Ordinanza ingiunzione o revoca n. 462 del 18/06/2026

Cosmint S.p.A. - apertura e svuotamento di un armadietto aziendale senza adeguata informativa

Il provvedimento riguarda Cosmint S.p.A., destinataria di un reclamo presentato da un ex lavoratore in relazione all’apertura del proprio armadietto aziendale dopo la cessazione del rapporto, alla rimozione del contenuto e alla sua distruzione. Il procedimento trae origine anche dal mancato riscontro della società a una richiesta di informazioni dell’Autorità ai sensi dell’art. 157 del Codice privacy.

Fatti e svolgimento dell’istruttoria

Dagli atti risulta che il lavoratore, cessato il rapporto di somministrazione, aveva concordato tramite la società somministratrice diverse date per il ritiro dei propri effetti personali. Prima dell’ultimo appuntamento fissato per il 31 gennaio 2024, Cosmint ha però aperto l’armadietto il 30 gennaio 2024, in assenza dell’interessato, alla presenza di più soggetti interni, ha verificato il contenuto e lo ha rimosso, documentando l’operazione con una ripresa video. La società ha poi dichiarato che alcuni beni erano aziendali e altri erano oggetti di uso strettamente personale/intimo, e che il contenuto è stato distrutto o comunque non conservato.

Il Garante ha inoltre rilevato che Cosmint non aveva risposto alla richiesta di informazioni inviata dall’Ufficio; per questo è stata avviata la comunicazione di avvio del procedimento sanzionatorio e correttivo, notificata dal Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza.

Qualificazione del trattamento e applicabilità del GDPR

La società ha sostenuto che l’attività non rientrasse nell’ambito applicativo del GDPR, perché manuale e non relativa a dati contenuti in un archivio, e che gli oggetti rinvenuti non fossero dati personali. Il Garante ha respinto tali argomentazioni. Richiamando la giurisprudenza della Corte di giustizia, ha osservato che l’apertura dell’armadietto, la ricognizione del contenuto, la registrazione video e la successiva distruzione costituiscono un trattamento di dati personali ai sensi dell’art. 4, n. 2, GDPR.

È stata inoltre valorizzata la funzione dell’armadietto personale, che consente al lavoratore di custodire abbigliamento e oggetti d’uso personale idonei a rivelare informazioni sulla sfera privata e, in alcuni casi, anche sulla salute. Di conseguenza, il contenuto dell’armadietto può integrare dati personali ai sensi dell’art. 4, n. 1, GDPR.

Violazione dell’art. 13 GDPR e del principio di correttezza

Il Garante ha ritenuto che la società non avesse fornito un’informativa preventiva adeguata sull’uso degli armadietti aziendali, sulle modalità consentite di utilizzo e sui tempi e modi di liberazione al termine del rapporto. Le indicazioni rese oralmente al personale sono state giudicate insufficienti, anche perché non documentate, e incompatibili con le esigenze di trasparenza richieste dalla disciplina privacy.

In concreto, l’interessato non è stato avvisato che l’armadietto sarebbe stato aperto in sua assenza prima della data concordata per il ritiro degli effetti, né è stato informato tempestivamente dell’avvenuto svuotamento. Il Garante ha quindi ravvisato la violazione dell’art. 13 GDPR e del principio di correttezza di cui all’art. 5, par. 1, lett. a), GDPR.

Assenza di base giuridica e violazione dei principi di minimizzazione e proporzionalità

La società ha invocato il legittimo interesse ex art. 6, par. 1, lett. f), GDPR, sostenendo la necessità di liberare l’armadietto per assegnarlo a nuovi lavoratori. Il Garante ha escluso tale base giuridica, evidenziando che non era stato effettuato un bilanciamento preventivo documentato e che il ricorso al legittimo interesse non può operare come soluzione residuale in assenza di altre basi giuridiche applicabili.

È stato ritenuto altresì violato il principio di minimizzazione, poiché la finalità organizzativa perseguita poteva essere raggiunta con misure meno invasive, ad esempio mediante una diversa gestione dei tempi di svuotamento e la conservazione temporanea degli effetti personali invece della loro distruzione. Il Garante ha sottolineato che il lavoratore non poteva ragionevolmente attendersi l’apertura anticipata dell’armadietto prima dell’appuntamento concordato.

Esito del procedimento, violazioni accertate e sanzione

Il provvedimento conclude per l’illiceità del trattamento svolto da Cosmint S.p.A. in relazione agli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. b) e c), par. 2, e 13 GDPR. È stata inoltre accertata la violazione dell’art. 157 del Codice privacy, in relazione all’art. 166, comma 2, per il mancato riscontro alla richiesta di informazioni del Garante.

La contestazione relativa all’art. 9, par. 2, lett. b), GDPR è stata invece archiviata, poiché non è stato possibile accertare con precisione la presenza di dati particolari tra gli effetti contenuti nell’armadietto.

Ai fini della quantificazione, l’Autorità ha valorizzato la gravità delle violazioni, il carattere non occasionale del trattamento ai fini dell’istruttoria, la natura del contenuto sottratto alla disponibilità dell’interessato, la condotta della società e le sue condizioni economiche, tenendo conto anche della successiva cooperazione e dell’adozione di una regolamentazione interna sugli armadietti. È stata quindi irrogata a Cosmint S.p.A. una sanzione amministrativa pecuniaria di euro 6.600, con ordine di pagamento entro 30 giorni dalla notifica e con previsione della possibilità di definizione agevolata nei termini di legge.

Misure accessorie e mezzi di impugnazione

Il Garante ha disposto la pubblicazione dell’ordinanza ingiunzione sul sito istituzionale, nonché la pubblicazione del provvedimento e l’annotazione delle violazioni nel registro interno dell’Autorità. Avverso il provvedimento è ammessa opposizione all’autorità giudiziaria ordinaria ai sensi dell’art. 78 GDPR, degli artt. 152 Codice privacy e 10 d.lgs. 150/2011, entro 30 giorni dalla comunicazione, o 60 giorni se il ricorrente risiede all’estero.