Tłumacz przysięgły a RODO: jesteś administratorem czy podmiotem przetwarzającym?

RODO dzieli odpowiedzialność za takie dane między dwie role: administratora i podmiot przetwarzający. Od tego, w jakiej roli występujesz w konkretnym zleceniu, zależy, co musisz zrobić samodzielnie, jakich umów potrzebujesz i kto odpowiada, jeśli coś pójdzie nie tak. Po kolei.

Dwie role w skrócie

Administrator to ten, kto ustala cele i sposoby przetwarzania danych osobowych (art. 4 pkt 7 RODO). Odpowiada za zgodność przetwarzania z prawem i musi umieć to wykazać (art. 5 ust. 2, art. 24 RODO).

Podmiot przetwarzający to ten, kto przetwarza dane w imieniu administratora i na jego polecenie (art. 4 pkt 8 RODO). Jego obowiązki określa umowa z administratorem (art. 28 ust. 3 RODO).

O roli decyduje nie tytuł umowy ani to, jak siebie nazywasz, lecz fakty: kto decyduje, po co i jakimi środkami przetwarzane są dane. Ten sam tłumacz w poniedziałek może być administratorem, a we wtorek podmiotem przetwarzającym — zależnie od zlecenia.

Kiedy tłumacz jest administratorem

Typowa sytuacja: osoba prywatna przychodzi do Ciebie bezpośrednio z dokumentem do tłumaczenia przysięgłego. Sam decydujesz, jak wykonać pracę: jakimi środkami, gdzie przechowywać dokument, kiedy go usunąć. Ponadto tłumacz przysięgły działa w ramach własnych obowiązków zawodowych określonych przez prawo swojego kraju, a nie na polecenie klienta: klient nie może kazać Ci przetłumaczyć inaczej ani pominąć formuły poświadczenia. W takiej sytuacji jesteś administratorem.

Co to oznacza w praktyce:

• Podstawa prawna. Potrzebujesz podstawy przetwarzania (art. 6 ust. 1 RODO) — zwykle jest to wykonanie umowy z klientem (art. 6 ust. 1 lit. b). Jeśli prawo Twojego kraju zobowiązuje do przechowywania kopii lub prowadzenia repertorium, podstawą jest obowiązek prawny (art. 6 ust. 1 lit. c).
• Szczególne kategorie. Dokumenty często zawierają dane o zdrowiu, pochodzeniu, wyznaniu (art. 9 RODO) lub informacje o wyrokach skazujących (art. 10 RODO). Wymagają one dodatkowych podstaw i wzmocnionej ochrony. Najczęstsza podstawa w naszej pracy: dane są klientowi potrzebne do ustalenia, dochodzenia lub obrony roszczeń, np. przed sądem lub urzędem (art. 9 ust. 2 lit. f).
• Informowanie klienta. Musisz poinformować klienta, kim jesteś, w jakim celu przetwarzasz dane, komu są przekazywane i jak długo są przechowywane (art. 13 RODO). Wystarczy krótka informacja na stronie, w kosztorysie lub w umowie.
• Bezpieczeństwo. Musisz chronić dane środkami odpowiednimi do ryzyka (art. 32 RODO). Przy dokumentach z danymi o zdrowiu lub karalności ryzyko jest z definicji wysokie.
• Okres przechowywania. Dane można przechowywać nie dłużej, niż wymaga tego cel (art. 5 ust. 1 lit. e RODO). Jeśli prawo krajowe wymaga przechowywania kopii — tak długo, jak wymaga prawo, i nie dłużej.
• Usługi, z których korzystasz. Jeśli przesyłasz dokument do usługi online w celu tłumaczenia, ta usługa jest Twoim podmiotem przetwarzającym. Potrzebujesz z nią umowy powierzenia przetwarzania danych (art. 28 ust. 3 RODO) i możesz wybrać tylko taki podmiot, który zapewnia wystarczające gwarancje ochrony (art. 28 ust. 1 RODO). Jeśli usługa wykorzystuje Twoje dokumenty do własnych celów — np. do trenowania modeli — przestaje być zwykłym podmiotem przetwarzającym, a za to przekazanie odpowiadasz Ty.
• Incydent. Jeśli dokumenty wyciekną lub zaginą, jako administrator masz 72 godziny na zgłoszenie naruszenia organowi nadzorczemu (art. 33 ust. 1 RODO), a przy wysokim ryzyku musisz też zawiadomić klienta (art. 34 RODO).

Kiedy tłumacz jest podmiotem przetwarzającym

Inna sytuacja: tłumaczysz na zlecenie biura tłumaczeń lub firmy, która sama otrzymała dokumenty od swoich klientów i decyduje, jak z nimi postępować — jakie dokumenty, w jakim terminie, dokąd oddać wynik, kiedy usunąć. Wtedy działasz z reguły w jej imieniu — czyli jako podmiot przetwarzający.

Co to oznacza w praktyce:

• Umowa z biurem. Biuro musi zawrzeć z Tobą umowę powierzenia przetwarzania danych (art. 28 ust. 3 RODO). Jeśli Ci jej nie zaproponowano — to powód, by o nią zapytać, a nie by pracować bez niej.
• Tylko na polecenie. Przetwarzasz dane wyłącznie na udokumentowane polecenie biura (art. 28 ust. 3 lit. a). Nie możesz wykorzystywać dokumentów do własnych celów.
• Poufność. Musisz zapewnić, by dostęp do dokumentów miały tylko osoby zobowiązane do zachowania tajemnicy (art. 28 ust. 3 lit. b).
• Twoi podwykonawcy. Własnego podwykonawcę — innego tłumacza, redaktora, usługę online — możesz zaangażować tylko za zgodą biura (art. 28 ust. 2 RODO). Na podwykonawcę przechodzą te same obowiązki ochrony danych, a jeśli je naruszy, wobec biura odpowiadasz Ty (art. 28 ust. 4 RODO).
• Usunięcie po pracy. Po zakończeniu zlecenia usuwasz lub zwracasz dane — zgodnie z decyzją biura (art. 28 ust. 3 lit. g).
• Incydent. O każdym wycieku informujesz biuro bez zbędnej zwłoki (art. 33 ust. 2 RODO); zgłoszenie do organu nadzorczego należy już do biura jako administratora.

