Privacy, CdL “responsabili” in caso di elaborazione dei cedolini

Il Consulente del Lavoro è “titolare” o “responsabile” dei dati trattati? A dirimere il dubbio è il Garante per la protezione dei dati personali che, nella newsletter n. 449 del 7 febbraio 2019, in risposta ad un quesito sottoposto dal Consiglio Nazionale dei Consulenti del Lavoro e da numerosi professionisti, ha effettuato un netto distinguo tra le due casistiche.

Le precisazioni del Garante privacy dopo il nuovo Regolamento UE si pongono, sostanzialmente, in linea di continuità con quanto già prefigurato dalla Direttiva 95/46/CE. Il Regolamento conferma, infatti, le definizioni di titolare e responsabile del trattamento, nelle quali il primo resta il soggetto che “determina le finalità e i mezzi del trattamento di dati personali”; il secondo colui che “tratta dati personali per conto del titolare del trattamento”.

Privacy, quando il CdL è titolare dei dati trattati?

Rientrano nella prima casistica, in particolare, i CdL che trattano, in piena autonomia e indipendenza, i dati dei propri dipendenti ovvero dei propri clienti quando siano persone fisiche, come i liberi professionisti, determinando puntualmente le finalità ed i mezzi del trattamento.

Privacy, quando il CdL è “responsabile” dei dati trattati?

Di converso, i Consulenti del Lavoro divengono automaticamente “responsabili” quando trattano i dati dei dipendenti dei loro clienti sulla base dell’incarico ricevuto, che contiene anche le istruzioni sui trattamenti da effettuare. Si tratta, ad esempio, di quei Consulenti del Lavoro che curano per conto di datori di lavoro:

• la predisposizione delle buste paga;
• le pratiche relative all’assunzione e al fine rapporto, o quelle previdenziali e assistenziali,

trattando una pluralità di dati personali, anche sensibili, dei lavoratori.

Privacy, il ruolo del CdL esterno

A supporto di quanto sostenuto, il Garante evidenzia che è proprio il datore di lavoro a fornire al Consulente del Lavoro i criteri in base ai quali attribuire progressioni economiche e giuridiche. Non solo. Vengono fornite anche informazioni per l'erogazione di somme “una tantum”, premi di produttività e/o di presenza, o per la decurtazione di somme a seguito di provvedimenti disciplinari.

Ci si riferisce ad informazioni raccolte e utilizzate dai datori di lavoro in base al contratto e a norme di legge e di regolamento (come quelle in materia di lavoro, previdenza e assistenza sociale), che vengono gestite dai Consulenti cui sono esternalizzati i servizi sulla base delle discipline di settore e delle regole deontologiche pertinenti. Ed è sul contratto di affidamento dell’incarico e di designazione a responsabile del trattamento da parte del cliente che si basa la legittimità dei trattamenti realizzati dal Consulente.

Il Garante ha chiarito, infine, che ai Consulenti, pur in qualità di “responsabili” del trattamento, viene riconosciuto un apprezzabile margine di autonomia e correlativa responsabilità, anche con riguardo alla individuazione e predisposizione di idonee misure di sicurezza, sia tecniche che organizzative, a tutela dei dati personali trattati.