GDPR e traduzione: come proteggere dati e know-how
Titolare e responsabile, contratto ex art. 28, sub-responsabili, trasferimenti extra-UE e traduzione automatica: che cosa verificare prima di inviare documenti a un fornitore linguistico.
Che cosa esce davvero dall'azienda quando si invia un documento a tradurre
Un progetto di traduzione è, dal punto di vista della protezione delle informazioni, un trasferimento di documenti verso un soggetto esterno che li elabora, li conserva per un certo periodo e li rende accessibili a più persone. La domanda giusta non è se il fornitore sia affidabile, ma quali informazioni escono e con quali garanzie.
Nella documentazione industriale i contenuti sensibili sono di due tipi, e conviene tenerli distinti perché seguono regimi giuridici diversi.
Dati personali. Compaiono più spesso di quanto si creda: nominativi e recapiti nei contratti e nelle procure, dati del personale nelle procedure e nei registri di formazione, riferimenti a persone fisiche nei rapporti di collaudo, dati sanitari nella documentazione clinica a supporto di un dispositivo medico soggetto al Regolamento MDR 2017/745, dati di clienti nei fascicoli di assistenza. A questi si applica il Regolamento (UE) 2016/679.
Informazioni riservate di natura industriale. Disegni, parametri di processo, soluzioni costruttive, distinte base, contenuti di brevetti non ancora pubblicati, capitolati e offerte di gara. Non sono dati personali e il GDPR non li tutela: la protezione passa dagli accordi di riservatezza e dalla disciplina sui segreti commerciali.
Un fornitore linguistico serio tratta entrambe le categorie con lo stesso rigore, ma gli strumenti contrattuali da attivare sono diversi.
Titolare e responsabile del trattamento: chi è chi
Le definizioni sono all'articolo 4 del Regolamento (UE) 2016/679 e determinano tutto il resto.
Il titolare del trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali. Nel rapporto con un'agenzia di traduzioni è quasi sempre l'azienda cliente: è lei che decide quali documenti tradurre, in quali lingue e per quale scopo.
Il responsabile del trattamento è chi tratta i dati per conto del titolare. È il ruolo dell'agenzia, che riceve i documenti e li elabora secondo le istruzioni ricevute, senza determinare autonomamente le finalità.
Questa ripartizione ha due conseguenze operative. La prima: il titolare resta responsabile della scelta del fornitore. L'articolo 28 stabilisce che il titolare ricorra unicamente a responsabili che presentino garanzie sufficienti a mettere in atto misure tecniche e organizzative adeguate. Non è una formula di stile: significa che la qualifica del fornitore va documentata, ed è il motivo per cui un questionario di sicurezza dovrebbe far parte della procedura di acquisto tanto quanto la richiesta di preventivo.
La seconda: il trattamento da parte del responsabile deve essere disciplinato da un contratto. Un ordine di acquisto per una traduzione non è un contratto ai sensi dell'articolo 28.
Va aggiunto che l'attività di traduzione rientra fra i trattamenti da annotare nel registro previsto dall'articolo 30, sul lato del titolare come su quello del responsabile.
Il contratto di nomina: che cosa deve contenere
L'articolo 28, paragrafo 3, elenca in modo puntuale il contenuto minimo del contratto fra titolare e responsabile. Un accordo sul trattamento dei dati con un fornitore linguistico dovrebbe quindi disciplinare almeno:
- oggetto, durata, natura e finalità del trattamento, il tipo di dati personali e le categorie di interessati;
- l'obbligo del responsabile di trattare i dati soltanto su istruzione documentata del titolare;
- l'impegno alla riservatezza delle persone autorizzate al trattamento;
- l'adozione delle misure di sicurezza previste dall'articolo 32;
- le condizioni per il ricorso a sub-responsabili;
- l'obbligo di assistere il titolare nel dare seguito alle richieste degli interessati e negli adempimenti di sicurezza, notifica delle violazioni ed eventuale valutazione d'impatto;
- la cancellazione o restituzione dei dati al termine del servizio, secondo la scelta del titolare;
- la messa a disposizione delle informazioni necessarie a dimostrare la conformità e la possibilità di audit.
Nella pratica, gli ultimi due punti sono quelli che vengono trascurati con maggiore frequenza. "Cancellazione al termine del servizio" richiede di stabilire che cosa significhi termine del servizio per un fornitore che conserva le memorie di traduzione per poterle riutilizzare nelle revisioni successive. È una tensione reale fra due esigenze legittime — riuso linguistico e minimizzazione — e va risolta esplicitamente nel contratto, per esempio distinguendo fra i file di progetto, da cancellare entro un termine definito, e le memorie, da mantenere previa rimozione dei dati personali.
La catena dei sub-responsabili
Nessuna agenzia traduce tutto internamente. I traduttori e i revisori sono in larga parte professionisti esterni, spesso residenti nel paese della lingua di arrivo. Dal punto di vista del Regolamento sono sub-responsabili, e l'articolo 28, paragrafo 2, richiede l'autorizzazione del titolare, che può essere specifica o generale.
