GDPR împarte răspunderea pentru astfel de date între două roluri: operator și persoană împuternicită. De rolul pe care îl aveți într-o comandă concretă depinde ce trebuie să faceți personal, de ce contracte aveți nevoie și cine răspunde dacă ceva merge prost. Să le luăm pe rând.
Cele două roluri, pe scurt
Operatorul este cel care stabilește scopurile și mijloacele prelucrării datelor cu caracter personal (art. 4 pct. 7 GDPR). El răspunde de legalitatea prelucrării și trebuie să o poată demonstra (art. 5 alin. (2), art. 24 GDPR).
Persoana împuternicită este cea care prelucrează date în numele operatorului și conform instrucțiunilor acestuia (art. 4 pct. 8 GDPR). Obligațiile sale sunt stabilite prin contractul cu operatorul (art. 28 alin. (3) GDPR).
Rolul nu depinde de titlul contractului și nici de cum vă numiți, ci de fapte: cine decide de ce și prin ce mijloace sunt prelucrate datele. Același traducător poate fi luni operator, iar marți persoană împuternicită — în funcție de comandă.
Când traducătorul este operator
O situație tipică: o persoană fizică vine direct la dvs. cu un document pentru traducere autorizată. Decideți personal cum faceți lucrarea: cu ce mijloace, unde păstrați documentul, când îl ștergeți. În plus, traducătorul autorizat acționează în limitele propriilor obligații profesionale stabilite de legea țării sale, nu după instrucțiunile clientului: clientul nu vă poate cere să traduceți altfel sau să omiteți încheierea de certificare. În această situație sunteți operator.
Ce înseamnă asta în practică:
- Temeiul juridic. Aveți nevoie de un temei pentru prelucrare (art. 6 alin. (1) GDPR) — de obicei executarea contractului cu clientul (art. 6 alin. (1) lit. (b)). Dacă legea țării dvs. vă obligă să păstrați copii sau să țineți un registru de traduceri, temeiul pentru aceasta este o obligație legală (art. 6 alin. (1) lit. (c)).
- Categoriile speciale. Documentele conțin adesea date privind sănătatea, originea, religia (art. 9 GDPR) sau informații despre condamnări penale (art. 10 GDPR). Pentru ele sunt necesare temeiuri suplimentare și o protecție sporită. Cel mai frecvent temei în munca noastră: clientul are nevoie de date pentru constatarea, exercitarea sau apărarea unui drept în instanță, de exemplu la tribunal sau la o autoritate (art. 9 alin. (2) lit. (f)).
- Informarea clientului. Trebuie să îi spuneți clientului cine sunteți, de ce prelucrați datele, cui le transmiteți și cât timp le păstrați (art. 13 GDPR). Este suficientă o scurtă notificare pe site, în deviz sau în contract.
- Securitatea. Trebuie să protejați datele prin măsuri adecvate riscului (art. 32 GDPR). Pentru documente cu date privind sănătatea sau condamnări, riscul este prin definiție ridicat.
- Durata de stocare. Datele pot fi păstrate cel mult cât este necesar pentru scop (art. 5 alin. (1) lit. (e) GDPR). Dacă legea națională cere păstrarea copiilor — atât cât cere legea, și nu mai mult.
- Serviciile pe care le folosiți. Dacă încărcați un document într-un serviciu online pentru traducere, acel serviciu este persoana dvs. împuternicită. Cu el aveți nevoie de un contract de prelucrare a datelor (art. 28 alin. (3) GDPR) și puteți alege doar o persoană împuternicită care oferă garanții suficiente (art. 28 alin. (1) GDPR). Dacă serviciul folosește documentele dvs. în scopuri proprii — de exemplu, pentru antrenarea modelelor —, nu mai este o simplă persoană împuternicită, iar pentru această transmitere veți răspunde dvs.
- Incidentul. Dacă documentele se scurg sau se pierd, în calitate de operator aveți 72 de ore pentru notificarea autorității de supraveghere (art. 33 alin. (1) GDPR), iar la risc ridicat trebuie să informați și clientul (art. 34 GDPR).
Când traducătorul este persoană împuternicită
Altă situație: traduceți la comanda unei agenții de traduceri sau a unei firme care a primit ea însăși documentele de la clienții săi și decide cum se lucrează cu ele — ce documente, în ce termene, unde se predă rezultatul, când se șterg. Aici acționați, de regulă, în numele ei — adică în calitate de persoană împuternicită.
Ce înseamnă asta în practică:
- Contractul cu agenția. Agenția trebuie să încheie cu dvs. un contract de prelucrare a datelor (art. 28 alin. (3) GDPR). Dacă nu vi l-au propus, este un motiv să întrebați, nu un motiv să lucrați fără el.
- Numai pe bază de instrucțiuni. Prelucrați datele numai pe baza instrucțiunilor documentate ale agenției (art. 28 alin. (3) lit. (a)). Nu aveți voie să folosiți documentele în scopuri proprii.
- Confidențialitatea. Trebuie să vă asigurați că au acces la documente numai persoane obligate să respecte confidențialitatea (art. 28 alin. (3) lit. (b)).
