Il GDPR ripartisce la responsabilità per questi dati tra due ruoli: titolare e responsabile del trattamento. Dal ruolo che svolgete in un dato incarico dipende che cosa dovete fare voi stessi, quali contratti vi servono e chi risponde se qualcosa va storto. Vediamo con ordine.
I due ruoli in breve
Il titolare è chi determina le finalità e i mezzi del trattamento dei dati personali (art. 4(7) GDPR). Risponde della liceità del trattamento e deve essere in grado di dimostrarla (art. 5(2), art. 24 GDPR).
Il responsabile è chi tratta i dati per conto del titolare e secondo le sue istruzioni (art. 4(8) GDPR). I suoi obblighi sono fissati dal contratto con il titolare (art. 28(3) GDPR).
Il ruolo non dipende dal titolo del contratto né da come vi definite, ma dai fatti: chi decide perché e con quali mezzi i dati vengono trattati. Lo stesso traduttore può essere titolare il lunedì e responsabile il martedì, a seconda dell’incarico.
Quando il traduttore è titolare
Situazione tipica: un privato si rivolge direttamente a voi con un documento da tradurre con giuramento. Decidete voi come svolgere il lavoro: con quali strumenti, dove conservare il documento, quando cancellarlo. Inoltre, il traduttore giurato agisce nell’ambito dei propri obblighi professionali stabiliti dalla legge del suo paese, non su istruzione del cliente: il cliente non può chiedervi di tradurre diversamente o di omettere la dichiarazione di certificazione. In questa situazione siete titolari del trattamento.
Che cosa significa in pratica:
- Base giuridica. Vi serve una base per il trattamento (art. 6(1) GDPR) — di solito l’esecuzione del contratto con il cliente (art. 6(1)(b)). Se la legge del vostro paese impone di conservare copie o tenere un registro delle traduzioni, la base è un obbligo legale (art. 6(1)(c)).
- Categorie particolari. I documenti contengono spesso dati sulla salute, sull’origine o sulla religione (art. 9 GDPR) o informazioni su condanne penali (art. 10 GDPR). Per questi servono basi aggiuntive e una protezione rafforzata. La base più frequente nel nostro lavoro: al cliente servono i dati per accertare, esercitare o difendere un diritto in sede giudiziaria, ad esempio davanti a un tribunale o a un ente (art. 9(2)(f)).
- Informare il cliente. Dovete comunicare al cliente chi siete, perché trattate i dati, a chi vengono comunicati e per quanto tempo sono conservati (art. 13 GDPR). Basta una breve informativa sul sito, nel preventivo o nel contratto.
- Sicurezza. Dovete proteggere i dati con misure adeguate al rischio (art. 32 GDPR). Per documenti con dati sulla salute o su condanne il rischio è per definizione elevato.
- Durata di conservazione. I dati non possono essere conservati più a lungo del necessario per la finalità (art. 5(1)(e) GDPR). Se la legge nazionale impone di conservare copie — per il tempo previsto dalla legge, e non oltre.
- I servizi che usate. Se caricate un documento in un servizio online per tradurlo, quel servizio è il vostro responsabile del trattamento. Con lui serve un contratto di trattamento dei dati (art. 28(3) GDPR), e potete scegliere solo un responsabile che offra garanzie sufficienti (art. 28(1) GDPR). Se il servizio usa i vostri documenti per fini propri — ad esempio per addestrare modelli —, non è più un semplice responsabile, e di quella comunicazione dovrete rispondere voi.
- Incidente. Se dei documenti vengono divulgati o smarriti, in quanto titolari avete 72 ore per notificarlo all’autorità di controllo (art. 33(1) GDPR) e, in caso di rischio elevato, dovete informare anche il cliente (art. 34 GDPR).
Quando il traduttore è responsabile
Altra situazione: traducete per un’agenzia di traduzione o un’azienda che ha ricevuto essa stessa i documenti dai propri clienti e decide come trattarli — quali documenti, entro quando, dove consegnare il risultato, quando cancellarli. Qui agite di norma per suo conto — cioè come responsabile del trattamento.
Che cosa significa in pratica:
- Contratto con l’agenzia. L’agenzia deve stipulare con voi un contratto di trattamento dei dati (art. 28(3) GDPR). Se non ve lo hanno proposto, è un motivo per chiederlo, non per lavorare senza.
- Solo su istruzione. Trattate i dati solo su istruzione documentata dell’agenzia (art. 28(3)(a)). Non potete usare i documenti per fini propri.
- Riservatezza. Dovete garantire che abbiano accesso ai documenti solo persone vincolate da un obbligo di riservatezza (art. 28(3)(b)).
- I vostri sub-responsabili. Potete ricorrere a un vostro sub-responsabile — un altro traduttore, un revisore, un servizio online — solo con l’autorizzazione dell’agenzia (art. 28(2) GDPR). Su di lui ricadono gli stessi obblighi di protezione dei dati e, se li viola, ne rispondete voi nei confronti dell’agenzia (art. 28(4) GDPR).
