et pas davantage.
• Les services que vous utilisez. Si vous téléversez un document dans un service en ligne pour le traduire, ce service est votre sous-traitant. Il vous faut avec lui un contrat de sous-traitance (art. 28(3) RGPD), et vous ne pouvez choisir qu'un sous-traitant présentant des garanties suffisantes (art. 28(1) RGPD). Si le service utilise vos documents à ses propres fins — par exemple pour entraîner des modèles —, il n'est plus un simple sous-traitant, et c'est vous qui devrez répondre de cette communication.
• Incident. Si des documents fuient ou sont perdus, vous disposez, en tant que responsable du traitement, de 72 heures pour notifier l'autorité de contrôle (art. 33(1) RGPD) et, en cas de risque élevé, devez aussi informer le client (art. 34 RGPD).

Quand le traducteur est sous-traitant

Autre situation : vous traduisez pour une agence de traduction ou une entreprise qui a elle-même reçu les documents de ses clients et décide de la manière de les traiter — quels documents, dans quels délais, où livrer le résultat, quand les supprimer. Vous agissez alors, en règle générale, pour son compte — c'est-à-dire comme sous-traitant.

Ce que cela signifie en pratique :

• Contrat avec l'agence. L'agence doit conclure avec vous un contrat de sous-traitance (art. 28(3) RGPD). Si on ne vous en a pas proposé, c'est une raison de le demander, pas de travailler sans.
• Uniquement sur instruction. Vous traitez les données uniquement sur instruction documentée de l'agence (art. 28(3)(a)). Vous ne pouvez pas utiliser les documents à vos propres fins.
• Confidentialité. Vous devez veiller à ce que seules des personnes soumises à une obligation de confidentialité aient accès aux documents (art. 28(3)(b)).
• Vos sous-traitants. Vous ne pouvez faire appel à votre propre sous-traitant — un autre traducteur, un relecteur, un service en ligne — qu'avec l'autorisation de l'agence (art. 28(2) RGPD). Les mêmes obligations de protection des données s'imposent à lui, et s'il les enfreint, c'est vous qui en répondez envers l'agence (art. 28(4) RGPD).
• Suppression après le travail. À la fin de la commande, vous supprimez ou restituez les données — selon ce que décide l'agence (art. 28(3)(g)).
• Incident. Vous signalez toute fuite à l'agence dans les meilleurs délais (art. 33(2) RGPD) ; notifier l'autorité de contrôle incombe ensuite à l'agence, en tant que responsable du traitement.

Cas limites

• Traduction assermentée commandée par une agence. Même en passant par une agence, le traducteur assermenté certifie la traduction personnellement et en répond en vertu de la loi nationale. Dans ce cas, on considère parfois le traducteur non comme sous-traitant, mais comme responsable du traitement à part entière. Tout dépend de qui détermine effectivement ce qu'il advient du document.
• Traduction commandée par un tribunal ou une administration. Le rôle se détermine de la même façon : selon qui décide pourquoi et comment les données sont traitées. La procédure est souvent fixée directement par la loi de votre pays sur les traducteurs assermentés.
• Travail à deux avec un confrère. Si vous décidez à deux de la manière d'exécuter une commande, vous pouvez être responsables conjoints du traitement (art. 26 RGPD) ; il faut alors convenir de qui répond de quoi.

En cas de doute, consignez votre décision et sa raison. Une position documentée vaut mieux que rien : c'est précisément ce que demandera l'autorité de contrôle.

Registre des traitements : en avez-vous besoin ?

Responsables du traitement et sous-traitants doivent tous tenir un registre des activités de traitement (art. 30 RGPD). Il existe une exemption pour les organisations de moins de 250 salariés (art. 30(5) RGPD), mais elle ne s'applique pas si le traitement n'est pas occasionnel ou porte sur des catégories particulières de données ou sur des condamnations pénales. Un traducteur de documents officiels traite régulièrement de telles données : l'exemption ne s'applique donc en général pas — même s'il travaille seul.

Ce que vous inscrivez au minimum en tant que responsable du traitement (art. 30(1) RGPD) :

• vos nom et coordonnées ;
• les finalités du traitement (traduction et certification des documents des clients) ;
• les catégories de personnes concernées et de données (clients et personnes mentionnées dans les documents ; données issues des documents, y compris les catégories particulières) ;
• les destinataires (par exemple, un service de traduction en ligne en tant que sous-traitant) ;
• les transferts hors de l'UE/EEE, s'il y en a ;
• les délais d'effacement ;
• une description générale des mesures de sécurité.

Si vous êtes sous-traitant, le registre est plus court (art. 30(2) RGPD) : pour le compte de qui vous travaillez, quels types de traitement vous effectuez, les transferts hors de l'UE/EEE et les mesures de sécurité.

Le registre n'a pas à être déposé nulle part. Vous le tenez pour vous-même et le présentez à l'autorité de contrôle sur demande (art. 30(4) RGPD). Pour un traducteur qui travaille seul, c'est une ou deux pages.

Où se situe Lingverra

Pour le traducteur, Lingverra est un sous-traitant. Un contrat de sous-traitance au sens de l'art. 28 du RGPD s'applique automatiquement à chaque utilisateur ; inutile de le demander ou de le signer à part. Toutes les sociétés qui participent au traitement figurent dans la liste publique des sous-traitants ultérieurs — ce que fait chacune, où elle se trouve et sur quelle base (art. 28(2) et (4) RGPD). Les documents des clients ne servent pas à entraîner des modèles.

Pour votre registre, cela signifie : dans la rubrique « destinataires », vous inscrivez Lingverra comme sous-traitant et joignez les liens vers le contrat et la liste des sous-traitants ultérieurs. Si vous travaillez vous-même comme sous-traitant pour une agence, vous pouvez lui montrer cette même liste lorsque vous demandez l'autorisation d'utiliser le service.

Comment nous protégeons les documents — étape par étape et avec les références au RGPD — est décrit dans l'article « Où va le document de votre client quand vous traduisez avec Lingverra ».

En bref

• Le client est venu vous voir directement — vous êtes en général responsable du traitement : base juridique, information du client, contrat avec votre service sous-traitant, registre.
• Vous travaillez pour une agence — vous êtes en général sous-traitant : contrat avec l'agence, travail uniquement sur ses instructions et son autorisation pour vos sous-traitants.
• Une traduction assermentée relève de votre responsabilité personnelle en vertu de la loi, même si la commande est passée par une agence.
• Un traducteur de documents officiels a presque toujours besoin d'un registre au sens de l'art. 30.

Contrat de sous-traitance (art. 28 RGPD)

Liste des sous-traitants ultérieurs

À lire aussi : Où va le document de votre client quand vous traduisez avec Lingverra