Segreto professionale e strumenti di traduzione: archiviati in Svizzera, ma trattati dove?

Archiviare non è trattare

È la distinzione che la maggior parte della documentazione commerciale lascia nel vago, ed è quella che decide tutto.

Una piattaforma può benissimo archiviare i vostri documenti su server svizzeri e trasmettere ogni segmento a un motore ospitato altrove per tradurlo. Le due affermazioni sono vere contemporaneamente, e solo la seconda conta per un dossier coperto dal segreto. Un trattamento transitorio resta un trattamento: il testo è stato trasmesso, letto, elaborato e rinviato, fuori dalla vostra giurisdizione.

Per questo la formulazione da pretendere da un fornitore non è mai «i vostri dati sono in Svizzera», ma una frase che separa le due cose: archiviazione su server in Svizzera in ogni caso; trattamento in Svizzera in una data configurazione, all'estero in un'altra. Se il vostro interlocutore non sa rispondere separatamente, non sa rispondere.

Che cosa succede quando scegliete un motore ospitato all'estero

Le piattaforme di traduzione professionali oggi sono multimotore: orchestrano più modelli, alcuni dei quali gestiti da terzi fuori dalla Svizzera. È un bene, perché i motori non hanno gli stessi punti di forza, ed è un punto di attenzione, perché il luogo del trattamento cambia con il motore selezionato, a ogni invio.

Succedono allora tre cose, da tenere presenti.

• Il testo esce dal territorio nazionale. Viene trasmesso a un operatore soggetto a un altro diritto, in un Paese le cui autorità possono avere poteri di accesso diversi da quelli delle vostre.
• Si pone la questione del riutilizzo. Un motore può conservare i contenuti inviati, usarli per migliorare i propri modelli o salvarli nei registri di sistema. Le condizioni variano secondo il contratto, l'offerta commerciale e l'entità contraente: è una domanda da porre per iscritto, per ogni motore, non un'ipotesi.
• La catena dei responsabili del trattamento si allunga. Tra voi e il motore possono esserci un integratore, un fornitore di hosting, un fornitore di infrastruttura. Ogni anello in più è un punto di accesso in più da documentare.

Al contrario, un motore gestito nello stesso Paese dell'archiviazione elimina questa rottura. È la logica della modalità più rigorosa di una piattaforma: in Corrext l'opzione Highly sensitive content impone archiviazione e trattamento esclusivamente in Svizzera per tedesco, francese, italiano e inglese e, secondo la definizione mostrata dall'applicazione, il contenuto tradotto non viene riutilizzato in una memoria di traduzione per progetti futuri.

La pseudonimizzazione: che cosa protegge e che cosa no

Pseudonimizzare un documento prima di inviarlo a un motore estero significa togliere o sostituire gli elementi che identificano le persone e la causa: nomi delle parti, società, legali, indirizzi, riferimenti del dossier e talvolta l'oggetto stesso della controversia.

È una misura di prudenza seria. Ha però due limiti, da dire con chiarezza.

• Non è un'anonimizzazione. Il collegamento con la persona resta presso di voi, e il testo rimane contenuto del dossier. Il rischio di divulgazione si riduce, ma non scompare.
• Il contesto permette di risalire all'identità. Un'operazione particolare, una clausola insolita, una combinazione di date, giurisdizioni e settori possono bastare a riconoscere un caso noto, anche senza un solo nome proprio. Più il dossier è noto, meno la pseudonimizzazione protegge.

Bisogna tenere conto anche del costo pratico: pseudonimizzare correttamente quaranta atti a mano richiede tempo, e una pseudonimizzazione parziale dà un falso senso di sicurezza, peggiore dell'assenza di pseudonimizzazione, perché abbassa l'attenzione. Per i dossier davvero sensibili la risposta giusta non è oscurare meglio: è non uscire dal Paese.

Perché un avviso nello strumento funziona meglio di un regolamento

La maggior parte delle organizzazioni ha un regolamento sull'uso degli strumenti digitali. Viene firmato all'assunzione, archiviato in un intranet e dimenticato il giorno in cui un collaboratore deve capire quaranta atti in tedesco prima dell'udienza dell'indomani. Non è un problema di disciplina: il problema è il momento.

