Di conseguenza, occorre scindere due fattispecie:

- la prima in cui il consulente tratta dati personali dei propri dipendenti o dei propri clienti (persone fisiche) ed è, quindi, da considerarsi quale titolare del trattamento, poiché ne determina sia le finalità che i mezzi;

- la seconda attiene al trattamento dei dai personali dei dipendenti dei propri clienti, a fronte di un incarico ricevuto che ne esplicita anche le istruzioni sui trattamenti da effettuare.

Questa seconda fattispecie comprende, a titolo esemplificativo:

• la predisposizione – da parte del consulente - delle buste paga,
• le pratiche relative all’assunzione e al fine rapporto, o quelle previdenziali e assistenziali, trattando una pluralità di dati personali, anche sensibili, dei lavoratori.

In questo secondo ambito il trattamento dei dati personali avviene sulla scorta di un contratto tra cliente e consulente del lavoro che dovrà disciplinare anche gli adempimenti in materia di protezione dei dati personali, al fine di perimetrare le competenze e definire i rispettivi ruoli e responsabilità.

Detto in altri termini, il Garante ha ravvisato come discriminante per la distinzione della attribuzione del ruolo di titolare o di responsabile, la attività svolta dal consulente di lavoro che non può essere considerata in maniera unica, per quanto attiene all’applicazione della normativa in materia di protezione dei dati personali.

Ragion per cui vanno tenuti distinti e separati due perimetri:

• un perimetro (che per semplicità potremmo definire “interno” ed ) che comprende il trattamento dei dati personali dei dipendenti del consulente del lavoro e dei propri clienti (solo persone fisiche in quanto la normativa di settore non trova applicazione nei confronti delle persone giuridiche)
• ed un perimetro (che per semplicità potremmo definire “esterno”) che attiene al trattamento dei dati dei dipendenti del cliente.

Nel primo caso è riconosciuta al consulente del lavoro piena autonomia per quanto attiene alla individuazione delle finalità e dei mezzi per svolgere il trattamento; di qui la qualifica di titolare del trattamento.

Mentre nella seconda ipotesi, il trattamento dei dati personali dei dipendenti del cliente – da parte del consulente del lavoro - avviene dietro trasmissione degli stessi dati da parte del cliente che, per di più, impartisce istruzioni e stabilisce finalità e modalità e, quindi, riveste la carica di titolare del trattamento a fronte di un contratto di esternalizzazione di determinati servizi.

Sempre ad avviso del Garante, il ruolo di responsabile del trattamento attribuito al consulente del lavoro non fa venir meno in capo al professionista gli obblighi riguardo alla individuazione e predisposizione di idonee misure di sicurezza, sia tecniche che organizzative, a tutela dei dati personali trattati.

In questa risposta il Garante ha richiamato e confermato il proprio orientamento ne senso che “le attività di trattamento svolte da soggetti esterni per conto del titolare, il quale può decidere di affidare all’esterno lo svolgimento di compiti strettamente connessi all’esecuzione di obblighi previsti dalla normativa lavoristica e/o dal contratto di lavoro, devono, di regola, essere inquadrate nello schema titolare/responsabile del trattamento.”