[doc. web n. 10268633]

Provvedimento del 18 giugno 2026

Registro dei provvedimenti
n. 462 del 18 giugno 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente e il dott. Agostino Ghiglia, componenti e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (di seguito, “Regolamento”);

VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);

VISTO il reclamo presentato dal Sig. XX nei confronti di Cosmint S.p.A.;

ESAMINATA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la prof.ssa Ginevra Cerrina Feroni;

PREMESSO

1.  Il reclamo nei confronti della Società e l’attività istruttoria.

Con reclamo del 18 aprile 2024, regolarizzato il 29 gennaio 2025, il Sig. XX ha lamentato presunte violazioni del Regolamento da parte di Cosmint S.p.A. (di seguito, la Società), con particolare riferimento all’avvenuta apertura dell’armadietto personale, dopo la cessazione del rapporto di lavoro, in sua assenza, e alla successiva apprensione e distruzione del relativo contenuto. 

In particolare, con il reclamo è stato rappresentato che l’interessato, dopo aver appreso, in data 29/12/2023, dalla società somministratrice XX, che il 31/12/2023 sarebbe cessato il rapporto di lavoro con la Società Cosmint, ha interloquito con un esponente della predetta società somministratrice, circa le modalità dello svuotamento dell’armadietto a suo tempo assegnato nel corso del rapporto di lavoro. 

Secondo quanto rappresentato, il reclamante ha potuto recarsi presso la sede della Società solo in data 31 gennaio 2024, a causa di urgenti necessità familiari determinate dallo stato di salute del padre, dei quali aveva informato la società di somministrazione.

Solo in tale occasione, ha appreso che, nel frattempo, l’armadietto era stato aperto e vuotato del suo contenuto e che tale contenuto non era più disponibile in quanto gettato via dopo lo svuotamento.

L’Ufficio ha avviato un’istruttoria preliminare, con note del 27 marzo 2025, inviate alla società di somministrazione XX e a Cosmint S.p.A., utilizzatrice nel contratto di somministrazione di lavoro, con le quali le società sono state invitate a fornire informazioni ai sensi dell’art. 157 del Codice sui fatti oggetto di reclamo.

XX, con riscontro del 15 aprile 2025, ha dichiarato che: 

- nel rapporto di somministrazione di lavoro l’agenzia per il lavoro non è responsabile di quanto avviene nei locali dell’azienda utilizzatrice; (nota 15/4/2025, p. 2);

- in base all’art. 4 del Codice di Condotta per il settore delle Agenzie per il Lavoro, “tra l’APL e l’azienda utilizzatrice (Cliente) si instaura una relazione di Titolarità autonoma (Titolare-Titolare) in quanto entrambi i soggetti determinano le finalità e le modalità dei propri trattamenti” (nota cit., p. 2);

- ciò posto, anche alla luce delle condizioni generali del contratto di somministrazione stipulato nel caso concreto tra le parti emerge che spetta all’azienda utilizzatrice “definire e attuare le procedure legate alla restituzione dei beni aziendali forniti al lavoratore somministrato” (nota cit., p. 3);

- “XX ha posto in essere tutto quanto possibile per consentire al [reclamante] di procedere al ritiro dei propri effetti personali, al mero scopo di agevolare il dialogo tra il [reclamante] e [la Società]” (nota cit., p. 3);

- “una volta cessato il contratto di lavoro, XX non aveva alcun obbligo nei confronti del [reclamante], diventando sostanzialmente un terzo nei suoi confronti. […] ogniqualvolta il [reclamante] confermava l’appuntamento per il ritiro dei suoi effetti, l’Account Specialist XX procedeva contattando l’ufficio Security e la guardiania dell’utilizzatore, cosicché fossero informati dell’entrata di un soggetto - ormai - non più autorizzato ad accedere” (nota cit., p. 4);

- “in data 29 dicembre 2023, l’Account Specialist XX informava il [reclamante] che il relativo contratto di lavoro non sarebbe stato prorogato e sarebbe quindi cessato in data 31 dicembre 2023. […] Lo stesso giorno […] il [reclamante] comunicava il proprio stato di malattia inviando il relativo protocollo […] dal 29/12 al 31/12/23; In data 30 dicembre 2023 l’Account Specialist XX ricordava al [reclamante] che questi avrebbe dovuto concordare nel mese di Gennaio un appuntamento per poter ritirare i suoi effetti personali dall'armadietto” (nota cit., p. 4);

