GDPR rozdeľuje zodpovednosť za takéto údaje medzi dve roly: prevádzkovateľa a sprostredkovateľa. Od toho, v akej role v konkrétnej zákazke vystupujete, závisí, čo musíte urobiť sami, aké zmluvy potrebujete a kto zodpovedá, ak sa niečo pokazí. Poporiadku.
Dve roly v skratke
Prevádzkovateľ je ten, kto určuje účely a prostriedky spracúvania osobných údajov (čl. 4 bod 7 GDPR). Zodpovedá za zákonnosť spracúvania a musí ju vedieť preukázať (čl. 5 ods. 2, čl. 24 GDPR).
Sprostredkovateľ je ten, kto spracúva údaje v mene prevádzkovateľa a podľa jeho pokynov (čl. 4 bod 8 GDPR). Jeho povinnosti určuje zmluva s prevádzkovateľom (čl. 28 ods. 3 GDPR).
Rolu neurčuje názov zmluvy ani to, ako sa sami nazývate, ale fakty: kto rozhoduje, prečo a akými prostriedkami sa údaje spracúvajú. Ten istý prekladateľ môže byť v pondelok prevádzkovateľom a v utorok sprostredkovateľom — podľa zákazky.
Kedy je prekladateľ prevádzkovateľom
Typická situácia: súkromná osoba k vám príde priamo s dokumentom na úradný preklad. Sami rozhodujete, ako prácu vykonáte: akými prostriedkami, kde dokument uložíte, kedy ho vymažete. Navyše súdny prekladateľ koná v rámci vlastných profesijných povinností daných zákonom svojej krajiny, nie podľa pokynov klienta: klient vám nemôže prikázať, aby ste preložili inak alebo vynechali prekladateľskú doložku. V takej situácii ste prevádzkovateľ.
Čo to znamená v praxi:
- Právny základ. Potrebujete základ na spracúvanie (čl. 6 ods. 1 GDPR) — zvyčajne plnenie zmluvy s klientom (čl. 6 ods. 1 písm. b)). Ak vám zákon vašej krajiny ukladá uchovávať kópie alebo viesť evidenciu prekladov, základom je zákonná povinnosť (čl. 6 ods. 1 písm. c)).
- Osobitné kategórie. Dokumenty často obsahujú údaje o zdraví, pôvode, náboženstve (čl. 9 GDPR) alebo údaje o odsúdeniach (čl. 10 GDPR). Na ne sú potrebné ďalšie základy a zvýšená ochrana. Najčastejší základ v našej práci: klient údaje potrebuje na preukázanie, uplatňovanie alebo obhajovanie právnych nárokov, napríklad na súde alebo úrade (čl. 9 ods. 2 písm. f)).
- Informovanie klienta. Klientovi musíte oznámiť, kto ste, prečo údaje spracúvate, komu sa poskytujú a ako dlho sa uchovávajú (čl. 13 GDPR). Stačí krátke oznámenie na webe, v cenovej ponuke alebo v zmluve.
- Bezpečnosť. Údaje musíte chrániť opatreniami primeranými riziku (čl. 32 GDPR). Pri dokumentoch s údajmi o zdraví alebo odsúdeniach je riziko z definície vysoké.
- Doba uchovávania. Údaje možno uchovávať len tak dlho, ako je potrebné na daný účel (čl. 5 ods. 1 písm. e) GDPR). Ak vnútroštátny zákon vyžaduje uchovávať kópie — tak dlho, ako zákon vyžaduje, a nie dlhšie.
- Služby, ktoré používate. Ak na preklad nahrávate dokument do online služby, táto služba je vaším sprostredkovateľom. Potrebujete s ňou zmluvu o spracúvaní osobných údajov (čl. 28 ods. 3 GDPR) a vybrať môžete len sprostredkovateľa, ktorý poskytuje dostatočné záruky ochrany (čl. 28 ods. 1 GDPR). Ak služba používa vaše dokumenty na vlastné účely — napríklad na trénovanie modelov —, prestáva byť len sprostredkovateľom a za toto poskytnutie budete zodpovedať vy.
- Incident. Ak dokumenty uniknú alebo sa stratia, máte ako prevádzkovateľ 72 hodín na oznámenie dozornému orgánu (čl. 33 ods. 1 GDPR) a pri vysokom riziku musíte informovať aj klienta (čl. 34 GDPR).
Kedy je prekladateľ sprostredkovateľom
Iná situácia: prekladáte pre prekladateľskú agentúru alebo firmu, ktorá sama dostala dokumenty od svojich klientov a rozhoduje, ako s nimi naložiť — aké dokumenty, v akých lehotách, kam odovzdať výsledok, kedy ich vymazať. Tu spravidla konáte v jej mene — teda ako sprostredkovateľ.
Čo to znamená v praxi:
- Zmluva s agentúrou. Agentúra s vami musí uzavrieť zmluvu o spracúvaní osobných údajov (čl. 28 ods. 3 GDPR). Ak vám ju neponúkli, je to dôvod opýtať sa, nie dôvod pracovať bez nej.
- Len podľa pokynov. Údaje spracúvate len na základe zdokumentovaných pokynov agentúry (čl. 28 ods. 3 písm. a)). Dokumenty nesmiete používať na vlastné účely.
- Dôvernosť. Musíte zabezpečiť, aby k dokumentom mali prístup len osoby viazané povinnosťou mlčanlivosti (čl. 28 ods. 3 písm. b)).
