Articolo a cura di: Redazione - Studio Legale Calvello

Quando un’azienda affida a un consulente del lavoro l’elaborazione delle buste paga, la gestione degli adempimenti contributivi o altre attività relative al personale, gli trasmette informazioni che possono comprendere retribuzioni, assenze, situazioni familiari e dati relativi alla salute dei dipendenti. Sorge quindi una questione concreta: il consulente del lavoro deve essere nominato responsabile del trattamento ai sensi dell’articolo 28 GDPR oppure opera come titolare autonomo?

La risposta dipende dalle attività effettivamente svolte e dal ruolo assunto dal professionista rispetto ai dati personali. Una qualificazione errata può determinare carenze contrattuali, istruzioni inadeguate e difficoltà nell’individuare le rispettive responsabilità. Per il datore di lavoro, verificare il rapporto privacy con il consulente esterno significa anche accertare se la documentazione esistente sia coerente con l’organizzazione aziendale e con i trattamenti concretamente affidati.

Il consulente del lavoro deve essere nominato responsabile del trattamento GDPR?

Il punto di partenza è distinguere il rapporto professionale con il consulente del lavoro dal ruolo che questi assume nel trattamento dei dati personali. Il Regolamento (UE) 2016/679 individua il titolare del trattamento nel soggetto che determina le finalità e i mezzi essenziali del trattamento, mentre il responsabile del trattamento tratta dati personali per conto del titolare. La distinzione riguarda le funzioni effettivamente esercitate e non dipende dalla denominazione attribuita al contratto.

Nel rapporto ordinario tra impresa e consulente del lavoro, l’azienda determina le finalità della gestione amministrativa del personale: deve corrispondere le retribuzioni, adempiere agli obblighi previdenziali e contributivi, amministrare i rapporti di lavoro e conservare la documentazione richiesta dalla normativa. Quando il consulente elabora le buste paga e svolge le attività affidategli per conto dell’impresa, seguendone le istruzioni e senza determinare autonomamente le finalità del trattamento, la qualificazione come responsabile del trattamento ai sensi dell’articolo 28 GDPR è generalmente coerente con il rapporto instaurato.

Questa impostazione non può però essere estesa automaticamente a qualsiasi prestazione del consulente del lavoro. Il professionista può svolgere attività nelle quali assume decisioni autonome sulle finalità e sui mezzi essenziali del trattamento, anche in relazione a specifici obblighi normativi o all’esercizio della propria attività professionale. In tali circostanze può assumere il ruolo di titolare autonomo, limitatamente ai trattamenti per i quali ne ricorrono effettivamente i presupposti.

Occorre quindi evitare due errori opposti: considerare ogni consulente del lavoro necessariamente un titolare autonomo, escludendo qualsiasi accordo ai sensi dell’articolo 28, oppure imporre indistintamente la nomina a responsabile per tutte le attività professionali. Uno stesso consulente può assumere ruoli privacy differenti rispetto a trattamenti distinti, purché la ripartizione sia giustificata dalle funzioni concretamente esercitate.

La questione assume particolare rilievo per le aziende che affidano allo studio esterno sia l’elaborazione delle paghe sia ulteriori servizi di consulenza giuslavoristica, assistenza nella gestione dei rapporti di lavoro o supporto nelle procedure disciplinari. La presenza di un incarico professionale unitario non significa necessariamente che tutti i trattamenti debbano ricevere la medesima qualificazione.

Per approfondire il criterio giuridico generale è utile distinguere le figure del titolare, responsabile e autorizzato al trattamento. Nel caso del consulente del lavoro, questa distinzione deve essere applicata alle singole prestazioni, verificando chi stabilisce le finalità, chi impartisce le istruzioni e quale autonomia decisionale mantiene il professionista.

Nomina privacy del consulente del lavoro: cosa deve prevedere il contratto ai sensi dell’articolo 28 GDPR

Quando il consulente del lavoro opera come responsabile del trattamento, il rapporto deve essere disciplinato da un contratto o da altro atto giuridico vincolante conforme all’articolo 28 GDPR. Non è indispensabile utilizzare un documento separato denominato “nomina privacy”: le clausole richieste possono essere integrate nel contratto professionale, purché siano complete, vincolanti e riferite ai trattamenti effettivamente affidati.