- l’esponente di XX ha poi comunicato via e-mail, all’ufficio sicurezza della Società, che il reclamante si sarebbe presentato in azienda, per la restituzione del badge e lo svuotamento dell’armadietto, rispettivamente in data 3, 11 e 15 gennaio, date poi annullate dal reclamante mediante comunicazioni tramite whatsapp; il 29 gennaio 2024 il reclamante ha ricontattato l’esponente di XX comunicando che si sarebbe recato in azienda il 31 gennaio; pertanto; “in data 31 gennaio 2024 l’Account Specialist XX procedeva ad informare nuovamente l’ufficio Security Cosmint dell’arrivo del [reclamante] […] per la restituzione del badge ed il ritiro degli effetti personali dall’armadietto”; (nota cit., p. 5);

- il 31 gennaio il reclamante ha informato “di essersi recato […] presso la sede di Cosmint S.p.A. e di aver appreso in tale contesto che lo svuotamento del proprio armadietto avesse già avuto luogo […]. L'Account Specialist […] - nonostante l’assenza di alcun obbligo in tal senso ma esclusivamente mosso da spirito di collaborazione e buona fede - inviava una richiesta di chiarimenti/informazioni all’ufficio Security ed alla guardiania di Cosmint […]. Nessuna risposta veniva ricevuta” (nota cit., p. 6);

- “si segnala come Cosmint non abbia in alcun modo informato XX del fatto che avrebbe proceduto all’apertura dell’armadietto anche in assenza del lavoratore, né in generale del fatto che l’apertura degli armadietti fosse una prassi adottata dall’azienda utilizzatrice” (nota cit., p. 6). 

Visto che, invece, la Società Cosmint non ha fornito alcun riscontro, a fronte della richiesta di informazioni formulata ai sensi dell’art. 157 del Codice, trasmessa tramite pec e regolarmente consegnata, l’Autorità ha delegato il Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza a notificare la comunicazione di avvio del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori ex art. 166, comma 5 del Codice (in relazione a quanto previsto dall’art. 166, comma 2, del Codice per la violazione dell’art. 157), nonché ad acquisire il riscontro sui fatti oggetto di reclamo, nei termini già formulati con la richiesta di informazioni del 27 marzo 2025. 

Il Nucleo, recatosi in data 9/7/2025 presso la sede legale della Società, ha proceduto alla notifica della comunicazione di avvio del procedimento e ha acquisito le informazioni richieste, relative ai fatti oggetto di reclamo, redigendo apposito verbale delle operazioni compiute. 

La Società Cosmint, nel fornire riscontro a quanto richiesto, ha dichiarato che: 

- “essendo una multinazionale riceve decine di PEC al giorno, il nostro personale […] ha sottovalutato quella inviata dall’Autorità o non ha capito che avremo dovuto dare riscontro” (verbale di operazioni compiute 9/7/2025, p. 3); 

- “tutti i nostri dipendenti al momento dell’inserimento in organico sono destinatari di un armadietto dove riporre esclusivamente capi di abbigliamento. […] l’armadietto dato in dotazione ha all’interno un comparto per l’abbigliamento personale ed un comparto per l’abbigliamento destinato al lavoro” (verbale cit., p. 3); 

- in relazione all’utilizzo dell’armadietto, il dipendente è informato oralmente che l’armadietto “è destinato solo a riporre i capi di abbigliamento e null’altro, come oggetti personali né tantomeno oggetti di valore per i quali la Società non si considera responsabile” (verbale cit., p. 3); 

- “gli armadietti sono assegnati tutti in maniera personale al dipendente. […] L’armadietto del reclamante, come tutti del resto, era chiuso con un lucchetto di sua proprietà e le chiavi dello stesso erano solo in possesso del reclamante” (verbale cit., p. 3); 

- la società di somministrazione provvede a fornire comunicazioni ai propri dipendenti “per ogni aspetto non riguardante direttamente lo svolgimento dell’attività lavorativa […]. In particolare, XX ha dichiarato alla scrivente, che in data 29/12/23 aveva comunicato al lavoratore […] la cessazione del contratto, contestualmente invitandolo a svuotare l’armadietto e restituire l’abbigliamento da lavoro fornito da Cosmint. […] XX aveva altresì avvisato la Security di Cosmint al fine di garantire l’accesso al lavoratore per il giorno 3/1/2024 […]. Il giorno 3 gennaio il lavoratore chiedeva a XX di rinviare l’appuntamento, non potendo presentarsi. Veniva quindi fissato un secondo appuntamento per la data dell'11 gennaio, ugualmente disatteso. Ugualmente il lavoratore non si presentava ai successivi due appuntamenti da lui fissati con XX il giorno 15 e il giorno 31 gennaio. All’inizio del mese di febbraio il [reclamante] contattava XX per venire a recuperare i suoi effetti, che nel frattempo erano stati rimossi dall’armadietto per poter fare spazio a nuovo lavoratore inserito che altrimenti ne sarebbe stato sprovvisto.” (verbale cit., p. 3-4); 

