Ruolo del consulente del lavoro nell’attuazione del Regolamento UE 2016/679

Con la circolare n. 1150 (Prot. n. 7738/U/CIRC) dello scorso 23 luglio 2018 la Presidente del Consiglio Nazionale dell’Ordine, Marina Calderone, fornisce utili chiarimenti in merito al ruolo del consulente del lavoro e alle responsabilità dello studio professionale riguardo all’attuazione del Regolamento UE 2016/679 del Parlamento europeo e del Consiglio, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati  (Regolamento che abroga la direttiva 95/46/CE).

La circolare, indirizzata ai Consigli Provinciali dell’Ordine dei Consulenti del Lavoro, ai Consiglieri Nazionali e ai Revisori dei Conti del Consiglio Nazionale dell’Ordine dei Consulenti del Lavoro, alla Divisione I della Direzione Generale dei rapporti di lavoro e delle relazioni industriali del Ministero del Lavoro e delle Politiche Sociali, all’Ufficio II – Reparto II – Libere Professioni della Direzione della Giustizia Civile del Dipartimento per gli Affari di Giustizia del Ministero della Giustizia, al Presidente del
Consiglio di Amministrazione ENPACL e alle Organizzazioni Sindacali di Categoria dà conto delle numerose richieste ricevute dal Consiglio Nazionale dell’Ordine dei Consulenti del Lavoro in merito al ruolo del Consulente del lavoro in relazione all’esecuzione del mandato professionale nell’ambito dell’attuazione del Regolamento UE 2016/679.

Il ruolo dei consulenti del lavoro nell’attuazione del Regolamento UE 2016/679 (GDPR)

Il Consiglio Nazionale ha recentemente ricevuto numerose segnalazioni relative alla pretesa, da parte della clientela, di nominare il Consulente del lavoro quale Responsabile Esterno del trattamento ai sensi dell’art. 28 del citato Regolamento Europeo 2016/679, conosciuto anche come GDPR.
La nomina si vorrebbe ritenere obbligatoria e necessariamente connessa all’esercizio del mandato professionale tuttavia, come emerge dall’art. 28 del Regolamento UE 2016/679, resta ferma e legittima la possibilità di respingere tale intenzione. La norma comunitaria afferma, infatti, che:

• il Responsabile effettua il trattamento “per conto del titolare” (par. 1);
• in forza di uno specifico contratto che disciplina “la natura e la finalità del trattamento” (par. 3);
• il trattamento deve avvenire, tra l’altro, soltanto “su istruzione documentata del titolare del trattamento” (par. 3, lett. a).

Il Responsabile del Trattamento dei Dati appare così come una figura a tutti gli effetti preposta del titolare, che ne segue pedissequamente le istruzioni impartite tramite il contratto contemplato dall’art. 28 e con i rigidi vincoli previsti anche dall’art. 30 del Regolamento. Il Titolare, quindi, nominando un Responsabile, è pur sempre tenuto a rispondere degli eventuali danni subiti dall’interessato per le operazioni di trattamento compiute da questi.
Il Responsabile, per contro, deve provvedere al trattamento attenendosi scrupolosamente alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle stesse.

La sfera di autonomia del Responsabile risulta quindi fortemente compressa non solo dalla specificazione dei compiti a lui affidati, ma anche da un penetrante potere-dovere di direzione e vigilanza del Titolare nei suoi confronti che si esplica nella successiva fase di trattamento dei dati.
Il Responsabile non ha, quindi, una propria autonomia concettuale. Ciò risulta in evidente contrasto con le disposizioni di cui alla Legge n. 12/1979 e ancor di più in relazione al mandato professionale sotteso, in forza del quale, secondo il dettato normativo, il datore di lavoro affida totalmente gli adempimenti in materia di amministrazione del personale, nell’ambito di una prestazione professionale autonoma.

Prerogative e responsabilità della categoria professionale dei consulenti del lavoro

L’articolo 1 della Legge 11 Gennaio 1979, n. 12, in relazione all’esercizio della professione di Consulente del Lavoro, prevede che

“Tutti gli adempimenti in materia di lavoro, previdenza ed assistenza sociale dei lavoratori dipendenti, quando non sono curati dal datore di lavoro, direttamente od a mezzo di propri dipendenti, non possono essere assunti se non da coloro che siano iscritti nell’albo dei consulenti del lavoro”.

