Beëdigd vertaler en AVG: bent u verwerkingsverantwoordelijke of verwerker?

De AVG verdeelt de verantwoordelijkheid voor zulke gegevens over twee rollen: verwerkingsverantwoordelijke en verwerker. Welke rol u in een bepaalde opdracht hebt, bepaalt wat u zelf moet doen, welke overeenkomsten u nodig hebt en wie aansprakelijk is als er iets misgaat. Stap voor stap.

De twee rollen in het kort

Verwerkingsverantwoordelijke is wie het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (art. 4(7) AVG). Die is verantwoordelijk voor de rechtmatigheid van de verwerking en moet die kunnen aantonen (art. 5(2), art. 24 AVG).

Verwerker is wie gegevens verwerkt ten behoeve van de verwerkingsverantwoordelijke en volgens diens instructies (art. 4(8) AVG). Zijn verplichtingen volgen uit de overeenkomst met de verwerkingsverantwoordelijke (art. 28(3) AVG).

De rol hangt niet af van de titel van de overeenkomst of van hoe u zichzelf noemt, maar van de feiten: wie beslist waarom en met welke middelen de gegevens worden verwerkt. Dezelfde vertaler kan op maandag verwerkingsverantwoordelijke zijn en op dinsdag verwerker, afhankelijk van de opdracht.

Wanneer de vertaler verwerkingsverantwoordelijke is

Een typische situatie: een particulier komt rechtstreeks naar u met een document voor een beëdigde vertaling. U beslist zelf hoe u het werk doet: met welke middelen, waar u het document bewaart, wanneer u het verwijdert. Bovendien handelt een beëdigd vertaler binnen eigen beroepsplichten die de wet van zijn land vastlegt, en niet op instructie van de klant: de klant kan u niet opdragen anders te vertalen of de verklaring van getrouwheid weg te laten. In deze situatie bent u verwerkingsverantwoordelijke.

Wat dit in de praktijk betekent:

• Rechtsgrond. U hebt een grondslag voor de verwerking nodig (art. 6(1) AVG) — meestal de uitvoering van de overeenkomst met de klant (art. 6(1)(b)). Verplicht de wet van uw land u kopieën te bewaren of een register van vertalingen bij te houden, dan is de grondslag daarvoor een wettelijke verplichting (art. 6(1)(c)).
• Bijzondere categorieën. Documenten bevatten vaak gegevens over gezondheid, afkomst of godsdienst (art. 9 AVG) of over strafrechtelijke veroordelingen (art. 10 AVG). Daarvoor zijn aanvullende gronden en sterkere bescherming nodig. De meest voorkomende grond in ons werk: de klant heeft de gegevens nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering, bijvoorbeeld bij een rechter of een instantie (art. 9(2)(f)).
• De klant informeren. U moet de klant laten weten wie u bent, waarom u de gegevens verwerkt, aan wie ze worden verstrekt en hoe lang ze worden bewaard (art. 13 AVG). Een korte mededeling op uw website, in de offerte of in de overeenkomst volstaat.
• Beveiliging. U moet de gegevens beschermen met maatregelen die passen bij het risico (art. 32 AVG). Bij documenten met gezondheidsgegevens of veroordelingen is het risico per definitie hoog.
• Bewaartermijn. Gegevens mogen niet langer worden bewaard dan nodig is voor het doel (art. 5(1)(e) AVG). Schrijft de nationale wet voor kopieën te bewaren — zo lang als de wet vereist, en niet langer.
• De diensten die u gebruikt. Uploadt u een document naar een onlinedienst om het te vertalen, dan is die dienst uw verwerker. Daarmee hebt u een verwerkersovereenkomst nodig (art. 28(3) AVG), en u mag alleen een verwerker kiezen die voldoende garanties biedt (art. 28(1) AVG). Gebruikt de dienst uw documenten voor eigen doeleinden — bijvoorbeeld om modellen te trainen —, dan is hij niet langer louter verwerker, en voor die verstrekking moet u zelf instaan.
• Incident. Worden documenten gelekt of raken ze kwijt, dan hebt u als verwerkingsverantwoordelijke 72 uur om de toezichthoudende autoriteit te melden (art. 33(1) AVG) en moet u bij een hoog risico ook de klant inlichten (art. 34 AVG).

Wanneer de vertaler verwerker is

Een andere situatie: u vertaalt in opdracht van een vertaalbureau of een bedrijf dat de documenten zelf van zijn klanten heeft gekregen en bepaalt hoe ermee wordt omgegaan — welke documenten, wanneer, waar het resultaat heen gaat, wanneer ze worden verwijderd. Dan handelt u doorgaans namens dat bureau — dus als verwerker.

Wat dit in de praktijk betekent:

• Overeenkomst met het bureau. Het bureau moet met u een verwerkersovereenkomst sluiten (art. 28(3) AVG). Is u er geen aangeboden, dan is dat een reden om ernaar te vragen, geen reden om zonder te werken.
• Alleen op instructie. U verwerkt gegevens alleen op gedocumenteerde instructie van het bureau (art. 28(3)(a)). U mag de documenten niet voor eigen doeleinden gebruiken.
• Vertrouwelijkheid. U moet ervoor zorgen dat alleen personen die tot geheimhouding verplicht zijn toegang hebben tot de documenten (art. 28(3)(b)).
• Uw subverwerkers. U mag een eigen subverwerker — een andere vertaler, een redacteur, een onlinedienst — alleen inschakelen met toestemming van het bureau (art. 28(2) AVG). Op de subverwerker rusten dezelfde verplichtingen inzake gegevensbescherming, en schendt hij die, dan bent u tegenover het bureau aansprakelijk (art. 28(4) AVG).
• Verwijdering na het werk. Na afloop van de opdracht verwijdert u de gegevens of geeft u ze terug — zoals het bureau beslist (art. 28(3)(g)).
• Incident. Elk lek meldt u zonder onredelijke vertraging aan het bureau (art. 33(2) AVG); de melding aan de toezichthoudende autoriteit is dan de taak van het bureau als verwerkingsverantwoordelijke.