Un generico richiamo al rispetto del GDPR non è sufficiente. L’accordo deve individuare l’oggetto e la durata del trattamento, la sua natura e le sue finalità, le categorie di interessati e di dati personali, nonché gli obblighi e i diritti del titolare. Deve inoltre stabilire che il consulente tratti i dati soltanto sulla base di istruzioni documentate dell’azienda, salvo gli specifici obblighi di legge applicabili, e garantisca che le persone autorizzate al trattamento siano soggette a obblighi di riservatezza.

Per un’impresa che esternalizza l’amministrazione del personale, queste previsioni devono essere adattate alle attività concretamente svolte. Il consulente potrebbe ricevere dati identificativi, informazioni retributive e contributive, coordinate bancarie, dati relativi alle assenze e, nei limiti necessari agli adempimenti affidati, informazioni appartenenti a categorie particolari ai sensi dell’articolo 9 GDPR. L’accordo deve consentire di comprendere quali informazioni vengono trattate, per quali operazioni e con quali limiti di accesso.

Un aspetto spesso trascurato riguarda i collaboratori dello studio professionale e gli eventuali fornitori tecnologici. Il consulente del lavoro può utilizzare personale interno, software gestionali, piattaforme cloud e servizi di conservazione documentale. Occorre distinguere le persone che operano sotto la sua autorità dagli eventuali sub-responsabili, per i quali l’articolo 28 richiede un’autorizzazione preventiva, specifica o generale, del titolare e l’imposizione di obblighi di protezione dei dati sostanzialmente equivalenti a quelli assunti dal responsabile principale.

Il contratto deve disciplinare anche le misure di sicurezza, l’assistenza all’azienda nell’esercizio dei diritti degli interessati, la collaborazione nella gestione delle violazioni dei dati personali e la disponibilità delle informazioni necessarie per dimostrare il rispetto degli obblighi contrattuali. Deve prevedere la possibilità di verifiche e audit, oltre alle modalità di restituzione o cancellazione dei dati al termine dell’incarico, tenendo conto degli eventuali obblighi legali di conservazione.

La responsabilità dell’azienda non si esaurisce con la firma dell’accordo. L’articolo 28 richiede che il titolare ricorra a responsabili che presentino garanzie sufficienti in termini di misure tecniche e organizzative. Prima di affidare i dati dei dipendenti a uno studio paghe, è quindi opportuno verificare come vengono gestiti gli accessi, quali strumenti informatici sono utilizzati, come vengono protetti i documenti e quali procedure sono previste in caso di incidente.

Particolare attenzione merita la situazione delle imprese che collaborano da anni con lo stesso consulente del lavoro. Un accordo predisposto in passato potrebbe non descrivere più correttamente i servizi prestati, soprattutto quando siano stati introdotti nuovi gestionali, modalità di accesso remoto o ulteriori attività di supporto alle risorse umane. In questi casi non basta verificare l’esistenza materiale della nomina: occorre confrontarne il contenuto con il rapporto professionale attuale.

Le disposizioni contrattuali devono essere coerenti con i requisiti dell’accordo previsto dall’articolo 28 GDPR, senza utilizzare modelli standard che attribuiscano al consulente obblighi incompatibili con il suo ruolo o che omettano attività effettivamente svolte per conto dell’impresa.

Quali rischi corre l’azienda se il consulente del lavoro non ha una nomina privacy corretta?

La mancanza di un accordo conforme all’articolo 28 GDPR, quando il consulente del lavoro opera effettivamente come responsabile del trattamento, costituisce una carenza che l’azienda deve affrontare. Il problema non riguarda soltanto la documentazione: senza una disciplina contrattuale adeguata possono risultare incerti i limiti di utilizzo dei dati dei dipendenti, le istruzioni impartite al professionista e le modalità con cui devono essere gestiti eventuali incidenti di sicurezza.

Il datore di lavoro, in qualità di titolare del trattamento, deve verificare che il consulente esterno presenti garanzie sufficienti per proteggere i dati personali affidati. L’articolo 28 GDPR impone questa valutazione quando il professionista agisce per conto dell’impresa. La sottoscrizione di una nomina standard non dimostra, da sola, che siano stati esaminati i rischi connessi all’elaborazione delle paghe, alla gestione dei documenti del personale e all’utilizzo di fornitori informatici.

