Chiarito dall'autorità garante per la privacy, in risposta a specifico quesito il ruolo dei consulenti del lavoro, con riferimento alla qualifica di titolare e di responsabile del trattamento
Pubblicata, nella newsletter n. 449 del 7 febbraio scorso, sul sito dell’Autorità Garante per la privacy, la risposta al quesito del Consiglio nazionale dei consulenti del lavoro relativo al ruolo del consulente del lavoro, con particolare riferimento alle qualificazioni di “titolare” e di “responsabile” del trattamento, alla luce del Regolamento (UE) 679/2016.
In particolare, l’Autorità ha chiarito che il Regolamento (GDPR), nel confermare le precedenti definizioni di titolare1 e di responsabile2 del trattamento, ha ribadito che la figura del responsabile del trattamento è caratterizzata dallo svolgimento di attività delegate dal titolare.
Da ciò ne deriva che, con riferimento ai trattamenti svolti nell’ambito della propria attività, i consulenti del lavoro assumono la qualifica di titolari se trattano, in autonomia e indipendenza, i dati dei propri dipendenti e dei propri clienti persone fisiche, determinando puntualmente le finalità e i mezzi del trattamento per il raggiungimento di scopi attinenti alla gestione della propria attività, esercitando, pertanto, un potere decisionale del tutto autonomo sulle finalità e sui mezzi del trattamento stesso. La base giuridica di tali trattamenti è, quindi, rinvenibile nell’esecuzione del contratto tra il consulente del lavoro e l’interessato (proprio dipendente o cliente persona fisica).
Sono, invece, responsabili del trattamento quando trattano i dati dei dipendenti dei loro clienti (es. elaborazione e predisposizione delle buste paga, gestione dei trattamenti relativi all’assunzione e a quelli di fine rapporto, gestione degli adempimenti in materia previdenziale e assistenziale), in quanto agiscono sulla base dell’incarico ricevuto, utilizzando i dati raccolti dal cliente (datore di lavoro dell’interessato) in base al contratto e a norme di legge e di regolamento, operando in base ai criteri e alle direttive da questo impartite. La base giuridica di tali trattamenti è, quindi, rinvenibile nell’esecuzione del contratto di lavoro di cui è parte il cliente e nell’adempimento dei connessi obblighi di legge e si trasferisce al consulente del lavoro in ragione dell’affidamento dell’incarico e della sua designazione a responsabile del trattamento.
La nomina del consulente del lavoro quale responsabile del trattamento deve avvenire tramite la sottoscrizione di un “contratto o altro atto giuridico” stipulato dalle parti tenendo conto dei compiti in concreto affidati, del contesto, delle finalità e modalità del trattamento, e non in base a modelli non aderenti alle circostanze del caso concreto o imposti unilateralmente.
L’Autorità ha, inoltre, chiarito che gli adempimenti in materia di lavoro, previdenza ed assistenza sociale che il datore di lavoro può affidare all’esterno, possono essere assunti esclusivamente da soggetti qualificati e che risultino iscritti a specifici Albi professionali (consulenti del lavoro, avvocati, dottori commercialisti, ragionieri, periti commerciali). Ciò, tuttavia, non esime il datore di lavoro dalla responsabilità prevista dall’ordinamento in caso di violazione degli obblighi posti in materia di lavoro, previdenza e assistenza sociale.
Il Garante ha, inoltre, espressamente escluso la configurabilità di un rapporto di contitolarità tra cliente (datore di lavoro dell’interessato) e consulente del lavoro.
Con riferimento infine alle responsabilità, è stato precisato che il consulente del lavoro adotterà le misure tecniche ed organizzative adeguate tenendo conto “dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche”. In ogni caso, con riferimento alla gestione dell’archivio informatico tenuto dal consulente del lavoro, al termine del rapporto professionale, i dati contenuti negli archivi dovranno essere cancellati (oppure anonimizzati) e/o consegnati al titolare conformemente alle condizioni individuate nel contratto di affidamento dell’incarico.
1Persona fisica o giuridica, autorità pubblica, servizio, o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.
2 Persona fisica, giuridica, autorità pubblica, servizio o altro organismo che tratta dati personali per conto del titolare del trattamento.
