Bari – 11/09/2018

Con la circolare n. 1150 del 23/07/2018 il Consiglio Nazionale ha diramato un parere in merito al ruolo del Consulente del Lavoro alla luce del nuovo regolamento Europeo in materia di Privacy.

In sintesi, il CNO ritiene che il Consulente del Lavoro sia generalmente qualificabile quale contitolare del trattamento dei dati, vista la piena autonomia riconosciuta nella gestione degli adempimenti in materia di lavoro.

Il Consiglio, altresì, prevede la possibilità che il Consulente svolga il ruolo di responsabile del trattamento dei dati quale funzione facoltativa previo nuovo e specifico incarico professionale. Tale incarico, connesso a quello di Consulenza ma separatamente remunerato, comporta un significativo assoggettamento del Consulente alle direttive del cliente-titolare e, soprattutto, implica la gestione per suo conto del trattamento dei dati personali all’interno della sua azienda.

A parere di chi scrive, tuttavia, è possibile inquadrare il ruolo del Consulente del Lavoro in maniera differente.

IL REGOLAMENTO UE 2016/679

Preliminarmente è necessario analizzare il dettato normativo:

– ai sensi dell’art. 4, n. 8), il responsabile del trattamento è “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;

– ai sensi dell’art. 26, “Allorché due o più titolari del trattamento determinano congiuntamente le finalitàe i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato[…]”; nonché “l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento”.

– ai sensi dell’art. 28, “Qualora un trattamento debba essere effettuato per contodel titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.”; e ancora: “I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri

Orbene, emerge con chiarezza che, perché si configuri una contitolarità, due o più autonomi titolari debbano stabilire congiuntamente le finalità e i mezzi del trattamento. Diversamente, è considerato Responsabile colui che tratti dati per conto di un titolare.

IL CONSULENTE DEL LAVORO

Il testo del Regolamento pone al centro l’interessato, ossia colui a cui sono riconducibili i dati personali.

In tale ottica, il Consulente del Lavoro tratta sia dati personali di interessati “diretti” quali i propri clienti o i propri lavoratori, sia i dati personali di interessati “indiretti”, ossia quei dati che riceve dalle Aziende clienti (dati dei lavoratori delle stesse).

Mentre nel primo caso il Consulente, trattando i dati per contro proprio, determina in autonomia le finalità (esecuzione del contratto/incarico, Marketing diretto, etc.) e i mezzi, nel secondo caso egli non determina alcuna finalità, trattando i dati per conto dell’Azienda sua cliente per le sole finalità legate all’espletamento dell’incarico di consulenza affidato, seppur nell’autonomia concessa dalla legge professionale.

Si ritiene, quindi, che il discrimine tra il ruolo di Titolare/Contitolare e Responsabile non sia da ricercarsi nell’autonomia con la quale viene svolta l’attività, bensì nella possibilità di autodeterminare (o, quantomeno co-determinare) le finalità per le quali i dati verranno trattati.

Pertanto, il Consulente del lavoro è considerabile autonomo titolare per il trattamento dei dati personali riguardanti i propri clienti o i propri lavoratori, e Responsabile (esterno) per i dati dei lavoratori delle Aziende proprie clienti per conto delle quali il trattamento è effettuato.

RESPONSABILITÀ’

L’esegesi della norma finalizzata alla determinazione del Ruolo del Consulente non è un mero esercizio di stile, incidendo la stessa sul piano delle responsabilità del Consulente nei confronti degli interessati.

E invero, mentre Il titolare/contitolaredel trattamento è responsabile e risponde per il danno cagionato dal suo trattamento, il responsabiledel trattamento risponde per il danno causato solo se non ha adempiuto gli obblighi in capo ai responsabili o se ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.

Ne deriva che, considerando il Consulente del Lavoro contitolare si rischierebbe di rendere lo stesso responsabile, in termini giuridici, per eventuali violazioni commesse dall’altro contitolare, ossia l’azienda cliente (fermo restando la necessità di disciplinare mediante accordo interno il rapporto di contitolarità).

Non appare, pertanto, condivisibile la lettura del CNO secondo cui “In forza di tale ruolo il Consulente-titolare è autonomo nella gestione dei dati delle aziende assistite all’interno del proprio studio, restando escluso e deresponsabilizzato dalle eventuali violazioni della richiamata normativa da parte del proprio cliente nella gestione della propria organizzazione”.

CONCLUSIONI

In definitiva, sia nell’ottica di una semplificazione dei ruoli, sia nell’ottica dell’attenuazione dei rischi, si ritiene preferibile qualificare il Consulente del Lavoro, limitatamente al trattamento dei dati effettuato per conto dei propri clienti, quale Responsabile del Trattamento ai sensi dell’art. 28 del Reg. UE 2016/679. Tale valutazione non incide minimamente sull’autonomia nella gestione dell’attività affidate al Consulente, ma circoscrive unicamente l’utilizzo consentito del dati ricevuti dalle aziende proprie clienti, limitando lo stesso alle finalità stabilite dal Titolare/Azienda cliente (ossia l’attività di Consulenza del lavoro).

Infine, non si ritiene sussista alcun presupposto normativo che giustifichi la richiesta di ulteriori compensi in qualità di Responsabili del trattamento, essendo tale posizione una mera conseguenza del rapporto giuridico (consulenza) già in essere tra le parti.