A GDPR az ilyen adatokért való felelősséget két szerep között osztja meg: adatkezelő és adatfeldolgozó. Attól, hogy egy adott megbízásban milyen szerepben jár el, függ, mit kell saját maga megtennie, milyen szerződésekre van szüksége, és ki felel, ha valami rosszul sül el. Sorjában.
A két szerep röviden
Adatkezelő az, aki a személyes adatok kezelésének céljait és eszközeit meghatározza (GDPR 4. cikk 7. pont). Ő felel az adatkezelés jogszerűségéért, és ezt igazolni is tudnia kell (GDPR 5. cikk (2) bek., 24. cikk).
Adatfeldolgozó az, aki az adatkezelő nevében és utasításai szerint kezel adatokat (GDPR 4. cikk 8. pont). Kötelezettségeit az adatkezelővel kötött szerződés határozza meg (GDPR 28. cikk (3) bek.).
A szerepet nem a szerződés címe és nem az dönti el, minek nevezi magát, hanem a tények: ki dönti el, miért és milyen eszközökkel kezelik az adatokat. Ugyanaz a fordító hétfőn lehet adatkezelő, kedden adatfeldolgozó — a megbízástól függően.
Mikor adatkezelő a fordító
Tipikus helyzet: egy magánszemély közvetlenül Önhöz fordul egy hiteles fordításra szánt dokumentummal. Ön dönti el, hogyan végzi a munkát: milyen eszközökkel, hol tárolja a dokumentumot, mikor törli. Ráadásul a hiteles fordító a saját országa jogszabályaiban rögzített szakmai kötelezettségei keretében jár el, nem az ügyfél utasításai szerint: az ügyfél nem írhatja elő, hogy másként fordítson, vagy hagyja el a hitelesítő záradékot. Ebben a helyzetben Ön adatkezelő.
Mit jelent ez a gyakorlatban:
- Jogalap. Az adatkezeléshez jogalap kell (GDPR 6. cikk (1) bek.) — általában az ügyféllel kötött szerződés teljesítése (6. cikk (1) bek. b) pont). Ha országa joga előírja másolatok megőrzését vagy fordítási nyilvántartás vezetését, ennek jogalapja jogi kötelezettség (6. cikk (1) bek. c) pont).
- Különleges kategóriák. A dokumentumok gyakran tartalmaznak egészségügyi, származásra, vallásra vonatkozó adatokat (GDPR 9. cikk) vagy büntetőjogi adatokat (GDPR 10. cikk). Ezekhez további jogalap és fokozott védelem kell. A leggyakoribb jogalap a munkánkban: az ügyfélnek jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez van szüksége az adatokra, például bíróság vagy hatóság előtt (9. cikk (2) bek. f) pont).
- Az ügyfél tájékoztatása. Közölnie kell az ügyféllel, kicsoda Ön, miért kezeli az adatokat, kinek továbbítja és meddig őrzi őket (GDPR 13. cikk). Elég egy rövid tájékoztatás a honlapon, az árajánlatban vagy a szerződésben.
- Biztonság. Az adatokat a kockázattal arányos intézkedésekkel kell védenie (GDPR 32. cikk). Egészségügyi vagy büntetőjogi adatokat tartalmazó dokumentumoknál a kockázat eleve magas.
- Megőrzési idő. Az adatok legfeljebb a cél eléréséhez szükséges ideig tárolhatók (GDPR 5. cikk (1) bek. e) pont). Ha a nemzeti jog előírja a másolatok megőrzését — addig, ameddig a jogszabály előírja, és nem tovább.
- Az Ön által használt szolgáltatások. Ha fordításhoz online szolgáltatásba tölt fel dokumentumot, az a szolgáltatás az Ön adatfeldolgozója. Adatfeldolgozási szerződésre van szükség vele (GDPR 28. cikk (3) bek.), és csak olyan adatfeldolgozót választhat, amely elegendő garanciát nyújt a védelemre (GDPR 28. cikk (1) bek.). Ha a szolgáltatás saját céljaira használja a dokumentumait — például modellek tanítására —, már nem puszta adatfeldolgozó, és ezért a továbbításért Önnek kell felelnie.
- Incidens. Ha dokumentumok kiszivárognak vagy elvesznek, adatkezelőként 72 óra áll rendelkezésére a felügyeleti hatóság értesítésére (GDPR 33. cikk (1) bek.), magas kockázat esetén pedig az ügyfelet is tájékoztatnia kell (GDPR 34. cikk).
Mikor adatfeldolgozó a fordító
Más helyzet: egy fordítóiroda vagy egy cég megbízásából fordít, amely maga kapta a dokumentumokat az ügyfeleitől, és ő dönti el, mi történjen velük — milyen dokumentumok, milyen határidővel, hová kerüljön az eredmény, mikor kell törölni. Ilyenkor Ön rendszerint az ő nevében jár el — vagyis adatfeldolgozóként.
Mit jelent ez a gyakorlatban:
- Szerződés az irodával. Az irodának adatfeldolgozási szerződést kell kötnie Önnel (GDPR 28. cikk (3) bek.). Ha nem ajánlottak fel ilyet, az ok a kérdésre, nem pedig arra, hogy nélküle dolgozzon.
- Csak utasításra. Az adatokat csak az iroda dokumentált utasításai alapján kezeli (28. cikk (3) bek. a) pont). A dokumentumokat saját célra nem használhatja.
- Titoktartás. Gondoskodnia kell arról, hogy a dokumentumokhoz csak titoktartásra kötelezett személyek férjenek hozzá (28. cikk (3) bek. b) pont).
