O RGPD reparte a responsabilidade por estes dados entre dois papéis: responsável pelo tratamento e subcontratante. Do papel que desempenha num trabalho concreto depende o que tem de fazer pessoalmente, que contratos precisa e quem responde se algo correr mal. Vamos por partes.
Os dois papéis em resumo
O responsável pelo tratamento é quem determina as finalidades e os meios do tratamento de dados pessoais (art. 4.º(7) RGPD). Responde pela licitude do tratamento e tem de a poder comprovar (art. 5.º(2), art. 24.º RGPD).
O subcontratante é quem trata dados por conta do responsável e segundo as suas instruções (art. 4.º(8) RGPD). As suas obrigações são fixadas pelo contrato com o responsável (art. 28.º(3) RGPD).
O papel não depende do título do contrato nem de como se designa a si próprio, mas dos factos: quem decide para quê e com que meios os dados são tratados. O mesmo tradutor pode ser responsável à segunda-feira e subcontratante à terça, consoante o trabalho.
Quando o tradutor é responsável pelo tratamento
Situação típica: um particular dirige-se diretamente a si com um documento para tradução ajuramentada. Decide pessoalmente como fazer o trabalho: com que meios, onde guardar o documento, quando o eliminar. Além disso, o tradutor ajuramentado atua no âmbito dos seus próprios deveres profissionais, fixados pela lei do seu país, e não segundo instruções do cliente: o cliente não pode mandar traduzir de outra forma nem omitir o termo de certificação. Nesta situação, é responsável pelo tratamento.
O que isto significa na prática:
- Fundamento jurídico. Precisa de um fundamento para o tratamento (art. 6.º(1) RGPD) — normalmente a execução do contrato com o cliente (art. 6.º(1)(b)). Se a lei do seu país obriga a conservar cópias ou a manter um registo de traduções, o fundamento é uma obrigação jurídica (art. 6.º(1)(c)).
- Categorias especiais. Os documentos contêm frequentemente dados de saúde, origem ou religião (art. 9.º RGPD) ou informações sobre condenações penais (art. 10.º RGPD). Para estes são necessários fundamentos adicionais e proteção reforçada. O fundamento mais frequente no nosso trabalho: o cliente precisa dos dados para declarar, exercer ou defender um direito num processo, por exemplo perante um tribunal ou um organismo (art. 9.º(2)(f)).
- Informar o cliente. Tem de comunicar ao cliente quem é, para que trata os dados, a quem são transmitidos e durante quanto tempo são conservados (art. 13.º RGPD). Basta uma breve informação no seu site, no orçamento ou no contrato.
- Segurança. Tem de proteger os dados com medidas adequadas ao risco (art. 32.º RGPD). Em documentos com dados de saúde ou condenações, o risco é elevado por definição.
- Prazo de conservação. Os dados não podem ser conservados mais tempo do que o necessário para a finalidade (art. 5.º(1)(e) RGPD). Se a lei nacional exigir a conservação de cópias — pelo tempo que a lei exigir, e não mais.
- Os serviços que utiliza. Se carregar um documento num serviço online para o traduzir, esse serviço é o seu subcontratante. Com ele precisa de um contrato de subcontratação (art. 28.º(3) RGPD), e só pode escolher um subcontratante que apresente garantias suficientes (art. 28.º(1) RGPD). Se o serviço utilizar os seus documentos para fins próprios — por exemplo, para treinar modelos —, deixa de ser um mero subcontratante, e será responsável por essa transmissão.
- Incidente. Se houver fuga ou perda de documentos, como responsável tem 72 horas para notificar a autoridade de controlo (art. 33.º(1) RGPD) e, se o risco for elevado, deve informar também o cliente (art. 34.º RGPD).
Quando o tradutor é subcontratante
Outra situação: traduz por encomenda de uma agência de tradução ou de uma empresa que recebeu ela própria os documentos dos seus clientes e decide como os tratar — que documentos, em que prazos, onde entregar o resultado, quando os eliminar. Aqui atua, em regra, por conta dela — ou seja, como subcontratante.
O que isto significa na prática:
- Contrato com a agência. A agência tem de celebrar consigo um contrato de subcontratação (art. 28.º(3) RGPD). Se não lho propuseram, é motivo para o pedir, não para trabalhar sem ele.
- Só por instrução. Trata os dados apenas mediante instruções documentadas da agência (art. 28.º(3)(a)). Não pode utilizar os documentos para fins próprios.
- Confidencialidade. Tem de garantir que só têm acesso aos documentos pessoas sujeitas a um dever de confidencialidade (art. 28.º(3)(b)).
