Armadietti aziendali: quando il datore di lavoro può aprirli

Il Garante per la protezione dei dati personali, con il Provvedimento n. 462 del 18 giugno 2026, ha affrontato un tema destinato ad avere importanti ricadute pratiche per tutti i datori di lavoro, pubblici e privati: è possibile aprire l’armadietto assegnato a un dipendente? E, soprattutto, a quali condizioni?

Il caso esaminato dal Garante

La vicenda trae origine dal reclamo di un lavoratore assunto tramite agenzia di somministrazione.

Alla cessazione del rapporto di lavoro, il dipendente aveva concordato con la società le modalità per recuperare i propri effetti personali custoditi nell’armadietto aziendale. Per motivi familiari, aveva chiesto di rinviare più volte l’appuntamento, che era stato infine fissato per il 31 gennaio 2024.

Quando si è presentato in azienda, però, ha scoperto che il proprio armadietto era già stato aperto il giorno precedente, svuotato e che gli oggetti contenuti al suo interno erano stati eliminati.

Un elemento ha assunto particolare rilievo nella decisione del Garante: l’armadietto era assegnato esclusivamente al lavoratore ed era chiuso con un lucchetto personale, le cui chiavi erano nella sola disponibilità dell’interessato.

Perché l’apertura dell’armadietto riguarda il GDPR

Molti potrebbero ritenere che un armadietto aziendale appartenga semplicemente all’azienda e che il problema sia esclusivamente patrimoniale o disciplinare.

Il Garante ha invece richiamato un principio fondamentale del Regolamento (UE) 2016/679:

non conta soltanto la proprietà del bene, ma la possibilità che il suo contenuto consenta di conoscere informazioni riferibili a una persona identificata o identificabile.

All’interno di un armadietto personale possono infatti essere custoditi:

• effetti personali;

• farmaci;

• documenti;

• oggetti di uso quotidiano;

• beni di natura intima;

• materiali che possono rivelare abitudini, condizioni personali o aspetti della vita privata.

Di conseguenza, aprire l’armadietto significa accedere a dati personali.

Cosa ha fatto l’azienda

Dall’istruttoria è emerso che l’apertura è avvenuta:

• in assenza del lavoratore;

• il giorno precedente all’appuntamento già concordato;

• alla presenza di personale della sicurezza, manutenzione e servizi generali;

• con realizzazione di una registrazione video dell’operazione.

Secondo la società, l’intervento era motivato dalla necessità di rendere disponibile l’armadietto a un nuovo dipendente.

L’azienda ha inoltre dichiarato che:

• erano presenti beni aziendali;

• erano presenti oggetti strettamente personali;

• gli effetti rinvenuti sono stati successivamente distrutti, anche per ragioni igieniche.

Il filmato dell’apertura, invece, non è stato più reperibile perché registrato con lo smartphone personale di una collaboratrice che nel frattempo aveva cessato il rapporto con l’azienda.

La difesa della società

Nel corso del procedimento la società ha sostenuto che:

• gli armadietti erano destinati esclusivamente agli indumenti da lavoro;

• i lavoratori ricevevano verbalmente l’indicazione di non conservarvi beni personali;

• l’apertura era giustificata da esigenze organizzative;

• il GDPR non sarebbe stato applicabile perché gli oggetti presenti nell’armadietto non costituirebbero dati personali.

Queste argomentazioni non sono state condivise dal Garante.

Le violazioni accertate

L’Autorità ha individuato diverse violazioni della normativa in materia di protezione dei dati personali.

1. Mancanza di una regolamentazione chiara

L’azienda non aveva predisposto alcuna procedura scritta relativa agli armadietti.

Le semplici indicazioni verbali non soddisfano gli obblighi di trasparenza previsti dal GDPR.

Una corretta regolamentazione dovrebbe indicare almeno:

• finalità dell’assegnazione;

• modalità di utilizzo;

• eventuali limitazioni;

• casi eccezionali di apertura;

• procedure da seguire alla cessazione del rapporto di lavoro;

• tempi di svuotamento;

• modalità di gestione degli oggetti rinvenuti.

2. Assenza di una valida base giuridica

La società aveva richiamato il proprio legittimo interesse alla gestione degli spazi aziendali.

