GDPR розподіляє відповідальність за такі дані між двома ролями: контролер і обробник. Від того, в якій ролі ви виступаєте в конкретному замовленні, залежить, що ви зобов’язані робити самі, які договори вам потрібні і хто відповідає, якщо щось піде не так. Розберімо по черзі.
Дві ролі — коротко
Контролер — той, хто визначає цілі та засоби обробки персональних даних (ст. 4(7) GDPR). Він відповідає за законність обробки і має вміти це довести (ст. 5(2), ст. 24 GDPR).
Обробник — той, хто обробляє дані від імені контролера і за його вказівками (ст. 4(8) GDPR). Його обов’язки визначаються договором з контролером (ст. 28(3) GDPR).
Роль визначається не назвою договору і не тим, як ви самі себе називаєте, а фактами: хто вирішує, навіщо і якими засобами обробляються дані. Той самий перекладач у понеділок може бути контролером, а у вівторок — обробником, залежно від замовлення.
Коли перекладач — контролер
Типова ситуація: приватна особа приходить до вас напряму з документом для присяжного перекладу. Ви самі вирішуєте, як виконати роботу: якими засобами користуватися, де зберігати документ, коли його видалити. Крім того, присяжний перекладач діє в межах власних професійних обов’язків, встановлених законом його країни, а не за вказівками клієнта: клієнт не може звеліти вам перекласти інакше чи не ставити засвідчувальний напис. У такій ситуації ви — контролер.
Що це означає на практиці:
- Правова підстава. Вам потрібна підстава для обробки (ст. 6(1) GDPR) — зазвичай це виконання договору з клієнтом (ст. 6(1)(b)). Якщо закон вашої країни зобов’язує зберігати копії або вести реєстр перекладів, підставою для цього є юридичний обов’язок (ст. 6(1)(c)).
- Особливі категорії. Документи часто містять дані про здоров’я, походження, віросповідання (ст. 9 GDPR) або відомості про судимості (ст. 10 GDPR). Для них потрібні додаткові підстави й посилений захист. Найчастіша підстава в нашій роботі — дані потрібні клієнту для встановлення, здійснення чи захисту правових вимог, наприклад у суді або відомстві (ст. 9(2)(f)).
- Інформування клієнта. Клієнту треба повідомити, хто ви, навіщо обробляєте дані, кому вони передаються і скільки зберігаються (ст. 13 GDPR). Досить короткого повідомлення на сайті, у кошторисі чи в договорі.
- Безпека. Ви зобов’язані забезпечити захист даних заходами, співмірними ризику (ст. 32 GDPR). Для документів з даними про здоров’я чи судимості ризик за визначенням високий.
- Строк зберігання. Зберігати дані можна не довше, ніж потрібно для мети (ст. 5(1)(e) GDPR). Якщо національний закон вимагає зберігати копії — стільки, скільки вимагає закон, і не довше.
- Сервіси, якими ви користуєтеся. Якщо для перекладу ви завантажуєте документ в онлайн-сервіс, цей сервіс — ваш обробник. З ним потрібен договір про обробку даних (ст. 28(3) GDPR), і обирати можна лише такого обробника, який дає достатні гарантії захисту (ст. 28(1) GDPR). Якщо сервіс використовує ваші документи у своїх цілях — наприклад, для навчання моделей, — він перестає бути просто обробником, і відповідати за цю передачу доведеться вам.
- Інцидент. Якщо документи витекли чи загубилися, ви як контролер маєте 72 години на повідомлення наглядового органу (ст. 33(1) GDPR), а за високого ризику мусите повідомити й самого клієнта (ст. 34 GDPR).
Коли перекладач — обробник
Інша ситуація: ви перекладаєте на замовлення бюро перекладів чи компанії, яка сама отримала документи від своїх клієнтів і визначає, як з ними працювати, — які документи, у які строки, куди здати результат, коли видалити. Тут ви, як правило, дієте від її імені — тобто як обробник.
Що це означає на практиці:
- Договір з бюро. Бюро має укласти з вами договір про обробку даних (ст. 28(3) GDPR). Якщо вам його не запропонували — це привід запитати, а не привід працювати без нього.
- Лише за вказівками. Ви обробляєте дані лише за документованими вказівками бюро (ст. 28(3)(a)). Використовувати документи у своїх цілях не можна.
- Конфіденційність. Ви зобов’язані забезпечити, щоб доступ до документів мали лише особи, пов’язані зобов’язанням конфіденційності (ст. 28(3)(b)).