- Az Ön alvállalkozói. Saját alvállalkozót — másik fordítót, lektort, online szolgáltatást — csak az iroda engedélyével vehet igénybe (GDPR 28. cikk (2) bek.). Az alvállalkozóra ugyanazok az adatvédelmi kötelezettségek szállnak át, és ha megszegi őket, az irodával szemben Ön felel (GDPR 28. cikk (4) bek.).
- Törlés a munka után. A megbízás végén az adatokat törli vagy visszaadja — ahogy az iroda dönt (28. cikk (3) bek. g) pont).
- Incidens. Minden adatszivárgást indokolatlan késedelem nélkül jelez az irodának (GDPR 33. cikk (2) bek.); a felügyeleti hatóság értesítése ezután az iroda mint adatkezelő feladata.
Határesetek
- Hiteles fordítás fordítóiroda megbízásából. A hiteles fordító fordítóirodán keresztül dolgozva is személyesen hitelesíti a fordítást, és a nemzeti jog szerint felel érte. Ilyen helyzetben a fordítót néha nem adatfeldolgozónak, hanem önálló adatkezelőnek tekintik. Az dönt, ki határozza meg ténylegesen, mi történik a dokumentummal.
- Fordítás bíróság vagy hatóság megbízásából. A szerep ugyanígy dől el: az alapján, ki dönti el, miért és hogyan kezelik az adatokat. Az eljárást gyakran közvetlenül az Ön országának a hiteles fordítókról szóló jogszabálya rögzíti.
- Közös munka kollégával. Ha ketten döntik el, hogyan végzik a megbízást, közös adatkezelők lehetnek (GDPR 26. cikk), és ilyenkor meg kell állapodniuk, ki miért felel.
Ha kétségei vannak, írja le a döntését és annak okát. Egy dokumentált álláspont jobb, mint semmi: a felügyeleti hatóság éppen ezt fogja kérdezni.
Adatkezelési nyilvántartás: szüksége van rá?
Adatkezelési tevékenységekről szóló nyilvántartást (GDPR 30. cikk) az adatkezelőknek és az adatfeldolgozóknak is vezetniük kell. A 250 főnél kevesebb személyt foglalkoztató szervezetekre van kivétel (GDPR 30. cikk (5) bek.), de ez nem alkalmazandó, ha az adatkezelés nem alkalmi jellegű, vagy különleges adatokat, illetve büntetőjogi adatokat is érint. Aki hivatalos dokumentumokat fordít, rendszeresen kezel ilyen adatokat, ezért a kivétel rá rendszerint nem vonatkozik — akkor sem, ha egyedül dolgozik.
Mit kell adatkezelőként legalább rögzíteni (GDPR 30. cikk (1) bek.):
- a nevét és elérhetőségét;
- az adatkezelés céljait (ügyfelek dokumentumainak fordítása és hitelesítése);
- az érintettek és az adatok kategóriáit (ügyfelek és a dokumentumokban említett személyek; a dokumentumok adatai, beleértve a különleges kategóriákat);
- a címzetteket (például online fordítószolgáltatás adatfeldolgozóként);
- az EU-n/EGT-n kívülre történő továbbításokat, ha vannak;
- a törlési határidőket;
- a biztonsági intézkedések általános leírását.
Adatfeldolgozóként a nyilvántartás rövidebb (GDPR 30. cikk (2) bek.): kinek a nevében dolgozik, milyen adatkezelési műveleteket végez, az EU-n/EGT-n kívülre történő továbbítások és a biztonsági intézkedések.
A nyilvántartást sehova nem kell benyújtani. Saját magának vezeti, és kérésre bemutatja a felügyeleti hatóságnak (GDPR 30. cikk (4) bek.). Az egyedül dolgozó fordítónak ez egy-két oldal.
Hol jön a képbe a Lingverra
A fordító számára a Lingverra adatfeldolgozó. Minden felhasználóval automatikusan érvényes a GDPR 28. cikke szerinti adatfeldolgozási szerződés — nem kell külön kérni vagy aláírni. Az adatkezelésben részt vevő összes vállalat szerepel a további adatfeldolgozók nyilvános listáján — mit végez mindegyik, hol található és milyen jogalapon (GDPR 28. cikk (2) és (4) bek.). Az ügyfelek dokumentumait nem használjuk modellek tanítására.
A nyilvántartása szempontjából ez azt jelenti: a „címzettek” rovatban a Lingverrát adatfeldolgozóként tünteti fel, és csatolja a szerződés és a további adatfeldolgozók listájának linkjét. Ha Ön maga adatfeldolgozóként dolgozik egy irodának, ugyanezt a listát megmutathatja az irodának, amikor engedélyt kér a szolgáltatás használatára.
Hogy hogyan védjük a dokumentumokat — lépésről lépésre, a GDPR-ra hivatkozva —, azt a „Hová kerül ügyfele dokumentuma, amikor a Lingverrával fordít” című cikk írja le.
Röviden
- Az ügyfél közvetlenül Önhöz jött — Ön rendszerint adatkezelő: jogalap, az ügyfél tájékoztatása, szerződés a szolgáltatásával mint adatfeldolgozóval, nyilvántartás.
- Irodának dolgozik — Ön rendszerint adatfeldolgozó: szerződés az irodával, munka csak annak utasításai szerint és az ő engedélyével az alvállalkozóihoz.
- A hiteles fordítás a jogszabály szerint az Ön személyes felelőssége, akkor is, ha a megbízás irodán keresztül érkezett.
- Aki hivatalos dokumentumokat fordít, szinte mindig rászorul a 30. cikk szerinti nyilvántartásra.
Adatfeldolgozási szerződés (GDPR 28. cikk)
A további adatfeldolgozók listája
Olvassa el ezt is: Hová kerül ügyfele dokumentuma, amikor a Lingverrával fordít