Una prima criticità riguarda la sicurezza delle informazioni. Lo studio paghe può ricevere documenti contenenti dati retributivi, coordinate bancarie, informazioni sulle assenze e, nei limiti necessari, dati relativi alla salute dei lavoratori. Se questi documenti vengono trasmessi attraverso strumenti non adeguatamente protetti, conservati in archivi accessibili a persone non autorizzate o gestiti mediante piattaforme esterne prive delle necessarie verifiche, l’impresa può trovarsi esposta a violazioni della riservatezza.

Un secondo problema riguarda la gestione delle responsabilità quando si verifica un incidente. Si pensi a un attacco informatico che comprometta gli archivi dello studio paghe oppure all’invio di un documento contenente informazioni personali a un destinatario errato. Se il consulente opera come responsabile del trattamento, deve informare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. L’azienda deve quindi valutare l’incidente e stabilire se ricorrano i presupposti per la notifica al Garante Privacy e, nei casi previsti, per la comunicazione agli interessati.

La presenza di un consulente esterno non trasferisce automaticamente su quest’ultimo tutti gli obblighi GDPR dell’azienda. Il titolare conserva le responsabilità che il Regolamento gli attribuisce, mentre il responsabile risponde degli obblighi direttamente applicabili e delle eventuali violazioni delle istruzioni legittime ricevute. L’effettiva ripartizione delle responsabilità deve essere valutata in relazione alla condotta dei soggetti coinvolti e alle disposizioni applicabili.

Anche la mancata formalizzazione del rapporto può assumere rilievo durante un controllo. Se l’impresa non è in grado di dimostrare di aver correttamente individuato il ruolo del consulente, di aver stipulato l’accordo necessario e di aver verificato le garanzie offerte, possono emergere violazioni degli obblighi previsti dal GDPR. Le eventuali conseguenze sanzionatorie dipendono dalla natura dell’infrazione, dalle circostanze concrete e dai criteri stabiliti dall’articolo 83 del Regolamento. La mancanza della nomina non comporta automaticamente una sanzione di importo predeterminato, ma non deve essere considerata una semplice irregolarità formale.

Per le aziende che scoprono di non aver mai predisposto un accordo privacy con il consulente del lavoro, il primo intervento consiste nell’esaminare le prestazioni affidate e qualificare correttamente i trattamenti. Se emerge un rapporto titolare-responsabile non adeguatamente disciplinato, occorre regolarizzarlo per il futuro, senza ritenere che una firma tardiva possa cancellare eventuali violazioni pregresse.

La verifica dovrebbe comprendere anche il registro delle attività di trattamento, le informazioni rese ai dipendenti, le procedure di trasmissione dei documenti e le modalità di conservazione dei dati. Un’azienda che cambia consulente paghe deve inoltre disciplinare il passaggio degli archivi, la cessazione degli accessi e la restituzione o cancellazione delle informazioni, nel rispetto degli obblighi di conservazione applicabili.

Quando il problema riguarda un fornitore che ha già trattato dati personali senza un accordo adeguato, può essere utile approfondire come intervenire quando un fornitore tratta dati personali senza nomina privacy. Nel rapporto con il consulente del lavoro, la verifica deve comunque tenere conto della specificità dell’incarico professionale e della possibile presenza di trattamenti svolti in qualità di titolare autonomo.

Esempio pratico: azienda con consulente paghe esterno e accordo GDPR non aggiornato

Consideriamo il caso di una società che affida da diversi anni l’elaborazione delle buste paga e gli adempimenti relativi al personale a uno studio di consulenza del lavoro. Durante una verifica della documentazione privacy emerge che l’accordo sottoscritto inizialmente non descrive più tutte le attività svolte: nel frattempo sono stati introdotti un gestionale cloud, un portale per lo scambio dei documenti e ulteriori servizi di amministrazione del personale.

La questione richiede di esaminare il contratto professionale, ricostruire i flussi di dati e distinguere le operazioni effettuate per conto dell’impresa dalle eventuali attività nelle quali il consulente determina autonomamente finalità e mezzi essenziali del trattamento. Particolare attenzione viene dedicata ai soggetti che possono accedere agli archivi, ai fornitori tecnologici utilizzati e alle modalità di conservazione delle informazioni relative ai dipendenti.

