Il Garante privacy, alla luce del quadro normativo sopra delineato, ha risposto al quesito posto dal Consiglio nazionale dei consulenti del lavoro affermando che nel caso in cui il consulente tratti i dati dei propri dipendenti o dei propri clienti (persone fisiche) nella sua qualità di professionista, in tal caso ricopre il ruolo di titolare del trattamento. Diversamente, qualora il consulente del lavoro tratti i dati dei dipendenti del proprio cliente (sulla base dell’incarico ricevuto), assume, in tal caso, la qualifica di responsabile del trattamento, limitandosi ad effettuare un’attività di trattamento per conto del cliente.

Con la precisazione diretta al Consiglio nazionale dei consulenti del lavoro, dunque, il Garante ha ampiamente chiarito il ruolo dei consulenti del lavoro nell’ambito privacy, e, in particolare, ha definito quando, nello specifico, a tale figura professionale deve essere attribuito il ruolo di responsabile del trattamento dei dati, facendo degli esempi concreti su determinate attività esternalizzate al consulente.

L’elaborazione e predisposizione di buste paga, la gestione dei trattamenti relativi all’assunzione e a quelli di fine rapporto, la gestione degli adempimenti previsti dalla disciplina previdenziale ed assistenziale, soprattutto in organizzazioni complesse, comporta l’utilizzo di professionalità esterne particolarmente qualificate, oltre al trattamento di una pluralità di dati personali, anche particolari, relativi ai lavoratori, quali: dati identificativi, dati relativi a qualifica e carriera, dati sanitari, dati relativi all’adesione a organizzazioni sindacali.

Inoltre, il datore di lavoro fornisce i criteri in base ai quali attribuire progressioni economiche e giuridiche, nonché informazioni per l’erogazione di somme “una tantum”, premi di produttività e/o di presenza, o per la decurtazione di somme a seguito di provvedimenti disciplinari, oppure per il compimento degli atti relativi alla instaurazione o interruzione del rapporto, ecc.

Il Garante, pertanto, ha chiarito che il soggetto che svolge le suddette attività esternalizzate tratta di regola le informazioni relative ai lavoratori utilizzando i dati raccolti dal datore di lavoro nel perseguimento di finalità nonché in base ai criteri e alle direttive da questo impartite relativamente alla gestione del rapporto di lavoro. È, dunque, sul contratto di affidamento dell’incarico e di designazione a responsabile del trattamento da parte del cliente che si basa la legittimità dei trattamenti realizzati dal consulente.

Un’altra questione sollevata dal Consiglio nazionale riguarda il ruolo e i compiti da attribuire ai collaboratori dei consulenti del lavoro.

Il Garante ha chiarito questo aspetto, affermando che: “i collaboratori dei consulenti, in base alle concrete operazioni di trattamento affidate, potranno operare sotto la sua diretta autorità e in base alle istruzioni impartite, configurando il rapporto preso in considerazione dall’articolo 29 del Regolamento”. E ancora: “i collaboratori potranno assumere in concreto il ruolo di subresponsabili, qualora sia demandata “l’esecuzione di specifiche attività di trattamento per conto del titolare”.