Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il ruolo dipende dalle attività effettive. Nell’elaborazione delle paghe per conto del datore il consulente può essere responsabile, mentre per altri trattamenti professionali può perseguire finalità autonome.
La situazione.
Scenario illustrativo inventato. Un’impresa invia allo studio paghe un foglio mensile con presenze, assenze e variazioni contrattuali. Il portale è ospitato da un ulteriore fornitore e conserva anche allegati sanitari ricevuti occasionalmente. Il contratto economico non disciplina i dati: l’impresa considera sufficiente il segreto professionale; lo studio ritiene di essere sempre titolare perché esercita una professione. Nessuno ha chiarito chi debba assistere il dipendente che segnala un accesso improprio o come chiudere il servizio restituendo i documenti.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
L’elaborazione usa dati e finalità stabiliti dal datore.
- 02
Lo studio ha anche attività con obblighi professionali propri.
- 03
Il portale coinvolge fornitori tecnici ulteriori.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
Il GDPR distingue chi determina finalità e mezzi essenziali da chi tratta dati per conto altrui. Il chiarimento del Garante sul consulente del lavoro richiede attenzione alle operazioni effettive: il titolo professionale non attribuisce necessariamente un unico ruolo a tutte le attività. Per il trattamento svolto come responsabile, l’articolo 28 richiede un contratto o altro atto giuridico con i contenuti previsti, comprese istruzioni, riservatezza, sicurezza e assistenza.
L’uso di un proprio software o l’autonomia nelle modalità professionali non escludono di per sé il ruolo di responsabile nell’elaborazione affidata. Le eventuali finalità autonome devono invece essere riconosciute separatamente. Questo chiarisce la catena dei sub-responsabili, le risposte ai diritti e il trattamento delle categorie particolari. Il datore resta tenuto a trasmettere dati necessari: non può delegare allo studio il compito di rendere lecita una raccolta iniziale indiscriminata.
Cosa fare, in pratica.
- 01
Mappare il flusso mensile: identificare dati, allegati, sistemi e destinatari, includendo ciò che passa fuori dal portale ufficiale.
- 02
Qualificare i ruoli per attività: distinguere elaborazione affidata, obblighi propri dello studio e servizi accessori senza ricorrere a etichette assolute.
- 03
Integrare l’accordo articolo 28: chiarire istruzioni, incidenti, diritti, controlli e restituzione o cancellazione alla fine del rapporto.
- 04
Esaminare portale e subfornitori: conoscere autorizzazioni, luoghi di trattamento e possibili trasferimenti extra SEE, non soltanto il nome del prodotto.
- 05
Ridurre gli allegati e proteggere gli scambi: usare accessi personali e canali appropriati per dati delicati, evitando password o caselle condivise.
L’errore da evitare.
Riservatezza professionale e disciplina del responsabile rispondono a questioni diverse. Il segreto non stabilisce da solo istruzioni operative, assistenza negli incidenti o cancellazione finale.
Tre verifiche da portare con te.
- Ruoli distinti per attività.
- Accordo coerente con i servizi.
- Subfornitori e flussi conosciuti.
Un accordo sui dati è utile quando descrive come impresa, consulente e piattaforma collaborano davvero. Limitarsi alle definizioni del GDPR può lasciare intatti i problemi del servizio.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.