Una volta chiariti i rispettivi ruoli, l’intervento può prevedere l’aggiornamento dell’accordo ai sensi dell’articolo 28 GDPR per i trattamenti che lo richiedono, la revisione delle istruzioni operative e il coordinamento con la documentazione privacy aziendale. Il caso mostra perché la verifica della nomina del consulente del lavoro deve partire dalle attività realmente svolte e non dalla semplice presenza di un modulo firmato.

Domande frequenti sulla nomina privacy del consulente del lavoro

1. Il consulente del lavoro deve sempre firmare una nomina a responsabile del trattamento?

No. La nomina ai sensi dell’articolo 28 GDPR è necessaria quando il consulente tratta dati personali per conto dell’azienda in qualità di responsabile del trattamento. Se invece, per determinate attività, stabilisce autonomamente le finalità e i mezzi essenziali del trattamento, può assumere il ruolo di titolare autonomo. La qualificazione deve essere effettuata considerando le singole prestazioni e non soltanto la professione esercitata.

2. Se il consulente del lavoro elabora soltanto le buste paga, serve un accordo GDPR?

Quando l’elaborazione delle buste paga viene svolta per conto del datore di lavoro, secondo le finalità e le istruzioni da questo determinate, il rapporto è normalmente riconducibile allo schema titolare-responsabile. In tale situazione è necessario un accordo conforme all’articolo 28 GDPR, che disciplini le operazioni affidate, le misure di sicurezza e gli obblighi del professionista.

3. L’azienda può utilizzare una nomina privacy firmata diversi anni fa?

Sì, purché l’accordo sia ancora conforme al GDPR e descriva correttamente i trattamenti effettivamente svolti. Non esiste un obbligo generale di rinnovare annualmente la nomina. Se cambiano i servizi affidati, le modalità operative, i fornitori utilizzati o altri elementi rilevanti, occorre verificare se sia necessario aggiornare il documento.

4. Chi risponde se il consulente del lavoro perde o divulga i dati dei dipendenti?

La responsabilità dipende dalle circostanze della violazione e dai rispettivi obblighi. Il datore di lavoro, quale titolare, deve adottare le misure di propria competenza e verificare le garanzie offerte dal responsabile. Il consulente può rispondere delle violazioni degli obblighi GDPR direttamente applicabili e delle istruzioni legittime ricevute. Se si verifica un data breach, occorre valutare tempestivamente i rischi per gli interessati e gli eventuali obblighi di notifica e comunicazione.

5. Il consulente del lavoro può essere anche DPO dell’azienda?

La normativa non esclude in assoluto che un consulente del lavoro possa ricoprire l’incarico di Responsabile della protezione dei dati (DPO o RPD). È però necessario verificare i requisiti professionali, l’indipendenza e l’assenza di conflitti di interessi. In particolare, il DPO non deve trovarsi nella posizione di controllare trattamenti dei quali determina personalmente le finalità e i mezzi. La compatibilità dei ruoli deve quindi essere valutata rispetto agli incarichi concretamente svolti.

Consulente del lavoro e GDPR: richiedi una valutazione della documentazione privacy aziendale

Se la tua azienda affida a un consulente del lavoro l’elaborazione delle paghe o la gestione amministrativa del personale, ma non è certa che la nomina privacy sia corretta, è opportuno verificare il rapporto prima che eventuali carenze emergano durante un controllo, una contestazione o un incidente relativo ai dati personali.

Presso lo Studio Legale Calvello, con oltre 25 anni di esperienza professionale, assistiamo le imprese nell’analisi dei rapporti con i fornitori esterni, nella qualificazione dei ruoli privacy e nella predisposizione o revisione degli accordi previsti dall’articolo 28 GDPR. Valutiamo le attività effettivamente affidate al consulente del lavoro, la documentazione contrattuale esistente e gli eventuali profili di responsabilità per il datore di lavoro.

Se devi nominare un nuovo consulente del lavoro, aggiornare un accordo privacy esistente o regolarizzare un rapporto già avviato, puoi richiedere una valutazione della situazione GDPR della tua azienda attraverso il modulo dedicato. Esamineremo la richiesta per individuare gli aspetti giuridici e organizzativi che richiedono attenzione e valutare l’assistenza professionale più appropriata.