Przypadki graniczne

• Tłumaczenie przysięgłe na zlecenie biura. Nawet pracując przez biuro, tłumacz przysięgły poświadcza tłumaczenie osobiście i odpowiada za nie na podstawie prawa krajowego. W takiej sytuacji tłumacz bywa uznawany nie za podmiot przetwarzający, lecz za samodzielnego administratora. Rozstrzyga to, kto faktycznie decyduje o tym, co dzieje się z dokumentem.
• Tłumaczenie na zlecenie sądu lub urzędu. Rolę ustala się tak samo: według tego, kto decyduje, po co i jak przetwarzane są dane. Często tryb określa wprost ustawa o tłumaczach przysięgłych Twojego kraju.
• Wspólna praca z kolegą. Jeśli we dwoje decydujecie, jak wykonać zlecenie, możecie być współadministratorami (art. 26 RODO) i wtedy trzeba uzgodnić, kto za co odpowiada.

Jeśli masz wątpliwości — zapisz swoją decyzję i jej uzasadnienie. Udokumentowane stanowisko jest lepsze niż żadne: właśnie o nie zapyta organ nadzorczy.

Rejestr czynności przetwarzania: czy go potrzebujesz

Rejestr czynności przetwarzania (art. 30 RODO) muszą prowadzić zarówno administratorzy, jak i podmioty przetwarzające. Wyjątek dla organizacji zatrudniających mniej niż 250 osób istnieje (art. 30 ust. 5 RODO), ale nie ma zastosowania, jeśli przetwarzanie nie ma charakteru sporadycznego lub obejmuje szczególne kategorie danych albo dane dotyczące wyroków skazujących. Tłumacz dokumentów urzędowych przetwarza takie dane regularnie, więc wyjątek z reguły go nie obejmuje — nawet jeśli pracuje samodzielnie.

Co wpisać do rejestru jako administrator — minimum (art. 30 ust. 1 RODO):

• swoje imię i nazwisko oraz dane kontaktowe;
• cele przetwarzania (tłumaczenie i poświadczanie dokumentów klientów);
• kategorie osób i danych (klienci i osoby wymienione w dokumentach; dane z dokumentów, w tym szczególne kategorie);
• odbiorców (np. usługa tłumaczenia online jako podmiot przetwarzający);
• przekazania poza UE/EOG, jeśli występują;
• terminy usunięcia;
• ogólny opis środków bezpieczeństwa.

Jeśli jesteś podmiotem przetwarzającym, rejestr jest krótszy (art. 30 ust. 2 RODO): w czyim imieniu działasz, jakie kategorie przetwarzania wykonujesz, przekazania poza UE/EOG i środki bezpieczeństwa.

Rejestru nie trzeba nigdzie składać. Prowadzisz go dla siebie i udostępniasz organowi nadzorczemu na żądanie (art. 30 ust. 4 RODO). Dla tłumacza pracującego samodzielnie to jedna–dwie strony.

Gdzie tu jest Lingverra

Dla tłumacza Lingverra jest podmiotem przetwarzającym. Z każdym użytkownikiem automatycznie obowiązuje umowa powierzenia przetwarzania danych zgodnie z art. 28 RODO — nie trzeba jej osobno zamawiać ani podpisywać. Wszystkie firmy uczestniczące w przetwarzaniu są wymienione w publicznej liście podmiotów podprzetwarzających — co robi każda z nich, gdzie się znajduje i na jakiej podstawie (art. 28 ust. 2 i 4 RODO). Dokumenty klientów nie są wykorzystywane do trenowania modeli.

Dla rejestru oznacza to: w rubryce „odbiorcy” wpisujesz Lingverra jako podmiot przetwarzający i dołączasz linki do umowy i listy podmiotów podprzetwarzających. Jeśli pracujesz jako podmiot przetwarzający dla biura, możesz pokazać biuru tę samą listę, gdy prosisz o zgodę na korzystanie z usługi.

Jak chronimy dokumenty — krok po kroku i z odwołaniami do RODO — opisano w artykule „Dokąd trafia dokument Twojego klienta, gdy tłumaczysz w Lingverra”.

W skrócie

• Klient przyszedł do Ciebie bezpośrednio — z reguły jesteś administratorem: podstawa prawna, informacja dla klienta, umowa z Twoją usługą jako podmiotem przetwarzającym, rejestr.
• Pracujesz dla biura — z reguły jesteś podmiotem przetwarzającym: umowa z biurem, praca tylko na jego polecenie i za jego zgodą na Twoich podwykonawców.
• Tłumaczenie przysięgłe to Twoja osobista odpowiedzialność z mocy prawa, nawet jeśli zlecenie przyszło przez biuro.
• Tłumacz dokumentów urzędowych prawie zawsze potrzebuje rejestru z art. 30.

Umowa powierzenia przetwarzania danych (art. 28 RODO)

Lista podmiotów podprzetwarzających

Przeczytaj też: Dokąd trafia dokument Twojego klienta, gdy tłumaczysz w Lingverra