L’esigenza organizzativa di recuperare un armadietto dopo la cessazione del rapporto non autorizza il datore di lavoro ad aprirlo unilateralmente, esaminarne il contenuto e disfarsi degli effetti personali rinvenuti. È il principio ricavabile dal provvedimento 18.06.2026, n. 462, del Garante per la protezione dei dati personali, che impone alle imprese di regolamentare preventivamente una questione spesso affidata alla prassi. Il caso riguardava un lavoratore somministrato al quale era stato assegnato un armadietto personale, chiuso con un lucchetto di sua proprietà. Dopo la cessazione del rapporto, l’utilizzatrice, dovendo rendere disponibile lo spazio, ne aveva disposto l’apertura in assenza dell’interessato. Alle operazioni avevano partecipato 4 addetti; il contenuto era stato ripreso con uno smartphone personale, rimosso e successivamente distrutto. L’intervento era avvenuto il giorno precedente all’appuntamento concordato per consentire all’ex dipendente di ritirare i propri beni. Il 1° chiarimento dell’Autorità riguarda l’applicabilità del Regolamento UE 2016/679. Gli oggetti custoditi nell’armadietto possono rivelare informazioni riferite a una persona identificata: abitudini, preferenze, condizioni personali e persino dati relativi alla salute.
Farmaci, presidi sanitari, cosmetici o altri effetti intimi non sono dati in sé, ma la loro osservazione, associazione al lavoratore e documentazione consentono di acquisire informazioni personali. L’apertura, la ricognizione del contenuto e la ripresa video costituiscono, pertanto, operazioni di trattamento ai sensi dell’art. 4 GDPR. L’azienda utilizzatrice è stata qualificata come titolare del trattamento, avendo determinato finalità e modalità delle operazioni. La circostanza che i contatti con il lavoratore fossero mantenuti dall’agenzia di somministrazione non trasferiva a quest’ultima la responsabilità delle decisioni assunte nei locali aziendali. Il trattamento è stato ritenuto illecito per violazione dei principi di liceità, correttezza, trasparenza e minimizzazione sanciti dall’art. 5 GDPR, nonché degli artt. 6 e 13. Mancavano, infatti, una disciplina interna sull’utilizzo degli armadietti, un’informazione preventiva sui tempi e sulle modalità di svuotamento e un avviso specifico circa l’imminente apertura. Neppure l’interesse organizzativo a recuperare lo spazio è stato ritenuto sufficiente. Il legittimo interesse di cui all’art. 6, par. 1, lett. f) GDPR non opera come base giuridica residuale e automatica: richiede una valutazione preventiva, concreta e documentata, che verifichi la necessità del trattamento, le ragionevoli aspettative dell’interessato e l’assenza di soluzioni meno invasive. Nel caso esaminato sarebbe stato possibile attendere l’appuntamento già concordato o, in presenza di effettiva urgenza, rimuovere e custodire temporaneamente i beni senza distruggerli. Il provvedimento non introduce, dunque, un divieto assoluto di apertura. L’accesso può essere previsto per esigenze organizzative, di sicurezza o igienico-sanitarie, ma deve inserirsi in una procedura trasparente e proporzionata. Il regolamento aziendale dovrebbe indicare la destinazione dell’armadietto, gli oggetti non consentiti, il termine per liberarlo alla cessazione del rapporto, le modalità e i soggetti autorizzati all’apertura, nonché la sorte dei beni rinvenuti.
In concreto, occorre prima invitare con comunicazione tracciabile il lavoratore a ritirare gli effetti entro un termine congruo, avvertendolo delle conseguenze dell’inerzia. L’apertura dovrebbe avvenire solo dopo la scadenza, alla presenza di un numero limitato di persone previamente autorizzate ai sensi dell’art. 29 GDPR e dell’art. 2-quaterdecies D.Lgs. 196/2003, mediante verbale essenziale e senza immagini, salvo che la documentazione visiva sia realmente necessaria e assistita da autonoma base giuridica. I beni dovrebbero essere inventariati senza descrizioni eccedenti, sigillati e conservati per un periodo predeterminato, evitando l’immediata distruzione. L’armadietto resta un bene aziendale, ma custodisce uno spazio di riservatezza del lavoratore, tutelato anche dai valori di dignità della persona richiamati dall’art. 1 della Carta dei diritti fondamentali UE, dall’art. 88 GDPR e dall’art. 1 del Codice Privacy. La disponibilità materiale del contenitore, pertanto, non coincide con una libertà indiscriminata di accesso. Per le violazioni accertate, aggravate anche dal mancato tempestivo riscontro alle richieste dell’Autorità ex art. 157 D.Lgs. 196/2003, il Garante ha applicato una sanzione di 6.600 euro e disposto la pubblicazione del provvedimento. Il vero insegnamento pratico è però preventivo: anche la gestione degli spazi fisici assegnati ai dipendenti deve entrare nel sistema aziendale di accountability.
