GDPR, anche i Consulenti del Lavoro sono responsabili dei dati?

GDPR, anche i Consulenti del Lavoro sono responsabili dei dati? Ecco alcune indicazioni in merito emerse da alcune analisi del Garante della Privacy italiano.

Con la nota prot. 2205/130783 del 22/01/2019 l’Autorità Garante per la protezione dei dati personali ha risposto al quesito relativo al ruolo del Consulente del Lavoro alla luce del Regolamento (UE) 679/2016, con particolare riferimento alle qualificazioni di “titolare” e di “responsabile” del trattamento.

Le questioni che si intendevano affrontare erano sostanzialmente afferenti a due ordini di ragioni:

• la verifica della “effettiva sussistenza dell’obbligatorietà per il Consulente del Lavoro, nell’ambito dello svolgimento delle proprie attribuzioni, di aderire a format predeterminati […] in maniera unilaterale”,
• intendendo altresì ribadire la “piena autonomia di decisione […] nella scelta delle modalità e dei mezzi (anche tecnologici) ritenuti più opportuni, così come nella scelta dei collaboratori cui affidare il trattamento” da parte dei Consulenti del Lavoro.

Il Garante per la protezione dei dati personali opta per una soluzione che distingue il ruolo del Consulente del Lavoro a secondo che tratti i dati:

• “dei propri dipendenti ovvero dei propri clienti (persone fisiche)”;
• “dei dipendenti del cliente”.

Nel primo caso, secondo la nota 2205/130783 del Garante:

“il Consulente del Lavoro agisce in piena autonomia e indipendenza determinando puntualmente le finalità e i mezzi del trattamento dei dati del cliente per il perseguimento di scopi attinenti alla gestione della propria attività. Per tali ragioni egli ricopre il ruolo di titolare del trattamento, in quanto non si limita ad effettuare un’attività meramente esecutiva di trattamento ‘per conto’ del cliente, bensì esercita un potere decisionale del tutto autonomo sulle finalità e i mezzi del trattamento”.

Diversamente, secondo il parere reso dal Garante con la nota in oggetto, nel secondo caso, dovrà farsi riferimento invece alla figura del responsabile esterno. Ma pure in questa seconda fattispecie distinta dal Garante con la nota 2205/130783, come opportunamente ribadito dal pronunciamento dell’Autorità:

“l’affidamento dell’incarico al consulente avverrà, anche in base alle norme di diritto  applicabili, attraverso la sottoscrizione di un ‘contratto o altro atto giuridico’ stipulato concordemente dalle parti tenendo conto dei compiti in concreto affidati, del contesto, delle finalità e modalità del trattamento, e non in base a modelli non aderenti alle circostanze del caso concreto o imposti unilateralmente”.