Grensgevallen

• Beëdigde vertaling in opdracht van een bureau. Ook via een bureau waarmerkt een beëdigd vertaler de vertaling persoonlijk en is hij er volgens de nationale wet verantwoordelijk voor. In zo’n situatie wordt de vertaler soms niet als verwerker, maar als zelfstandige verwerkingsverantwoordelijke beschouwd. Het antwoord hangt af van wie feitelijk bepaalt wat er met het document gebeurt.
• Vertaling in opdracht van een rechter of instantie. De rol wordt op dezelfde manier bepaald: door wie beslist waarom en hoe de gegevens worden verwerkt. De procedure is vaak rechtstreeks vastgelegd in de wet van uw land op beëdigde vertalers.
• Samenwerken met een collega. Beslist u samen hoe een opdracht wordt uitgevoerd, dan kunt u gezamenlijke verwerkingsverantwoordelijken zijn (art. 26 AVG); dan moet u afspreken wie waarvoor verantwoordelijk is.

Twijfelt u, leg dan uw beslissing en de reden ervan vast. Een gedocumenteerd standpunt is beter dan geen: juist daarnaar vraagt de toezichthoudende autoriteit.

Register van verwerkingen: hebt u er een nodig?

Zowel verwerkingsverantwoordelijken als verwerkers moeten een register van verwerkingsactiviteiten bijhouden (art. 30 AVG). Er is een uitzondering voor organisaties met minder dan 250 werknemers (art. 30(5) AVG), maar die geldt niet als de verwerking niet incidenteel is of bijzondere categorieën van gegevens of gegevens over strafrechtelijke veroordelingen omvat. Wie officiële documenten vertaalt, verwerkt zulke gegevens regelmatig; de uitzondering geldt dus doorgaans niet — ook niet als u alleen werkt.

Wat u als verwerkingsverantwoordelijke minimaal vastlegt (art. 30(1) AVG):

• uw naam en contactgegevens;
• de doeleinden van de verwerking (vertaling en waarmerking van documenten van klanten);
• categorieën van betrokkenen en van gegevens (klanten en personen die in de documenten worden genoemd; gegevens uit de documenten, waaronder bijzondere categorieën);
• ontvangers (bijvoorbeeld een online vertaaldienst als verwerker);
• doorgiften buiten de EU/EER, als die er zijn;
• termijnen voor verwijdering;
• een algemene beschrijving van de beveiligingsmaatregelen.

Bent u verwerker, dan is het register korter (art. 30(2) AVG): namens wie u werkt, welke soorten verwerking u uitvoert, doorgiften buiten de EU/EER en beveiligingsmaatregelen.

Het register hoeft nergens te worden ingediend. U houdt het voor uzelf bij en toont het op verzoek aan de toezichthoudende autoriteit (art. 30(4) AVG). Voor een vertaler die alleen werkt, is dat een of twee pagina’s.

Waar Lingverra in beeld komt

Voor de vertaler is Lingverra verwerker. Met elke gebruiker geldt automatisch een verwerkersovereenkomst volgens art. 28 AVG — u hoeft die niet op te vragen of apart te ondertekenen. Alle bedrijven die bij de verwerking betrokken zijn, staan in de openbare lijst van subverwerkers — wat elk doet, waar het gevestigd is en op welke grondslag (art. 28(2) en (4) AVG). Documenten van klanten worden niet gebruikt om modellen te trainen.

Voor uw register betekent dit: onder „ontvangers” vermeldt u Lingverra als verwerker en voegt u de links naar de overeenkomst en de lijst van subverwerkers toe. Werkt u zelf als verwerker voor een bureau, dan kunt u het bureau dezelfde lijst laten zien wanneer u toestemming vraagt om de dienst te gebruiken.

Hoe wij documenten beschermen — stap voor stap en met verwijzingen naar de AVG — staat in het artikel „Waar het document van uw klant heen gaat als u met Lingverra vertaalt”.

Kort samengevat

• De klant kwam rechtstreeks naar u — u bent doorgaans verwerkingsverantwoordelijke: rechtsgrond, informatie aan de klant, een overeenkomst met uw dienst als verwerker, een register.
• U werkt voor een bureau — u bent doorgaans verwerker: een overeenkomst met het bureau, werken alleen op diens instructie en met diens toestemming voor uw subverwerkers.
• Een beëdigde vertaling is uw persoonlijke verantwoordelijkheid volgens de wet, ook als de opdracht via een bureau kwam.
• Wie officiële documenten vertaalt, heeft bijna altijd een register volgens art. 30 nodig.

Verwerkersovereenkomst (art. 28 AVG)

Lijst van subverwerkers

Lees ook: Waar het document van uw klant heen gaat als u met Lingverra vertaalt