In breve: Con il Provvedimento del 18 giugno 2026, n. 462, il Garante privacy ha sanzionato l’azienda utilizzatrice che aveva aperto e svuotato, senza preavviso, l’armadietto di un ex dipendente somministrato: anche la gestione degli spazi personali dei lavoratori rientra nel perimetro del GDPR.
Anche l’apertura di un armadietto fisico, la sua ricognizione fotografica o video e la distruzione del suo contenuto costituiscono trattamento di dati personali soggetto al Regolamento (UE) 2016/679. Lo ha ribadito il Garante per la protezione dei dati personali con il Provvedimento del 18 giugno 2026, n. 462, sanzionando l’azienda presso cui prestava servizio un lavoratore somministrato.
I fatti
Dopo diversi rinvii, un ex dipendente somministrato aveva concordato con l’azienda utilizzatrice un appuntamento per ritirare i propri effetti personali. Il giorno prima dell’appuntamento, l’azienda ha aperto l’armadietto a lui assegnato senza avvisarlo, distruggendone il contenuto — inclusi oggetti di uso strettamente personale.
Chi risponde: l’azienda utilizzatrice, non l’agenzia
Pur essendo il lavoratore formalmente dipendente dell’agenzia di somministrazione, è l’azienda utilizzatrice — che gestisce armadietti e spogliatoi nei propri locali — a essere titolare del trattamento e a risponderne. L’agenzia, estranea a quei dati, non è stata sanzionata.
Le violazioni accertate dal Garante
- nessuna informativa (art. 13 GDPR) sull’uso e sulla restituzione degli armadietti;
- assenza di una base giuridica idonea: il “legittimo interesse” invocato dall’azienda è stato respinto per mancanza di un test di bilanciamento documentato;
- violazione dei principi di correttezza e minimizzazione (art. 5 GDPR);
- mancato riscontro alla richiesta di informazioni del Garante (art. 157 Codice Privacy), con conseguente intervento della Guardia di Finanza.
Una sanzione contenuta, un principio ampio
La sanzione irrogata (6.600 euro) può sembrare modesta, ma il provvedimento va oltre l’importo: certifica che la gestione degli spazi personali dei lavoratori — anche somministrati — non è mai una questione solo logistica, e che vale a prescindere dall’uso di strumenti automatizzati.
Indicazioni operative per le aziende
- adottare o verificare la policy interna sull’uso e la restituzione degli armadietti;
- integrare l’informativa privacy con le modalità di accesso in caso di mancata restituzione;
- gestire con comunicazioni chiare e per iscritto i rapporti con il dipendente, anche dopo la cessazione del rapporto.
Per una verifica delle policy privacy applicate in azienda, è possibile contattare lo Studio SaF Legal.