Emerge dunque un quadro chiaro: la titolarità allo svolgimento degli adempimenti in materia di lavoro è riconosciuta innanzi tutto al datore di lavoro, altrimenti gli stessi possono essere “assunti” da parte dei professionisti all’uopo individuati dalla legge. Questi ultimi (nello specifico i Consulenti del lavoro) nell’ambito del mandato conferito agiscono in virtù della designazione contenuta nel mandato stesso, ma la competenza a provvedere agli adempimenti non proviene loro dal contratto ma ex lege, dal riconoscimento che della categoria professionale, del ruolo e delle attribuzioni, fa la legge n. 12/1979. Ciò alla luce del diverso dato testuale e conseguentemente del diverso significato che il legislatore ha voluto riconoscere al ruolo dei professionisti rispetto a quello dei semplici preposti del datore di lavoro.
Il Consulente del lavoro che gestisce i dati dei propri clienti ha piena autonomia di decisione in merito al trattamento nella sua definizione più generale e quindi nella scelta delle modalità e dei mezzi (anche tecnologici) ritenuti più opportuni, così come nella scelta dei collaboratori cui affidare il trattamento medesimo. Se invece il Professionista dovesse costantemente e sistematicamente rendere conto al proprio cliente-Titolare delle modalità utilizzate per il trattamento dei dati a lui affidati, tale autonomia sarebbe irrimediabilmente compromessa.
Nel quadro delineato si inserisce, non a caso, una disposizione fondamentale del Reg. 2016/679, l’art. 4, che al paragrafo 7 recita testualmente:

“«titolare del trattamento»: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell’Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o degli Stati membri”.

Dunque non possono esservi dubbi sul fatto che il Consulente del lavoro nelle attività di trattamento dei dati dei propri clienti e dei dipendenti di questi ultimi, non potrà che assumere la qualifica di Titolare del trattamento. È possibile ritenere configurabile, al più, una fattispecie di co-titolarità.

Il consulente del lavoro quale co-titolare del Trattamento dei Dati

Tale figura è espressamente prevista dal considerando n. 79 e dall’articolo 26 del Reg. che prevede che due o più titolari determinino congiuntamente le finalità (ad esempio la gestione degli adempimenti inerenti il personale dipendente di questi) ed i mezzi del trattamento (ad esempio tramite supporto cartaceo o informatico).
I co-titolari devono quindi sottoscrivere un accordo interno – che potrebbe consistere in un’appendice all’incarico professionale – che stabilisce in modo trasparente

“le rispettive responsabilità in merito all’osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14”.

Naturalmente, il Consulente del lavoro potrà sempre assumere, su base volontaria, il ruolo di responsabile esterno del trattamento dei dati affidatigli dal proprio cliente, ma ciò comporterà l’assunzione di un nuovo incarico di natura professionale autonomo (ancorché connesso) rispetto al mandato professionale principale e, come tale, separatamente remunerato.

Possibili ruoli che il consulente del lavoro può assumere nel Trattamento dei Dati Personali

Concludendo, si riassumono le definizioni dei due ruoli assumibili dal Consulente del lavoro:

• il Responsabile del Trattamento è un preposto del Titolare, che deve adempiere alla normativa privacy su mandato e nell’interesse di quest’ultimo. È un ruolo facoltativo che il Consulente del lavoro può assumere previo nuovo e specifico incarico professionale. Comporta un significativo assoggettamento del Consulente alle direttive del cliente-Titolare e, soprattutto, implica la gestione per suo conto del trattamento dei dati personali all’interno della sua azienda.
• la co-titolarità del Trattamento è ruolo fisiologico per il Consulente del lavoro e discende dal mandato professionale assunto per la gestione dei rapporti di lavoro. In forza di tale ruolo il Consulente-titolare è autonomo nella gestione dei dati delle aziende assistite all’interno del proprio studio, restando escluso e deresponsabilizzato dalle eventuali violazioni della richiamata normativa da parte del proprio cliente nella gestione della propria organizzazione.