Vertaalbureaus en uw privacy: op weg naar meer bescherming

Meer dan ooit geldt nu de vraag: hoe gaan we met persoonlijke gegevens om? Heeft een vertaalbureau vitale belangen om dit soort gegevens te verwerken? Hoe zorgen we ervoor dat deze niet in verkeerde handen vallen? Geven we een te vertalen tekst zonder nadere afspraken voor verwerking, revisie of proeflezing aan een collega? Hebben vertalers en vertaalbureaus gerechtvaardigde belangen om gegevens lang te bewaren? Moeten zij hun afwegingen voldoende motiveren en vastleggen?

In de tijd van Facebook en andere social media lijkt de nieuwe Algemene Verordening Gegevensbescherming (AVG) enerzijds achter de feiten aan te lopen en anderzijds een mattenklopper waarmee een mug kan worden doodgeslagen. De paradox van een verordening die ondanks alle rompslomp toch nodig is om misbruik en ongewenste commercialisering aan banden te leggen. Dit artikel gaat over de gevolgen van de AVG voor de vertaalbranche.

Op 15 maart jl. organiseerde het NGTV mede op initiatief van Albers Vertalingen een bijeenkomst over de Algemene Verordening gegevensbescherming (AVG) waaraan binnenkort alle bedrijven, organisaties, verenigingen en andere instanties die informatie bewaren, bewerken en uitwisselen moeten voldoen om de gegevens van natuurlijke personen voldoende te beveiligen.

Tijdens de bijeenkomst werd duidelijk dat het voor de gemiddelde vertaler en tolk een hele klus wordt om alle gegevens met honderd procent zekerheid te beveiligen. Terecht werd de vraag gesteld of het überhaupt mogelijk is om digitale gegevens afdoende te beveiligen als deze bijvoorbeeld via internet worden uitgewisseld. Een terechte vraag als je bedenkt dat zelfs overheden en grote bedrijven niet in staat zijn om inbreuk op hun systemen te voorkomen en data volledig te beschermen.
Een onmogelijke opgave dus? Is dit argument voor vertaalbureaus, vertalers en vergelijkbare dienstverleners een vrijbrief om betere bescherming te negeren? En als dat niet zo is, hoe kunnen zij hun klanten dan het vertrouwen geven dat zij er alles aan doen wat binnen hun macht ligt om de privacy te waarborgen.

Het is belangrijk dat ook een vertaalbureau als Albers Vertalingen waar teksten in en uit het Duits vertaald worden steeds bewust persoonsgegevens verzamelt, bewaart en beschermt. Als gespecialiseerd beëdigd vertaalbureau Duits voor MKB, particulieren, (semi-)overheidsinstanties en andere instellingen ontvangen wij diverse soorten teksten. Een marketingtekst vraagt voor de verwerking van gegevens natuurlijk een andere behandeling dan een dagvaarding met een juridische vordering. Een tekst met een pedagogische inhoud kent ook dimensies die zeer vertrouwelijk zijn. Wanneer een beëdigd vertaler Duits aan een pedagogische rapport werkt, krijgt hij ook vaak informatie over de gezins- en inkomenssituatie van de betrokkenen. Toch moeten ook deze gegevens (vaak met namen, geboortedata en BSN) uit het Nederlands naar het Duits of uit het Duits naar het Nederlands worden vertaald. Natuurlijk doen we dat. En we doen dat graag, nauwkeurig en gewetensvol. Bovengenoemde persoonlijke gegevens zijn bijzonder gevoelig en stellen ons voor de afweging of we de tekst voorafgaand aan het vertaalproces moeten anonimiseren of niet. Het zal duidelijk zijn dat de persoonlijke gegevens in niet-geanonimiseerde teksten gemakkelijker naar de genoemde personen herleid kunnen worden. Anonimisering betekent echter weer meer werkdruk en grotere kans op fouten.

Door het anonimiseren neemt de werktijd toe de klant krijgt daardoor met bijkomende kosten te maken. Bovendien en kunnen levertermijnen in gevaar komen.
Privacy kent verschillende niveaus die in acht genomen moeten worden. Bij het eerste niveau gaat het vooral om de grondslag, d.w.z. de motivering voor het verzamelen, verwerken en bewaren van gegevens. Albers Vertalingen verzamelt feitelijk alleen gegevens nadat een klant telefonisch of per mail een aanvraag doet. Een vertaalbureau is geen webwinkel en wij kiezen er ook niet voor om onze klanten een account met persoonlijke gegevens te laten aanmaken. Voor zover wij de basisgegevens (NAW, BTW-nummer, bankgegevens, namen van contactpersonen enzovoort) verzamelen en verwerken, gebeurt dit om zakelijke en bedrijfsmatige redenen, zoals zakelijk overleg, het vertalen van een brontekst naar een doeltaal, het uitbrengen van een offerte en het versturen van de factuur. Klanten weten dat we deze gegevens bewaren en zullen dit doorgaans normaal vinden.

