Privacy: consulenti del lavoro responsabili del trattamento

In materia di privacy, il Consiglio Nazionale dell’Ordine dei Consulenti del Lavoro, con la circolare n. 1150/2018, patrocina il principio che il consulente del lavoro è co-titolare del trattamento dei dati con i propri clienti e che non è responsabile delle eventuali infrazioni della normativa da parte dei clienti.

ll Garante per la protezione dei dati personali, nella newsletter n. 449 del 7 febbraio 2019, tra i vari argomenti trattati, ivi compresi i provvedimenti sanzionatori, ha precisato il ruolo e le responsabilità dei consulenti del lavoro nel trattamento dei dati personali della clientela alla luce del nuovo Regolamento europeo, identificandoli come “responsabili del trattamento” quando trattano i dati dei dipendenti dei clienti in base all’incarico da questi ricevuto.

Rispondendo ai quesiti sottoposti dal Consiglio Nazionale dei consulenti del lavoro e da numerosi professionisti, il Garante ha chiarito che il Regolamento (UE) 679/2016 si pone in linea di continuità con quanto già prefigurato dalla Direttiva 95/46/CE. Il Regolamento conferma, infatti, le definizioni di titolare e responsabile del trattamento, nelle quali il primo resta il soggetto che “determina le finalità e i mezzi del trattamento di dati personali” e il secondo colui che “tratta dati personali per conto del titolare del trattamento”.

Con la circolare 1150 del 23 luglio 2018, il Consiglio nazionale dell’Ordine dei consulenti del lavoro, ritiene valida la tesi che il professionista agisca su mandato da parte del cliente. Il professionista riceve dal cliente (anagrafica del dipendente, ore inquadramento, ecc.) tutte le adeguate informazioni per l’espletamento dell’incarico. Pertanto la figura del Consulente del Lavoro è semmai da ritenersi un responsabile esterno del trattamento dei dati.

La nomina entra in funzione nel momento in cui viene accettato l’incarico professionale, peraltro sempre richiesto in forma scritta.
Il Garante non condivide la tesi dell’Ordine Nazionale dei Consulenti del Lavoro e afferma che, quando il professionista tratta dati dei dipendenti dei clienti, il consulente ricopre il ruolo di responsabile del trattamento perché gestisce informazioni personali utilizzando i dati raccolti dal datore di lavoro e lo fa non sulla base di una diretta previsione di legge, ma a seguito di un contratto di incarico che include le istruzioni sul trattamento dei dati.

I consulenti del lavoro sono “titolari” quando trattano, in piena autonomia e indipendenza, i dati dei propri dipendenti oppure dei propri clienti quando siano persone fisiche, come ad esempio i liberi professionisti determinando puntualmente le finalità e i mezzi del trattamento.
Sono responsabili quando trattano i dati dei dipendenti dei loro clienti sulla base dell’incarico ricevuto, che contiene anche le istruzioni sui trattamenti da effettuare. E’ il caso, ad esempio, del Consulente che predispone gli adempimenti per le assunzioni, elabora cedolini paga, gestisce una pluralità di informazioni anche sensibili, come malattia, maternità, quindi, è detentore di una pluralità di dati personali, anche sensibili, dei lavoratori.

Ampia autonomia è concessa al consulente nella individuazione e gestione dei sistemi di sicurezza posti in essere per la salvaguardia dei dati, sia su archivi informatici che cartacei, con l’obbligo a fine mandato di  provvedere alla restituzione  o alla cancellazione dei dati in suo possesso  in base al mandato ricevuto.