Garante per la protezione
    dei dati personali


Possono essere designati quali "incaricati del trattamento solo ed esclusivamente le persone fisiche e non anche le entità personificate che possono invece rivestire la qualità di responsabile del trattamento (articolo 1, comma 2 lett. e) della legge 675/1996).

Roma li, 8/6/1999        

Spett.le Società .........       

OGGETTO: Quesito su applicazione della legge 675/1996

La Vs. Società ha chiesto al Garante un parere in merito alla possibilità di nominare, quale incaricato del trattamento, una società esterna che in base ad un vincolo contrattuale fornisce servizi concernenti la stampa e l'elaborazione dei cedolini di stipendio dei dipendenti.

In proposito, occorre premettere che la legge n. 675/1996, nel prevedere la figura dell'incaricato del trattamento" (art. 19), ha inteso evitare che i collaboratori del titolare del trattamento siano considerati quali "terzi" ai fini dell'applicazione delle disposizioni sulla protezione dei dati personali. Infatti, non sono considerati "terzi" gli incaricati del trattamento previamente individuati per iscritto e che operano sotto la "diretta autorità" del titolare o del responsabile, attuandone le istruzioni. Tale possibilità può essere utilizzata sia quando gli incaricati operano all'interno dell'ordinaria struttura del titolare, sia quando essi coadiuvano il titolare stesso operando presso un centro esterno.

E' necessario tener conto, però, che possono essere designati quali "incaricati del trattamento" solo ed esclusivamente le persone fisiche e non anche le entità personificate che possono invece rivestire la qualità di responsabile del trattamento (articolo 1, comma 2 lett. e) della legge 675/1996).

Ciò non deve tuttavia portare a ritenere che la Vs Società non possa avvalersi della collaborazione di un entità esterna, anche in forma di outsourcing. Infatti, gli artt. 8, comma 4 e 19, se da un lato non consentono di nominare come "incaricato del trattamento" la società esterna, dall'altro non escludono la possibilità (ed anzi introducono un obbligo in tal senso), di conferire l'incarico stesso ai dipendenti di detta società, i quali devono operare necessariamente sotto la "diretta autorità" del titolare o dell'eventuale responsabile del trattamento oggetto del contratto, "autorità" che si concretizza anche attraverso istruzioni periodiche

Si ricorda infatti che possono accedere ai dati trattati per conto della Vs. Società le sole persone fisiche incaricate per iscritto del trattamento dei dati stessi. Tale principio opera anche in caso di coinvolgimento di personale esterno. E' invece facoltativa la designazione della società esterna come "responsabile del trattamento", anche se tale preposizione diviene una soluzione in qualche modo obbligata quando una parte, sia pure strumentale, dei trattamenti necessari per perseguire le finalità del titolare del trattamento è curata, pur con limitata autonomia, da un soggetto esterno.

In conclusione, se non è possibile designare una società esterna quale "incaricato del trattamento", è però possibile avvalersene osservando i principi sopra esposti.

IL PRESIDENTE