Armadietto aziendale ed ex dipendente: l'apertura in sua assenza e la distruzione degli effetti personali sono trattamento di dati

Il Garante con il provvedimento n. 462 del 18 giugno 2026 ha sanzionato una società (6.600 euro) per aver aperto, il giorno prima dell'appuntamento concordato, l'armadietto personale di un ex lavoratore somministrato — chiuso con lucchetto nella sua esclusiva disponibilità — rimuovendone e distruggendone il contenuto senza informarlo né prima né dopo.

L'Autorità ha respinto la tesi difensiva secondo cui non vi sarebbe stato alcun "trattamento di dati personali" rilevante ai sensi del GDPR: gli oggetti custoditi in un armadietto (compresi effetti intimi/personali) sono idonei a rivelare informazioni sulla persona, e operazioni come ricognizione, videoregistrazione a fini di tutela aziendale e distruzione rientrano pienamente nella nozione di "trattamento", anche se svolte manualmente.

Accertate le violazioni dei principi di liceità, correttezza e minimizzazione (assenza di base giuridica idonea e di un valido bilanciamento del legittimo interesse) e dell'obbligo di informativa (art. 13 GDPR), oltre alla mancata risposta alle richieste istruttorie dell'Autorità (art. 157 Codice Privacy). Un precedente di interesse pratico per tutte le aziende con spogliatoi/armadietti aziendali: serve una policy scritta su uso e modalità di svuotamento a fine rapporto, comunicata preventivamente ai lavoratori.