- Os seus subcontratantes. Só pode recorrer a um subcontratante seu — outro tradutor, um revisor, um serviço online — com autorização da agência (art. 28.º(2) RGPD). Sobre ele recaem as mesmas obrigações de proteção de dados e, se as violar, responde perante a agência (art. 28.º(4) RGPD).
- Eliminação após o trabalho. No fim do trabalho, elimina ou devolve os dados — conforme a agência decidir (art. 28.º(3)(g)).
- Incidente. Comunica qualquer fuga à agência sem demora injustificada (art. 33.º(2) RGPD); notificar a autoridade de controlo passa a ser tarefa da agência, enquanto responsável.
Casos-limite
- Tradução ajuramentada por encomenda de uma agência. Mesmo trabalhando através de uma agência, o tradutor ajuramentado certifica a tradução pessoalmente e responde por ela nos termos da lei nacional. Nesta situação, o tradutor é por vezes considerado não subcontratante, mas responsável autónomo. Depende de quem determina de facto o que acontece ao documento.
- Tradução por encomenda de um tribunal ou organismo. O papel determina-se da mesma forma: por quem decide para quê e como os dados são tratados. Muitas vezes o procedimento está fixado diretamente na lei do seu país sobre tradutores ajuramentados.
- Trabalho conjunto com um colega. Se decidirem os dois como executar um trabalho, podem ser responsáveis conjuntos pelo tratamento (art. 26.º RGPD), e então há que acordar quem responde por quê.
Em caso de dúvida, registe por escrito a sua decisão e o motivo. Uma posição documentada é melhor do que nenhuma: é precisamente isso que a autoridade de controlo pedirá.
Registo das atividades de tratamento: precisa dele?
Tanto os responsáveis como os subcontratantes têm de manter um registo das atividades de tratamento (art. 30.º RGPD). Há uma exceção para organizações com menos de 250 trabalhadores (art. 30.º(5) RGPD), mas não se aplica se o tratamento não for ocasional ou abranger categorias especiais de dados ou dados relativos a condenações penais. Quem traduz documentos oficiais trata esses dados regularmente, pelo que a exceção, em regra, não se aplica — mesmo que trabalhe por conta própria.
O que inscrever como responsável — o mínimo (art. 30.º(1) RGPD):
- o seu nome e contactos;
- as finalidades do tratamento (tradução e certificação de documentos de clientes);
- as categorias de titulares e de dados (clientes e pessoas mencionadas nos documentos; dados dos documentos, incluindo categorias especiais);
- os destinatários (por exemplo, um serviço de tradução online como subcontratante);
- as transferências para fora da UE/EEE, se existirem;
- os prazos de apagamento;
- uma descrição geral das medidas de segurança.
Se for subcontratante, o registo é mais curto (art. 30.º(2) RGPD): por conta de quem trabalha, que tipos de tratamento efetua, as transferências para fora da UE/EEE e as medidas de segurança.
O registo não tem de ser entregue em lado nenhum. Mantém-no para si e apresenta-o à autoridade de controlo a pedido (art. 30.º(4) RGPD). Para quem trabalha por conta própria, são uma ou duas páginas.
Onde entra a Lingverra
Para o tradutor, a Lingverra é subcontratante. Com cada utilizador vigora automaticamente um contrato de subcontratação nos termos do art. 28.º do RGPD — não é preciso pedi-lo nem assiná-lo à parte. Todas as empresas que participam no tratamento constam da lista pública de subcontratantes ulteriores — o que cada uma faz, onde se encontra e com que fundamento (art. 28.º(2) e (4) RGPD). Os documentos dos clientes não são utilizados para treinar modelos.
Para o seu registo, isto significa: em «destinatários» indica a Lingverra como subcontratante e anexa as ligações para o contrato e para a lista de subcontratantes ulteriores. Se trabalhar como subcontratante para uma agência, pode mostrar-lhe a mesma lista quando pedir autorização para utilizar o serviço.
Como protegemos os documentos — passo a passo e com referências ao RGPD — está descrito no artigo «Para onde vai o documento do seu cliente quando traduz com a Lingverra».
Em resumo
- O cliente veio diretamente ter consigo — em regra é responsável pelo tratamento: fundamento jurídico, informação ao cliente, contrato com o seu serviço como subcontratante, registo.
- Trabalha para uma agência — em regra é subcontratante: contrato com a agência, trabalho só segundo as instruções dela e com a autorização dela para os seus subcontratantes.
- A tradução ajuramentada é uma responsabilidade pessoal sua nos termos da lei, mesmo que o trabalho tenha chegado através de uma agência.
- Quem traduz documentos oficiais precisa quase sempre de um registo nos termos do art. 30.º.
Contrato de subcontratação (art. 28.º RGPD)
Lista de subcontratantes ulteriores
Leia também: Para onde vai o documento do seu cliente quando traduz com a Lingverra