Privacy: quando i professionisti sono responsabili del trattamento?

Giova a tal proposito ricordare che il Consiglio Nazionale dei Consulenti del lavoro si era pronunciato sul punto con circolare n. 1150 del 23 luglio 2018, escludendo l’obbligo, in capo ai Consulenti del lavoro, di essere nominati responsabili del trattamento.

Nell’ambito della richiamata circolare il Consiglio Nazionale dei Consulenti del lavoro si è infatti soffermato sul ruolo del responsabile del trattamento, ricordando che, ai sensi dell’articolo 28 Regolamento Ue 679/2016, “I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento”.

Sempre l’articolo 28, par. 3, Regolamento Ue 679/2016, al successivo lett. a), chiarisce altresì che il trattamento, da parte del responsabile, deve avvenire soltanto “su istruzione documentata del titolare del trattamento”, mentre la lett. h) prevede che il responsabile “metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato”.

In considerazione di quanto appena esposto, nonché di quanto ulteriormente previsto dal Regolamento Ue 679/2016, i Consulenti del lavoro, nella loro circolare n. 1150 del 23 luglio 2018, hanno quindi ritenuto che “il Responsabile del Trattamento appare così come un vero e proprio preposto del titolare, che ne segue pedissequamente le istruzioni… La sfera di autonomia del Responsabile risulta quindi fortemente compressa non solo dalla specificazione dei compiti a lui affidati, ma anche da un penetrante potere-dovere di direzione e vigilanza del Titolare nei suoi confronti che si esplica nella successiva fase di trattamento dei dati”.

La conclusione raggiunta nel suddetto documento (pienamente condivisibile) è quindi che la figura del responsabile del trattamento sia incompatibile con il ruolo del professionista, al quale deve essere riconosciuta indipendenza nello svolgimento dell’attività; più correttamente, quindi, il Consulente del lavoro potrebbe essere qualificato come un contitolare del trattamento.

Secondo la richiamata interpretazione, non è tuttavia preclusa al Consulente del lavoro la possibilità di rivestire il ruolo di responsabile del trattamento, previo specifico incarico professionale e con previsione di un separato compenso a fronte dell’impegno al trattamento.

Di diverso avviso si è mostrato invece il Garante privacy, il quale ha distinto:

• il trattamento dei dati dei propri clienti, persone fisiche, da parte del Consulente del lavoro (il quale ricopre quindi, in tali ambiti, il ruolo di titolare del trattamento)
• il trattamento dei dati dei dipendenti del cliente.

In questo secondo caso, infatti “occorre fare riferimento alla figura del responsabile, che, anche in base alla nuova disciplina pienamente in vigore nel nostro ordinamento a far data dal 25 maggio 2018 rimane connotata dallo svolgimento di attività delegate dal titolare il quale all’esito di proprie scelte organizzative può individuare un soggetto particolarmente qualificato allo svolgimento delle stesse… delimitando l’ambito delle rispettive attribuzioni e fornendo specifiche istruzioni sui trattamenti da effettuare”.

Qualora, poi, il professionista volesse avvalersi di collaboratori dovrebbe nominarli quali designati al trattamento se operano sotto la sua autorità; trova invece applicazione la disciplina in materia di subresponsabili se ai collaboratori stessi sono affidate specifiche attività di trattamento. Si ricorda, a tal proposito, che la nomina del subresponsabile deve essere autorizzata dal titolare.