- Vaši subdodávatelia. Vlastného subdodávateľa — iného prekladateľa, korektora, online službu — môžete zapojiť len so súhlasom agentúry (čl. 28 ods. 2 GDPR). Na subdodávateľa prechádzajú tie isté povinnosti ochrany údajov, a ak ich poruší, agentúre zodpovedáte vy (čl. 28 ods. 4 GDPR).
- Vymazanie po práci. Po skončení zákazky údaje vymažete alebo vrátite — ako rozhodne agentúra (čl. 28 ods. 3 písm. g)).
- Incident. O akomkoľvek úniku informujete agentúru bez zbytočného odkladu (čl. 33 ods. 2 GDPR); oznámenie dozornému orgánu je potom úlohou agentúry ako prevádzkovateľa.
Hraničné prípady
- Úradný preklad na zákazku agentúry. Aj pri práci cez agentúru súdny prekladateľ overuje preklad osobne a zodpovedá zaň podľa vnútroštátneho zákona. V takej situácii sa prekladateľ niekedy nepovažuje za sprostredkovateľa, ale za samostatného prevádzkovateľa. Rozhoduje, kto fakticky určuje, čo sa s dokumentom deje.
- Preklad na zákazku súdu alebo úradu. Rola sa určuje rovnako: podľa toho, kto rozhoduje, prečo a ako sa údaje spracúvajú. Postup často priamo stanovuje zákon vašej krajiny o súdnych prekladateľoch.
- Spolupráca s kolegom. Ak spolu rozhodujete, ako zákazku vykonať, môžete byť spoločnými prevádzkovateľmi (čl. 26 GDPR), a vtedy sa treba dohodnúť, kto za čo zodpovedá.
Ak si nie ste istí, zapíšte svoje rozhodnutie a jeho dôvod. Zdokumentovaný postoj je lepší ako žiadny: práve naň sa opýta dozorný orgán.
Záznamy o spracovateľských činnostiach: potrebujete ich?
Záznamy o spracovateľských činnostiach (čl. 30 GDPR) musia viesť prevádzkovatelia aj sprostredkovatelia. Výnimka pre organizácie s menej ako 250 zamestnancami existuje (čl. 30 ods. 5 GDPR), neplatí však, ak spracúvanie nie je príležitostné alebo zahŕňa osobitné kategórie údajov či údaje o odsúdeniach. Prekladateľ úradných dokumentov takéto údaje spracúva pravidelne, takže výnimka sa naň spravidla nevzťahuje — ani keď pracuje sám.
Čo zapísať ako prevádzkovateľ — minimum (čl. 30 ods. 1 GDPR):
- svoje meno a kontaktné údaje;
- účely spracúvania (preklad a overenie dokumentov klientov);
- kategórie dotknutých osôb a údajov (klienti a osoby uvedené v dokumentoch; údaje z dokumentov vrátane osobitných kategórií);
- príjemcov (napríklad online prekladateľská služba ako sprostredkovateľ);
- prenosy mimo EÚ/EHP, ak k nim dochádza;
- lehoty na vymazanie;
- všeobecný opis bezpečnostných opatrení.
Ak ste sprostredkovateľ, záznamy sú kratšie (čl. 30 ods. 2 GDPR): v mene koho pracujete, aké druhy spracúvania vykonávate, prenosy mimo EÚ/EHP a bezpečnostné opatrenia.
Záznamy sa nikam nepodávajú. Vediete ich pre seba a na požiadanie ich predložíte dozornému orgánu (čl. 30 ods. 4 GDPR). Pre prekladateľa, ktorý pracuje sám, ide o jednu až dve strany.
Kde je tu Lingverra
Pre prekladateľa je Lingverra sprostredkovateľom. S každým používateľom automaticky platí zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR — netreba o ňu žiadať ani ju osobitne podpisovať. Všetky spoločnosti, ktoré sa na spracúvaní podieľajú, sú uvedené vo verejnom zozname ďalších sprostredkovateľov — čo ktorá robí, kde sídli a na akom základe (čl. 28 ods. 2 a 4 GDPR). Dokumenty klientov sa nepoužívajú na trénovanie modelov.
Pre vaše záznamy to znamená: do kolónky „príjemcovia“ uvediete Lingverra ako sprostredkovateľa a priložíte odkazy na zmluvu a zoznam ďalších sprostredkovateľov. Ak sami pracujete ako sprostredkovateľ pre agentúru, môžete jej ten istý zoznam ukázať, keď žiadate o súhlas s používaním služby.
Ako dokumenty chránime — krok za krokom a s odkazmi na GDPR — opisuje článok „Kam putuje dokument vášho klienta, keď prekladáte s Lingverra“.
V skratke
- Klient prišiel priamo k vám — spravidla ste prevádzkovateľ: právny základ, informovanie klienta, zmluva s vašou službou ako sprostredkovateľom, záznamy.
- Pracujete pre agentúru — spravidla ste sprostredkovateľ: zmluva s agentúrou, práca len podľa jej pokynov a s jej súhlasom pre vašich subdodávateľov.
- Úradný preklad je vašou osobnou zodpovednosťou podľa zákona, aj keď zákazka prišla cez agentúru.
- Prekladateľ úradných dokumentov takmer vždy potrebuje záznamy podľa čl. 30.
Zmluva o spracúvaní osobných údajov (čl. 28 GDPR)
Zoznam ďalších sprostredkovateľov
Prečítajte si aj: Kam putuje dokument vášho klienta, keď prekladáte s Lingverra