Armadietti aziendali e privacy: sanzionata l’apertura senza preavviso

Un lavoratore somministrato, cessato dal rapporto, aveva concordato con l’agenzia per il lavoro un appuntamento per svuotare il proprio armadietto aziendale, chiuso con un lucchetto personale.

L’azienda utilizzatrice ha però aperto l’armadietto il giorno prima dell’appuntamento, in assenza dell’interessato. Quattro persone hanno verificato il contenuto, documentando le operazioni con un video, e gli oggetti rinvenuti sono stati successivamente distrutti. Tra questi, secondo quanto dichiarato dalla stessa società, vi erano anche effetti di uso strettamente personale e intimo.

L’Autorità ha respinto la tesi della società secondo cui l’operazione sarebbe stata fuori dal perimetro del GDPR perché non avrebbe riguardato un archivio né dati personali in senso proprio.

Al contrario, il Garante ha chiarito che:

• gli oggetti conservati in un armadietto personale, come abbigliamento, farmaci, assorbenti igienici, cosmetici ed effetti intimi, possono rivelare informazioni su una persona identificata e rientrare quindi nella nozione di dato personale;
• l’apertura dell’armadietto, la ricognizione e la registrazione video del suo contenuto, nonché la successiva distruzione, costituiscono un trattamento di dati personali;
• il legittimo interesse invocato dall’azienda non era stato previamente sottoposto a un test di bilanciamento documentato con i diritti e le libertà dell’interessato;
• l’ex dipendente non poteva ragionevolmente attendersi che l’armadietto venisse aperto in sua assenza prima dell’appuntamento concordato.

Nel rapporto di somministrazione, l’azienda utilizzatrice ha operato come titolare autonomo del trattamento: aveva infatti messo a disposizione l’armadietto e aveva determinato finalità e modalità della sua apertura, dello svuotamento e della distruzione del contenuto. L’agenzia per il lavoro aveva svolto esclusivamente una funzione di contatto con l’ex dipendente. La responsabilità per quanto avvenuto nei locali aziendali è rimasta quindi in capo all’utilizzatrice.

La società è stata sanzionata per 6.600 euro per la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione, per l’assenza di una base giuridica e dell’informativa prevista dall’art. 13 GDPR, nonché per il mancato riscontro alle richieste di informazioni dell’Autorità. Il Garante ha inoltre disposto la pubblicazione dell’ordinanza ingiunzione.

Se in azienda sono presenti spogliatoi con armadietti individuali assegnati ai dipendenti, è opportuno verificare che siano stati predisposti:+

• un’informativa scritta, e non soltanto istruzioni orali, sull’uso consentito dell’armadietto e sulle modalità e tempistiche di svuotamento alla cessazione del rapporto;
• una procedura formalizzata per la riconsegna dell’armadietto, con un termine certo comunicato al lavoratore prima di qualunque apertura;
• il divieto di aprire l’armadietto prima della data concordata con l’interessato, anche in presenza di esigenze organizzative;
• modalità di gestione che prevedano la conservazione del contenuto rinvenuto, anziché la sua distruzione autonoma, mettendolo a disposizione dell’ex dipendente.

Il provvedimento evidenzia infatti che le esigenze organizzative connesse alla riassegnazione degli armadietti non possono eliminare ogni spazio di riservatezza del lavoratore né giustificare automaticamente l’apertura e la distruzione dei suoi effetti personali.

È inoltre opportuno coordinare la procedura tra HR, responsabili degli spazi aziendali, security, DPO o referente privacy ed eventuali agenzie per il lavoro, definendo con chiarezza ruoli, comunicazioni e responsabilità.