Le verifiche da fare sono tre, e sono semplici da formulare:
- Esiste un'autorizzazione, specifica o generale, al ricorso a sub-responsabili, e il titolare viene informato delle modifiche in modo da poter opporsi?
- Gli obblighi vengono trasferiti a valle, cioè ogni professionista è vincolato per contratto agli stessi obblighi di riservatezza e sicurezza?
- Dove si trovano i sub-responsabili, perché da questo dipende la disciplina sui trasferimenti internazionali?
La terza domanda merita attenzione. La rete di un fornitore che copre decine di lingue — Italtrust lavora su oltre 80 lingue con più di 3.000 professionisti madrelingua — comprende necessariamente professionisti fuori dall'Unione europea, perché il madrelingua cinese, arabo o brasiliano vive nel proprio paese. Non è un difetto del modello: è la condizione perché la traduzione sia fatta bene. Ma va gestita con gli strumenti previsti dal capo V del Regolamento.
Misure tecniche: che cosa chiedere concretamente
L'articolo 32 impone misure tecniche e organizzative adeguate al rischio, citando fra le altre la pseudonimizzazione e la cifratura, la capacità di assicurare riservatezza, integrità e disponibilità, e una procedura per verificare periodicamente l'efficacia delle misure.
Tradotte in domande da porre a un fornitore linguistico:
- Come vengono trasmessi i file? Un portale con accesso autenticato è un livello di garanzia diverso dall'allegato di posta elettronica.
- I dati sono cifrati in transito e a riposo? La cifratura AES a 256 bit è lo standard di riferimento per i dati conservati; Italtrust la applica ai contenuti dei clienti.
- Chi accede ai documenti? Il principio è che il singolo traduttore veda solo i progetti su cui lavora, non l'intero archivio.
- Per quanto tempo vengono conservati i file e con quale procedura vengono cancellati?
- Esiste un sistema di gestione della sicurezza certificato? La ISO 27001 non riguarda la qualità linguistica ma la gestione delle informazioni, ed è la certificazione più pertinente per questo perimetro. Italtrust opera con certificazione ISO 27001 e ISO 17100; le credenziali sono raccolte nella pagina credenziali e certificazioni.
- I professionisti esterni lavorano dentro la piattaforma o scaricano i file sul proprio computer? Un ambiente di traduzione proprietario, come quello sviluppato da Italtrust, consente di mantenere i contenuti all'interno di un perimetro controllato.
Trasferimenti fuori dallo Spazio economico europeo
Quando un traduttore o un revisore si trova in un paese terzo, si applica il capo V del Regolamento (articoli 44 e seguenti). I trasferimenti sono ammessi in presenza di una decisione di adeguatezza della Commissione europea per quel paese, oppure di garanzie adeguate, fra cui le clausole contrattuali tipo adottate con la decisione di esecuzione (UE) 2021/914.
Dopo la sentenza della Corte di giustizia dell'Unione europea nella causa C-311/18, l'adozione delle clausole tipo non è di per sé sufficiente: occorre valutare se la legislazione del paese di destinazione consenta effettivamente il rispetto delle garanzie, ed eventualmente adottare misure supplementari.
Per un'azienda che invia documentazione tecnica questo si traduce in tre richieste concrete al fornitore: l'elenco dei paesi in cui i dati vengono trattati, l'indicazione dello strumento di trasferimento utilizzato per ciascuno, e la descrizione delle misure supplementari adottate, che nella pratica sono spesso di natura tecnica — cifratura, controllo degli accessi, lavorazione all'interno di una piattaforma senza scaricamento dei file.
Una precisazione utile: se i documenti non contengono dati personali, il capo V non si applica. Restano però i profili di riservatezza industriale, che vanno coperti per contratto e non dipendono dalla normativa sulla protezione dei dati.
Traduzione automatica e riservatezza: il punto critico
È qui che si concentra oggi il rischio maggiore, e spesso senza che l'azienda ne sia consapevole.
Il caso tipico non riguarda il fornitore ma l'interno: un collaboratore incolla il testo di un'offerta, di una procedura o di un capitolato in un servizio gratuito di traduzione automatica per farsi un'idea rapida. In quel momento il contenuto esce dal perimetro aziendale, e le condizioni d'uso del servizio determinano che cosa ne sarà: conservazione, riutilizzo, eventuale impiego per l'addestramento di modelli.
Le regole da fissare sono tre.
Sul piano interno, una politica esplicita che indichi quali contenuti possono essere trattati con strumenti automatici pubblici e quali no. Un'informazione di dominio pubblico è una cosa; un disegno, un capitolato di gara o una specifica di prodotto non ancora immesso sul mercato sono un'altra.
Sul piano contrattuale con il fornitore, va stabilito se e come vengono impiegati motori di traduzione automatica, quali garanzie offrono sul trattamento dei contenuti e se i dati vengono esclusi dall'addestramento. L'impiego di motori dedicati e ambienti controllati è una configurazione diversa dall'uso di servizi generalisti: la distinzione è descritta nella pagina sul post-editing e nell'articolo su traduzione automatica e traduzione umana.