- Ваші субпідрядники. Залучити свого субпідрядника — іншого перекладача, редактора, онлайн-сервіс — ви можете лише з дозволу бюро (ст. 28(2) GDPR). На субпідрядника переходять ті самі обов’язки щодо захисту даних, а якщо він їх порушить, перед бюро відповідаєте ви (ст. 28(4) GDPR).
- Видалення після роботи. Після завершення замовлення ви видаляєте або повертаєте дані — як вирішить бюро (ст. 28(3)(g)).
- Інцидент. Про будь-який витік ви без невиправданої затримки повідомляєте бюро (ст. 33(2) GDPR); повідомляти наглядовий орган — уже завдання бюро як контролера.
Прикордонні випадки
- Присяжний переклад на замовлення бюро. Навіть працюючи через бюро, присяжний перекладач засвідчує переклад особисто і відповідає за нього за національним законом. У такій ситуації перекладача іноді розглядають не як обробника, а як самостійного контролера. Рішення залежить від того, хто фактично визначає, що відбувається з документом.
- Переклад на доручення суду чи відомства. Роль визначається так само: за тим, хто вирішує, навіщо і як обробляються дані. Часто порядок прямо встановлений законом про присяжних перекладачів вашої країни.
- Спільна робота з колегою. Якщо ви вдвох вирішуєте, як виконувати замовлення, ви можете бути спільними контролерами (ст. 26 GDPR), і тоді треба домовитися, хто за що відповідає.
Якщо сумніваєтеся — запишіть своє рішення та його причину. Задокументована позиція краща, ніж жодна: саме її запитає наглядовий орган.
Реєстр обробки: чи потрібен він вам
Реєстр операцій обробки (ст. 30 GDPR) зобов’язані вести і контролери, і обробники. Виняток для організацій, де працює менше ніж 250 осіб, є (ст. 30(5) GDPR), але він не діє, якщо обробка не має разового характеру або охоплює дані особливих категорій чи відомості про судимості. Перекладач офіційних документів обробляє такі дані регулярно, тому виняток до нього, як правило, не застосовується — навіть якщо він працює сам.
Що записати в реєстр як контролер — мінімум (ст. 30(1) GDPR):
- ваше ім’я та контакти;
- цілі обробки (переклад і засвідчення документів клієнтів);
- категорії суб’єктів і даних (клієнти та особи, згадані в документах; дані з документів, зокрема особливих категорій);
- одержувачі (наприклад, онлайн-сервіс для перекладу як обробник);
- передачі за межі ЄС/ЄЕП, якщо вони є;
- строки видалення;
- загальний опис заходів безпеки.
Якщо ви обробник, реєстр коротший (ст. 30(2) GDPR): від чийого імені ви працюєте, які види обробки виконуєте, передачі за межі ЄС/ЄЕП і заходи безпеки.
Реєстр не треба нікуди подавати. Його ведуть для себе і показують наглядовому органу на запит (ст. 30(4) GDPR). Для перекладача, що працює сам, це одна-дві сторінки.
Де тут Lingverra
Для перекладача Lingverra — обробник. З кожним користувачем автоматично діє договір про обробку даних за ст. 28 GDPR, окремо запитувати чи підписувати його не потрібно. Усі компанії, що беруть участь в обробці, перелічено в публічному списку субпідрядників — що робить кожна, де розташована і на якій підставі (ст. 28(2) і (4) GDPR). Документи клієнтів не використовуються для навчання моделей.
Для реєстру це означає: у графі «одержувачі» ви вказуєте Lingverra як обробника і додаєте посилання на договір і список субпідрядників. Якщо ви самі працюєте як обробник для бюро, той самий список субпідрядників можна показати бюро, коли ви запитуєте дозвіл на використання сервісу.
Як ми захищаємо документи — крок за кроком і з посиланнями на GDPR — описано в статті «Куди потрапляє документ вашого клієнта, коли ви перекладаєте з Lingverra».
Коротко
- Клієнт прийшов до вас напряму — ви, як правило, контролер: правова підстава, повідомлення клієнта, договір з вашим сервісом-обробником, реєстр.
- Працюєте на бюро — ви, як правило, обробник: договір з бюро, робота лише за його вказівками і його дозвіл на ваших субпідрядників.
- Присяжний переклад — ваша особиста відповідальність за законом, навіть якщо замовлення надійшло через бюро.
- Реєстр за ст. 30 перекладачу офіційних документів майже завжди потрібен.
Договір про обробку даних (ст. 28 GDPR)
Читайте також: Куди потрапляє документ вашого клієнта, коли ви перекладаєте з Lingverra