- Subcontractanții dvs. Puteți recurge la un subcontractant propriu — alt traducător, un corector, un serviciu online — numai cu autorizarea agenției (art. 28 alin. (2) GDPR). Subcontractantului îi revin aceleași obligații de protecție a datelor, iar dacă le încalcă, răspundeți dvs. față de agenție (art. 28 alin. (4) GDPR).
- Ștergerea după lucrare. La finalul comenzii ștergeți sau returnați datele — cum decide agenția (art. 28 alin. (3) lit. (g)).
- Incidentul. Raportați orice scurgere agenției fără întârzieri nejustificate (art. 33 alin. (2) GDPR); notificarea autorității de supraveghere este apoi sarcina agenției, ca operator.
Cazuri-limită
- Traducere autorizată la comanda unei agenții. Chiar și lucrând prin agenție, traducătorul autorizat certifică traducerea personal și răspunde pentru ea potrivit legii naționale. În această situație, traducătorul este uneori considerat nu persoană împuternicită, ci operator de sine stătător. Decide cine stabilește efectiv ce se întâmplă cu documentul.
- Traducere la comanda unei instanțe sau autorități. Rolul se stabilește la fel: după cine decide de ce și cum sunt prelucrate datele. Adesea procedura este stabilită direct de legea țării dvs. privind traducătorii autorizați.
- Lucrul împreună cu un coleg. Dacă decideți împreună cum se execută o comandă, puteți fi operatori asociați (art. 26 GDPR), iar atunci trebuie să stabiliți cine de ce răspunde.
Dacă aveți îndoieli, notați decizia și motivul ei. O poziție documentată e mai bună decât niciuna: exact pe aceasta o va cere autoritatea de supraveghere.
Registrul activităților de prelucrare: aveți nevoie de el?
Registrul activităților de prelucrare (art. 30 GDPR) trebuie ținut atât de operatori, cât și de persoanele împuternicite. Există o excepție pentru organizațiile cu mai puțin de 250 de angajați (art. 30 alin. (5) GDPR), dar ea nu se aplică dacă prelucrarea nu este ocazională sau include categorii speciale de date ori date privind condamnări penale. Traducătorul de documente oficiale prelucrează astfel de date în mod regulat, așa că excepția, de regulă, nu i se aplică — chiar dacă lucrează pe cont propriu.
Ce treceți în registru ca operator — minimum (art. 30 alin. (1) GDPR):
- numele și datele dvs. de contact;
- scopurile prelucrării (traducerea și certificarea documentelor clienților);
- categoriile de persoane vizate și de date (clienți și persoane menționate în documente; date din documente, inclusiv categorii speciale);
- destinatarii (de exemplu, un serviciu de traducere online ca persoană împuternicită);
- transferurile în afara UE/SEE, dacă există;
- termenele de ștergere;
- o descriere generală a măsurilor de securitate.
Dacă sunteți persoană împuternicită, registrul este mai scurt (art. 30 alin. (2) GDPR): în numele cui lucrați, ce tipuri de prelucrare efectuați, transferurile în afara UE/SEE și măsurile de securitate.
Registrul nu trebuie depus nicăieri. Îl țineți pentru dvs. și îl prezentați autorității de supraveghere la cerere (art. 30 alin. (4) GDPR). Pentru un traducător care lucrează pe cont propriu, înseamnă una sau două pagini.
Unde intervine Lingverra
Pentru traducător, Lingverra este persoană împuternicită. Cu fiecare utilizator se aplică automat un contract de prelucrare a datelor conform art. 28 GDPR — nu trebuie solicitat sau semnat separat. Toate companiile care participă la prelucrare sunt enumerate în lista publică a subcontractanților — ce face fiecare, unde se află și pe ce temei (art. 28 alin. (2) și (4) GDPR). Documentele clienților nu sunt folosite pentru antrenarea modelelor.
Pentru registrul dvs., asta înseamnă: la rubrica „destinatari” treceți Lingverra ca persoană împuternicită și atașați linkurile către contract și lista subcontractanților. Dacă lucrați chiar dvs. ca persoană împuternicită pentru o agenție, îi puteți arăta aceeași listă atunci când cereți autorizarea de a folosi serviciul.
Cum protejăm documentele — pas cu pas și cu trimiteri la GDPR — este descris în articolul „Unde ajunge documentul clientului dvs. când traduceți cu Lingverra”.
Pe scurt
- Clientul a venit direct la dvs. — de regulă sunteți operator: temei juridic, informarea clientului, contract cu serviciul dvs. ca persoană împuternicită, registru.
- Lucrați pentru o agenție — de regulă sunteți persoană împuternicită: contract cu agenția, lucru numai pe baza instrucțiunilor ei și cu autorizarea ei pentru subcontractanții dvs.
- Traducerea autorizată este răspunderea dvs. personală potrivit legii, chiar dacă comanda a venit printr-o agenție.
- Traducătorul de documente oficiale are aproape întotdeauna nevoie de un registru conform art. 30.
Contract de prelucrare a datelor (art. 28 GDPR)
Citiți și: Unde ajunge documentul clientului dvs. când traduceți cu Lingverra