L'interpretazione del ruolo della societa' di Broker come Responsabile del Trattamento va superata alla luce dei chiarimenti forniti dal Garante sulle Compagnie di Assicurazione che possono essere applicati anche alle societa' di Brokeraggio. Ne consegue che la richiesta, formulata dalla Società di Broker, di voler sottoscrivere un accordo di contitolarità con il Comune, risulta essere legittima, in quanto, la Società medesima, nello svolgimento della propria attività, al pari delle compagnie assicurative, deve assumere il ruolo di Titolare autonomo del trattamento e non di Responsabile del Trattamento.

Le motivazioni del parere sono di seguito indicate.

In via preliminare, va rilevato che, l'art. 4, par. 1, del Regolamento UE 679/2016, definisce in particolare il concetto di:

• "Titolare del trattamento", secondo cui, "è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali";
• "Responsabile del trattamento", secondo cui, "è la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento".

In relazione alle definizioni sopra riportate, pertanto, il Titolare è il soggetto sul quale ricadono le decisioni relativamente alle finalità e alle modalità del trattamento dei dati personali degli interessati, nonché, una responsabilità generale (cd. “accountability”) sui trattamenti posti in essere dallo stesso o da altri “per [suo] conto”, in qualità di responsabili ai sensi dell’art. 28 del Regolamento.

Diversamente, il ruolo del Responsabile, è caratterizzato dallo svolgimento di attività delegate dal Titolare il quale, all’esito di proprie scelte organizzative, può individuare uno o più soggetti particolarmente qualificati allo svolgimento delle stesse, delimitando l’ambito delle rispettive attribuzioni e fornendo specifiche istruzioni sui trattamenti da effettuare.

Il rapporto tra Ente aggiudicante (Comune nel caso di specie) e Società di Brokeraggio, non può configurarsi nei termini di Titolare e Responsabile del trattamento, in quanto:

• l’esercizio dell’attività di Brokeraggio, non può in alcun modo, neanche astrattamente, formare oggetto di “delega” da parte del soggetto che affida tramite gara tale servizio, sulla base del fatto che, la stessa, può essere svolta esclusivamente da soggetti specializzati e sottoposti ad una disciplina di settore.

Ne consegue che, la Società di Brokeraggio, agisce,

• in qualità di autonomo titolare, in quanto, non pone in essere un trattamento di dati “per conto” dell’Ente aggiudicante (Comune).

In relazione a quanto specificato, la Società di Brokeraggio (al pari delle compagnie assicurative), va qualificata come:

• Titolare autonomo del trattamento, in quanto, mantiene la propria autonomia decisionale e determina le finalità e i mezzi del trattamento di dati personali.

Sul punto, può essere richiamato per analogia, il parere del Garante, relativo al ruolo delle compagnie assicurative, parere che può essere esteso al caso di specie relativo alla Società di Brokeraggio, che ha stabilito che l’Ente aggiudicante e la compagnia/società perseguono interessi separati e distinti, che impediscono, alla compagnia/società medesima, di porre in essere un trattamento di dati “per conto” dell’Ente aggiudicante.

Il Garante ha, altresì, specificato che, la compagnia/società deve agire nel pieno rispetto della disciplina in materia di protezione dei dati personali, soprattutto laddove l’interlocuzione preveda la comunicazione di informazioni (dati personali di dipendenti e utenti) dall’uno all’altro soggetto, prevedendo ad esempio puntuali termini di conservazione dei dati, ed è legittimata ad utilizzare i dati acquisiti solo per le finalità previste dal contratto.

In conclusione, nel caso di specie, la Società di Brokeraggio, deve essere qualificata come Titolare del trattamento ed, in relazione all'art. 26 del Regolamento UE 679/2016, allorchè due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. A tal fine, deve essere sottoscritto un accordo di contitolarità tra il Comune (Ente aggiudicatario) e la Società che svolge l'attività di brokeraggio assicurativo.

Fonte: GARANTE