28 Feb Responsabilità consulenti del lavoro: quando sono Responsabili del trattamento dei dati?

Responsabilità consulenti del lavoro: ecco cosa ha  precisato il Garante per la privacy

Precisazioni del Garante privacy dopo il nuovo Regolamento UE  (consultabili qui)

Il Garante per la privacy ha precisato il ruolo e le responsabilità consulenti del lavoro nel trattamento dei dati personali della clientela alla luce del GDPR.

I consulenti vengono identificati come “Responsabili del trattamento” quando trattano  i dati dei dipendenti dei clienti.

Il Garante ha chiarito che il Reg.UE 2016/679 conferma le definizioni di Titolare e Responsabile del trattamento:

• Titolare resta il soggetto che “determina le finalità e i mezzi del trattamento di dati personali”
• Responsabile invece è colui che “tratta dati personali per conto del titolare”

I consulenti del lavoro sono pertanto “titolari” quando trattano i dati dei propri dipendenti, o dei propri clienti se persone fisiche; sono invece “Responsabili” quando trattano i dati dei dipendenti dei loro clienti sulla base dell’incarico ricevuto, che dovrà quindi contenere anche le istruzioni e le limitazioni sui trattamenti da effettuare.

Sono incarichi assegnati al Responsabile del trattamento ad esempio la predisposizione delle buste paga, le pratiche  di assunzione o fine rapporto, o quelle previdenziali e assistenziali, raccolte e utilizzate dai datori di lavoro in base al contratto e a norme di legge e di regolamento. Il contratto di incarico (e di contestuale nomina a Responsabile) da parte del cliente legittima quindi i trattamenti realizzati dal consulente.

Il Garante ha chiarito comunque che ai consulenti, sebbene siano esclusivamente “responsabili” del trattamento, viene riconosciuto un margine di autonomia e correlativa responsabilità a riguardo della predisposizione di idonee misure di sicurezza, sia tecniche che organizzative proprie, a tutela dei dati personali trattati di terzi. In tal caso è opportuno che tali misure siano scambiate con i Titolari per poter essere messe a Registro dagli stessi.

Da quanto sopra si deduce in ogni caso che la limitazione del ruolo del Consulente a semplice “incaricato”, ovvero la mera elaborazione sotto controllo del Responsabile, venga esclusa dal Garante, riconoscendo le Responsabilità dei consulenti in materia di privacy anche sui dati dei clienti e la loro stessa autonomia nella gestione dei dati conferiti.