Il Garante ha però evidenziato che tale interesse deve essere preceduto da un effettivo test di bilanciamento tra le esigenze organizzative dell’azienda e i diritti del lavoratore.

Nel caso concreto tale valutazione non era stata svolta né documentata.

3. Violazione dei principi di correttezza e trasparenza

Il lavoratore:

• non era stato informato dell’intenzione di aprire l’armadietto;

• aveva già concordato una data per il ritiro dei propri beni;

• si è visto aprire l’armadietto il giorno precedente all’appuntamento.

Secondo il Garante, esistevano modalità meno invasive per raggiungere l’obiettivo organizzativo perseguito dall’azienda.

4. Violazione del principio di minimizzazione

Il GDPR impone di trattare soltanto i dati strettamente necessari.

Nel caso in esame l’apertura anticipata dell’armadietto e la distruzione del contenuto sono state considerate misure sproporzionate rispetto all’esigenza di liberare uno spazio aziendale.

5. Mancata collaborazione con il Garante

Nel corso dell’istruttoria la società non aveva risposto alla richiesta di informazioni inviata dal Garante tramite PEC.

Le informazioni sono state acquisite solo dopo l’intervento del Nucleo Speciale Privacy e Frodi Tecnologiche della Guardia di Finanza.

Anche questa circostanza ha inciso negativamente nella valutazione finale.

La decisione del Garante

Con il Provvedimento n. 462 del 18 giugno 2026 il Garante ha dichiarato illecito il trattamento dei dati personali effettuato dalla società.

Secondo l’Autorità, costituiscono trattamento di dati personali:

• l’apertura dell’armadietto;

• l’esame del contenuto;

• la registrazione video dell’operazione;

• la gestione e la distruzione degli oggetti rinvenuti.

Tutte queste attività devono quindi rispettare i principi del GDPR.

La sanzione

Alla società è stata applicata una sanzione amministrativa di 6.600 euro.

Nel determinare l’importo il Garante ha considerato:

Elementi aggravanti

• violazione dei principi fondamentali del GDPR;

• assenza di informativa;

• mancata collaborazione iniziale con l’Autorità;

• apertura dell’armadietto nonostante fosse già stato concordato il ritiro degli effetti personali.

Elementi attenuanti

• successiva collaborazione durante il procedimento;

• adozione di una procedura interna per la gestione degli armadietti;

• predisposizione di istruzioni scritte per il personale.

Quali indicazioni pratiche per datori di lavoro e P.A.?

Questo provvedimento offre indicazioni estremamente utili anche alle scuole, agli enti pubblici e a tutte le organizzazioni che mettono a disposizione armadietti o spazi personali ai propri dipendenti.

È opportuno prevedere:

• un regolamento interno dedicato;

• un’informativa specifica;

• procedure documentate per l’eventuale apertura degli armadietti;

• la preventiva informazione dell’interessato, salvo casi eccezionali;

• la presenza di adeguate garanzie durante l’apertura;

• una disciplina chiara per la cessazione del rapporto di lavoro e per il recupero degli effetti personali.

L’accesso dovrebbe rappresentare una misura eccezionale, da utilizzare soltanto quando realmente necessario e nel rispetto dei principi di liceità, correttezza, trasparenza e proporzionalità previsti dal GDPR.

Le considerazioni di ScuolaHub

Il provvedimento del Garante conferma un principio spesso sottovalutato: la tutela della privacy non riguarda soltanto documenti, banche dati e strumenti informatici, ma anche gli spazi fisici messi a disposizione del lavoratore.

Per dirigenti scolastici, direttori amministrativi, responsabili delle risorse umane e DPO, questa decisione rappresenta un’importante occasione per verificare se le procedure interne siano realmente conformi alla normativa.

Molte organizzazioni dispongono di armadietti assegnati al personale, ma poche hanno definito regole chiare sulla loro gestione. Una semplice procedura interna, predisposta prima che si verifichi una criticità, può evitare contenziosi, sanzioni e violazioni della riservatezza dei lavoratori.

Riferimento normativo

Garante per la protezione dei dati personali – Provvedimento n. 462 del 18 giugno 2026 – Apertura di armadietto aziendale assegnato a un lavoratore e trattamento illecito di dati personali.