IL RUOLO DEI CONSULENTI DEL LAVORO
Rispondendo ai quesiti sottoposti dal Consiglio Nazionale dei consulenti del lavoro e da
numerosi professionisti, l’Autorità Garante ne ha precisato il ruolo e le responsabilità nel
trattamento dei dati personali della clientela alla luce del Regolamento europeo.
Il Garante ha anzitutto ribadito che il Regolamento europeo si pone in linea di continuità con
quanto già prefigurato dalla Direttiva 95/46: il Regolamento conferma le definizioni di titolare
e responsabile del trattamento, nelle quali il primo resta il soggetto che “determina le finalità
e i mezzi del trattamento di dati personali ” e il secondo colui che “tratta dati personali per
conto del titolare del trattamento”.
E dunque i consulenti del lavoro sono “titolari” quando trattano, in piena autonomia e
indipendenza, i dati dei propri dipendenti oppure dei propri clienti quando siano persone
fisiche, come ad esempio i liberi professionisti determinando puntualmente le finalità e i mezzi
del trattamento.
Sono, viceversa, “responsabili” quando trattano i dati dei dipendenti dei loro clienti sulla base
dell’incarico ricevuto, che contiene anche le istruzioni sui trattamenti da effettuare. È il caso,
tipico, dei consulenti che curano per conto di datori di lavoro la predisposizione delle buste
paga, le pratiche relative all’assunzione e alla cessazione del rapporto di lavoro, o quelle
previdenziali e assistenziali, trattando una pluralità di dati personali, anche particolari, dei
lavoratori.
Si tratta di informazioni raccolte e utilizzate dai datori di lavoro in base al contratto e a norme
di legge e di regolamento (come quelle in materia di lavoro, previdenza e assistenza sociale),
e che vengono gestite dai consulenti cui sono esternalizzati i servizi sulla base delle discipline
di settore e delle regole deontologiche pertinenti.
Ed è sul contratto di affidamento dell’incarico e di designazione a responsabile del trattamento
da parte del cliente che si basa la legittimità dei trattamenti realizzati dal consulente: l’articolo
28 del Regolamento europeo, rispetto alla disciplina previgente, ha ulteriormente precisato e
delimitato i compiti che possono essere attribuiti dal titolare al responsabile, individuando
espressamente l’ambito delle rispettive responsabilità e gli obblighi di cooperazione cui è
tenuto il responsabile esclusivamente in funzione delle attività svolte per conto del titolare.
l Garante ha chiarito infine che ai consulenti, pur in qualità di responsabili del trattamento,
viene riconosciuto un apprezzabile margine di autonomia e correlativa responsabilità anche
con riguardo alla individuazione e predisposizione di idonee misure di sicurezza, sia tecniche
che organizzative, a tutela dei dati personali trattati: il regolamento ha infatti attribuito
direttamente al responsabile del trattamento compiti specifici in ordine alla individuazione e
predisposizione delle idonee misure di sicurezza adeguate al rischio, attraverso misure
tecniche ed organizzative .
Nello stesso Provvedimento, risultano di particolare interesse anche i richiami effettuati agli
orientamenti espressi, in conformità alla disciplina previgente, sulla qualificazione dei ruoli assunti dai soggetti che a vario titolo, intervengo nella gestione del rapporto di lavoro e nelle attività di trattamento dei dati personali ad essa connessi. Così il Garante ritiene che, di regola,
la società capogruppo delegata da società controllate e collegate a svolgere adempimenti in
materia di lavoro, previdenza ed assistenza sociale per i lavoratori di queste ultime rivesta il
ruolo di responsabile; parimenti, che il soggetto che fornisce servizi di localizzazione
geografica, i servizi di posta elettronica, i servizi di televigilanza, vadano tutti qualificati quali
responsabili del trattamento, in quanto soggetti esterni operanti per conto del titolare, a
seguito della decisione di quest’ultimo di affidare all’esterno lo svolgimento di compiti
strettamente connessi all’esecuzione di obblighi previsti dalla normativa lavoristica e/o dal
contratto di lavoro.