Sul piano documentale, se il flusso prevede traduzione automatica con revisione umana, il livello di servizio va dichiarato e ricondotto ai requisiti della norma ISO 18587, non lasciato implicito.
Oltre il GDPR: il segreto industriale
Per un costruttore di macchine o un'azienda chimica, la parte più preziosa di ciò che invia a tradurre non è quasi mai un dato personale.
La tutela delle informazioni riservate di natura industriale ha una disciplina propria: la Direttiva (UE) 2016/943 sulla protezione del know-how e delle informazioni commerciali riservate, recepita in Italia con il decreto legislativo 11 maggio 2018, n. 63, che ha modificato il Codice della proprietà industriale. La protezione, però, è condizionata: un'informazione è tutelata come segreto commerciale solo se è segreta, ha valore economico in quanto segreta ed è sottoposta a misure ragionevolmente adeguate a mantenerla segreta.
L'ultimo requisito è quello che riguarda direttamente la gestione delle traduzioni. Un'azienda che invia disegni e specifiche a un fornitore senza accordo di riservatezza, senza restrizioni d'uso e senza controllo sulla catena dei collaboratori indebolisce la propria posizione nel momento in cui dovesse far valere la tutela.
Le misure minime sono note: accordo di riservatezza con il fornitore ed estensione dell'obbligo ai professionisti coinvolti, limitazione dell'accesso a chi deve effettivamente lavorare sul documento, divieto di riutilizzo dei contenuti per altri clienti o per l'addestramento di modelli, cancellazione documentata al termine. Sono le stesse clausole che tutelano i dati personali, applicate a un bene diverso. Il tema rientra nei criteri di qualifica descritti nell'articolo su come scegliere un'agenzia di traduzioni.
Violazioni dei dati: che cosa prevede il Regolamento
Se si verifica una violazione di dati personali, gli obblighi sono definiti e i tempi stretti.
L'articolo 33 impone al titolare di notificare la violazione all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. Il responsabile del trattamento, dal canto suo, deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. L'articolo 34 aggiunge l'obbligo di comunicare la violazione agli interessati quando presenti un rischio elevato.
Il termine di 72 ore decorre dalla conoscenza del titolare, ma il titolare può venirne a conoscenza solo se il fornitore lo avvisa. Per questo il contratto deve fissare un termine interno di segnalazione, un canale di comunicazione e un referente, e specificare quali informazioni la segnalazione deve contenere: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolte, conseguenze probabili e misure adottate.
Il titolare, inoltre, è tenuto a documentare qualsiasi violazione, anche quando non sia soggetta a notifica.
Minimizzazione: la misura più efficace
La misura che riduce di più il rischio è anche la più semplice: non inviare ciò che non serve tradurre.
Alcune pratiche concrete:
- Rimuovere gli allegati non pertinenti. Un fascicolo tecnico inviato per intero quando serve tradurre due capitoli espone informazioni senza necessità.
- Sostituire i dati identificativi negli esempi. Nomi di clienti, matricole, indirizzi e riferimenti contrattuali nei documenti di esempio possono essere sostituiti da segnaposto.
- Separare le parti riservate. In un capitolato, la parte tecnica da tradurre e le condizioni economiche possono viaggiare separate.
- Verificare i metadati. I file di ufficio conservano autore, revisioni e commenti: un commento interno dimenticato in un documento consegnato a un cliente estero è un problema che nasce prima della traduzione.
- Definire il periodo di conservazione e chiedere la conferma di cancellazione al termine.
Applicate insieme, queste misure riducono l'esposizione senza incidere sulla qualità del lavoro. E rendono più semplice il rapporto con il fornitore, perché restringono il perimetro di ciò che deve essere protetto. Per la documentazione soggetta a normativa sanitaria, dove i dati appartengono spesso alle categorie particolari dell'articolo 9, valgono considerazioni ulteriori, descritte nell'articolo sui requisiti della traduzione medica.
Verifiche prima di affidare documenti riservati
Contratto ex art. 28
Accordo sul trattamento dei dati con oggetto, istruzioni, misure di sicurezza e cancellazione al termine.
Sub-responsabili
Autorizzazione al ricorso a professionisti esterni e trasferimento a valle degli stessi obblighi.
Trasferimenti extra-UE
Elenco dei paesi coinvolti, strumento di trasferimento e misure supplementari adottate.
Misure tecniche
Trasmissione su portale autenticato, cifratura AES a 256 bit, accessi limitati, conservazione definita.
Traduzione automatica
Condizioni d'uso dei motori dichiarate per iscritto ed esclusione dei contenuti dall'addestramento.
Segreto industriale
NDA esteso ai linguisti, divieto di riutilizzo dei contenuti, cancellazione documentata.
Domande frequenti su GDPR e traduzione
Documentazione riservata da tradurre?
Forniamo il contratto di nomina a responsabile, la mappa dei trattamenti e le misure tecniche applicate, prima dell'invio dei documenti.