Vertalers en vertaalbureaus zijn in feite de intermediairs die de informatie van een persoon, instelling of bedrijf van taal A naar taal B (in ons geval van het Duits naar het Nederlands of van het Nederlands naar het Duits) vertalen met het doel dat een boodschap helder en volledig van zender naar ontvanger wordt overgebracht. In die zin kunnen bijzondere persoonlijke gegevens (zoals informatie over etniciteit, levensbeschouwing enzovoort) deel uitmaken van de aan een vertaler toevertrouwde tekst. In veel gevallen is het algemeen belang ermee gediend dat vertalers ook deze gegevens verwerken. Er is natuurlijk ook sprake van een gerechtvaardigd belang, omdat deze professionals vaak met vertrouwelijke informatie hun brood moeten verdienen.
Op het tweede niveau zullen vertalers en vertaalbureaus bewuste keuzes moeten maken: zorgvuldigheid is daarbij een dure plicht die in feite al door de beroepscode aan beëdigde vertalers is opgelegd. De nieuwe verordening dwingt echter om nog beter na te denken over maatregelen die de persoonlijke gegevens van betrokkenen kunnen beschermen.

De zorgvuldigheid begint bij een gestructureerd systeem waarin de wijze van verwerking helder wordt geregistreerd en vastgelegd. Met een (interne) analyse kunnen de verschillende aspecten en handelingen, gewenste bewaartermijnen, vervolgstappen, maatregelen enzovoort in beeld worden gebracht. De Autoriteit Persoonsgegevens noemt dit de fase van de tekentafel.

Op het derde niveau moet ook worden nagedacht over de praktische, technische, organisatorische en operationele maatregelen. Soms zal in deskundigheid (functionaris voor gegevensbescherming) en uitrusting (software, encryptietools, digitale beveiliging) moeten worden geïnvesteerd. Ook zal er een beleid voor de gegevensbescherming moeten worden opgesteld. Medewerkers zullen hiermee vertrouwd moeten worden gemaakt en best practices zullen hun weg moeten vinden. Op dit niveau is het belangrijk dat medewerkers ervan doordrongen raken dat gevoelige informatie niet onbeveiligd en onbeheerd in handen van ongewenste personen en organisaties mag komen. Dat lukt beter met encryptie van USB-sticks, opgeruimde bureaus, afgesloten kasten en goede wachtwoorden op laptops en tablets.
Natuurlijk zullen er door bemiddelende vertalers en vertaalbureaus ook afspraken moeten worden gemaakt met ingehuurde verwerkers (onderaannemers). Deze zullen op zijn minst een vergelijkbaar privacyverhaal moeten hebben als de bemiddelaar. Gestreefd moet worden naar werkbare afspraken die in bewerkersovereenkomsten vastgelegd worden.

Op het vierde niveau zullen de rechten van betrokkenen moeten worden beschreven. Met wie kan de betrokkene contact opnemen, welke informatie mag hij of zij inzien, kan hij of zij eisen dat gegevens worden overgedragen en mag hij of zij eisen dat gegevens worden verwijderd.
Albers Vertalingen heeft inmiddels over deze zaken nagedacht en de belangrijkste gedachten in een privacyverklaring vastgelegd. Deze verklaring kan op de website worden nagelezen en gedownload. In de verklaring wordt o.a. uitgelegd waarom Albers Vertalingen bepaalde bewaartermijnen hanteert, hoe Albers Vertalingen de bezoekers van de website tegen doorleiding naar ongewenste en onbetrouwbare websites met een beveiligde TLS-verbinding (hangslotje achter https in de adresbalk) en DNSSEC laat beschermen en hoe gevoelige bestanden encrypted met opdrachtgevers en verwerkers worden uitgewisseld.
Wij weten dat wij niet kunnen garanderen dat uw gegevens in onze handen honderd procent veilig zijn. Maar dat kunnen zelfs het Pentagon, Facebook en de belastingdienst niet. Juist die wetenschap maakt dat wij niet zullen schromen om de Autoriteit Persoonsgegevens op de hoogte te stellen als wij ontdekken dat een datalek in ons systeem de veiligheid van uw persoonsgegevens in gevaar brengt.

Op 15 maart 2018 maakten wij voor het eerst echt inhoudelijk kennis met de AVG. Tussen toen en nu, 1 mei 2018, hebben wij goed nagedacht over de implicaties die de verordening heeft voor ons als uitvoerder van vertaalwerkzaamheden. Wij denken met ons beleid een goede stap vooruit te zetten.
In de tussentijd hebben wij ook zoveel kennis en inzicht vergaard dat wij met een gerust hart uw tekst zullen vertalen over de Algemene Verordening Gegevensverwerking die in het Duits Datenschutz-Grundverordnung (DSGVo) heet en vaak niet helemaal correct allgemeine Datenschutzverordnung wordt genoemd. Wij weten waarover wij spreken en de begrippen zijn ons bekend.