- Cancellazione dopo il lavoro. A incarico concluso cancellate o restituite i dati — come decide l’agenzia (art. 28(3)(g)).
- Incidente. Segnalate qualsiasi violazione all’agenzia senza ingiustificato ritardo (art. 33(2) GDPR); la notifica all’autorità di controllo spetta poi all’agenzia in quanto titolare.
Casi limite
- Traduzione giurata commissionata da un’agenzia. Anche lavorando tramite un’agenzia, il traduttore giurato assevera la traduzione personalmente e ne risponde secondo la legge nazionale. In questo caso il traduttore è talvolta considerato non responsabile ma titolare autonomo del trattamento. Tutto dipende da chi stabilisce di fatto che cosa accade al documento.
- Traduzione commissionata da un tribunale o da un ente. Il ruolo si determina allo stesso modo: in base a chi decide perché e come vengono trattati i dati. Spesso la procedura è stabilita direttamente dalla legge del vostro paese sui traduttori giurati.
- Lavoro con un collega. Se decidete in due come eseguire un incarico, potete essere contitolari del trattamento (art. 26 GDPR), e allora occorre concordare chi risponde di che cosa.
Nel dubbio, mettete per iscritto la vostra decisione e il motivo. Una posizione documentata è meglio di nessuna: è proprio ciò che chiederà l’autorità di controllo.
Registro dei trattamenti: vi serve?
Il registro delle attività di trattamento (art. 30 GDPR) devono tenerlo sia i titolari sia i responsabili. Esiste un’esenzione per le organizzazioni con meno di 250 dipendenti (art. 30(5) GDPR), ma non si applica se il trattamento non è occasionale o include categorie particolari di dati o dati relativi a condanne penali. Chi traduce documenti ufficiali tratta regolarmente dati di questo tipo, quindi l’esenzione di norma non si applica — anche se lavora da solo.
Che cosa annotare nel registro come titolare — il minimo (art. 30(1) GDPR):
- il vostro nome e i vostri dati di contatto;
- le finalità del trattamento (traduzione e asseverazione dei documenti dei clienti);
- le categorie di interessati e di dati (clienti e persone citate nei documenti; dati dei documenti, comprese le categorie particolari);
- i destinatari (ad esempio un servizio di traduzione online come responsabile);
- i trasferimenti al di fuori dell’UE/SEE, se ce ne sono;
- i termini di cancellazione;
- una descrizione generale delle misure di sicurezza.
Se siete responsabili, il registro è più breve (art. 30(2) GDPR): per conto di chi lavorate, quali tipi di trattamento svolgete, i trasferimenti al di fuori dell’UE/SEE e le misure di sicurezza.
Il registro non va depositato da nessuna parte. Lo tenete per voi e lo esibite all’autorità di controllo su richiesta (art. 30(4) GDPR). Per chi lavora da solo sono una o due pagine.
Dove si colloca Lingverra
Per il traduttore, Lingverra è responsabile del trattamento. Con ogni utente vale automaticamente un contratto di trattamento dei dati ai sensi dell’art. 28 GDPR — non occorre richiederlo né firmarlo a parte. Tutte le società che partecipano al trattamento sono elencate nell’elenco pubblico dei sub-responsabili — che cosa fa ciascuna, dove si trova e su quale base (art. 28(2) e (4) GDPR). I documenti dei clienti non sono usati per addestrare modelli.
Per il vostro registro significa: alla voce «destinatari» indicate Lingverra come responsabile e allegate i link al contratto e all’elenco dei sub-responsabili. Se lavorate voi stessi come responsabili per un’agenzia, potete mostrarle lo stesso elenco quando chiedete l’autorizzazione a usare il servizio.
Come proteggiamo i documenti — passo per passo e con i riferimenti al GDPR — è descritto nell’articolo «Dove va il documento del vostro cliente quando traducete con Lingverra».
In breve
- Il cliente si è rivolto direttamente a voi — di norma siete titolari: base giuridica, informativa al cliente, contratto con il vostro servizio come responsabile, registro.
- Lavorate per un’agenzia — di norma siete responsabili: contratto con l’agenzia, lavoro solo su sue istruzioni e sua autorizzazione per i vostri sub-responsabili.
- La traduzione giurata è una vostra responsabilità personale per legge, anche se l’incarico è arrivato tramite un’agenzia.
- Chi traduce documenti ufficiali ha quasi sempre bisogno di un registro ai sensi dell’art. 30.
Contratto di trattamento dei dati (art. 28 GDPR)
Leggi anche: Dove va il documento del vostro cliente quando traducete con Lingverra
Cartella di traduzione: quanti caratteri, quante parole, quanto costa