Una regola viene applicata solo se compare al momento della decisione, alla persona che la prende. È esattamente ciò che fa un avviso contestuale. In Corrext, la scelta di un motore ospitato all'estero fa comparire l'avviso seguente, così come si presenta nell'applicazione:

In questo dispositivo meritano attenzione tre aspetti, indipendentemente dallo strumento.

• L'avviso è attivato da un'azione, non da un calendario. Compare solo quando il rischio si presenta, e così conserva il suo valore di allarme.
• Enuncia le regole dell'organizzazione, non quelle del fornitore. È lo studio legale a decidere che cosa è vietato; lo strumento si limita a ricordarlo dove serve.
• Non blocca. L'utente resta responsabile e può procedere con cognizione di causa. Uno strumento che vieta tutto finisce per essere aggirato con soluzioni per il grande pubblico, che invece non avvertono di nulla.

Quest'ultimo punto è il più importante per un ufficio legale. Il rischio principale non è che un collaboratore scelga un motore estero in uno strumento controllato dall'organizzazione: è che incolli un paragrafo in un servizio gratuito in linea perché lo strumento approvato gli ha detto di no. Una regola praticabile riduce il rischio più di una regola perfetta.

Dodici domande da porre a un fornitore

Ubicazione

1. Dove si trovano i server di archiviazione, in quale Paese, e chi li gestisce?
2. Per ogni motore proposto, dove avviene il trattamento?
3. Esiste una configurazione in cui il trattamento non esca mai dal Paese, e come la attiva l'utente?
4. A quale diritto è sottoposto il contratto, e quale foro è competente?

Soggetti coinvolti

5. Quali responsabili del trattamento intervengono nella catena, e quali accedono al contenuto?
6. Chi, presso il fornitore, può tecnicamente leggere un documento, e questo accesso viene registrato?
7. Chi rivede le traduzioni è dipendente o indipendente, e quale impegno di riservatezza ha sottoscritto?
8. È prevista una notifica in caso di richiesta di accesso da parte di un'autorità, nella misura in cui il diritto applicabile lo consente?

Dati e prove

9. Quali dati vengono riutilizzati, a quale scopo, e si può disattivare il riutilizzo progetto per progetto?
10. Per quanto tempo vengono conservati i contenuti, e con quale procedura vengono cancellati?
11. Quale certificazione possiede il fornitore, di quale data, e con quale campo di applicazione esatto? Chiedete il certificato, non il logo.
12. È proposto un accordo sul trattamento dei dati, e prevede un diritto di audit realistico?

Che cosa potete decidere questa settimana

• Suddividete i vostri documenti in tre categorie: ciò che può essere tradotto da qualsiasi motore, ciò che richiede un trattamento in Svizzera, ciò che non esce dallo studio. La maggior parte delle organizzazioni non ha mai fatto questo esercizio, e basta una riunione.
• Mettete a disposizione uno strumento approvato come scelta predefinita. Finché non esiste, la scelta predefinita è il servizio in linea più a portata di mano.
• Scrivete la regola come una scelta, non come un divieto: in questo caso, questa modalità; in quest'altro, quest'altra. Una regola che comincia con «è vietato» non dice che cosa fare.
• Verificate una volta all'anno le risposte alle domande qui sopra: i motori, i responsabili del trattamento e le condizioni cambiano più in fretta dei contratti.

Infine, una parola sui testi normativi. La protezione dei dati è disciplinata dalla legge federale sulla protezione dei dati e, quando sono coinvolte persone interessate nell'Unione europea, dal regolamento europeo; il segreto professionale dell'avvocato è invece disciplinato dal diritto penale federale e dalle norme professionali. Questi quadri non si sostituiscono l'uno all'altro, e la loro applicazione a un determinato strumento dipende dalle circostanze. Questo articolo descrive una prassi di prudenza; non sostituisce il parere del vostro responsabile della conformità o del vostro ordine professionale.