- “l’apertura dell’armadietto è avvenuta in data 30/01/24, alla presenza del responsabile alla Security di Cosmint […], della coordinatrice della sicurezza di Cosmint […], di un addetto alla manutenzione di Cosmint […] e del coordinatore dei sevizi generali Cosmint […]” (verbale cit., p. 4) … [ed] è stata motivata dalla necessità di liberare lo spazio per i lavoratori subentranti” (verbale cit., p. 4); 

- “all’apertura dell’armadietto, per una tutela della nostra società fu effettuato un video dal quale si evinceva, chiaramente, che all’interno dello stesso non ci fossero i beni paventati dal reclamante. Il video fu effettuato da quella che all’epoca era la coordinatrice della sicurezza (affidata a società appaltatrice […] con il suo smartphone personale. Oggi la nostra società non collabora più con quella che era la società che si occupava della sicurezza” pertanto non è più possibile recuperare il video (verbale cit., p. 4); 

- “Si tenga conto che nello spogliatoio di Cosmint gravitano circa 550 lavoratori e che vi è un significativo turnover delle risorse, soprattutto in alcuni momenti dell'anno” (verbale cit., p. 4); 

- “Sono stati rinvenuti i seguenti beni: beni di proprietà aziendali (prodotti finiti) […], che sono stati distrutti non potendo più essere immessi sul mercato, […]; Oggetti di uso strettamente personale/intimo […], la cui conservazione da parte della società anche per questioni igieniche non era praticabile” (verbale cit., p. 4).

2. L’avvio del procedimento per l’adozione dei provvedimenti correttivi e le deduzioni della Società.

Il 29 agosto 2025, l’Ufficio ha effettuato, ai sensi dell’art. 166, comma 5, del Codice, la notificazione Cosmint S.p.A. delle presunte violazioni del Regolamento in merito ai fatti oggetto del reclamo, con riferimento agli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. b) e c), par. 2 e 9, par. 2, lett. b) e 13 del Regolamento.

Con memorie difensive inviate in data 26 settembre 2025, la Società ha rappresentato che:

- “le comunicazioni inerenti alla cessazione del rapporto e le relative modalità operative sono state gestite esclusivamente da XX, ferma restando la piena collaborazione della Società nell’assicurare un ordinato svolgimento delle attività aziendali” (nota 26/9/2025, p. 2);

- “Con riferimento alla contestata violazione dell’art. 157 del Codice, la Società tiene a precisare che l’omesso riscontro è dipeso esclusivamente da un mero disguido, senza alcuna finalità elusiva […] La Società ha disposto affinché su base settimanale venga preparata una comunicazione interna riassuntiva con elencazione delle comunicazioni PEC di carattere rilevante,” (nota cit., p. 3);

- “All’interno dei locali aziendali sono stati collocati armadietti individuali, messi a disposizione dei lavoratori per finalità esclusivamente connesse all’attività lavorativa […] e non destinati a un uso personale o alla conservazione di beni di valore. Per questi ultimi, peraltro, la Società rende disponibili appositi spazi per la salvaguardia degli oggetti di valore diversi dagli indumenti” (nota cit., p. 3);

- il lavoratore “provvede autonomamente alla chiusura mediante lucchetto, restando le relative chiavi nella sua esclusiva disponibilità. La Società non ha mai avuto accesso al contenuto degli armadietti, né ha posto in essere alcuna attività di apertura o controllo degli stessi” (nota cit., p. 4);

- “Nel caso di specie, il tempo intercorso tra la prima richiesta di XX all’Interessato di sgomberare l’armadietto e l’effettivo sgombero dello stesso è stato di circa un mese durante il quale il [reclamante] ha dapprima rinviato ripetutamente gli appuntamenti concordati e, a distanza di due settimane di silenzio, si è recato autonomamente presso la sede della Società per la liberazione dell’armadietto” (nota cit., p. 4);

- “il 29 dicembre 2023, XX, […], invitava il [reclamante] a svuotare l’armadietto, necessario per l’assegnazione a nuovi dipendenti, ribadendo l’urgenza già per il 30 dicembre 2023 (ultimo giorno di lavoro). Il [reclamante] dichiarava tuttavia di non voler rientrare l’ultimo giorno di lavoro e, pertanto, di non procedere alla liberazione dell’armadietto nell’immediatezza. Successivamente, in data 3 gennaio 2024, XX convocava il [reclamante] per la riconsegna del tesserino e lo svuotamento dell’armadietto, ma l’appuntamento veniva rinviato su richiesta del lavoratore per motivi familiari. Fissato un nuovo incontro per l’11 gennaio 2024, lo stesso non veniva rispettato, così come il successivo appuntamento del 15 gennaio 2024, giustificato […] con generici motivi personali” (v. nota cit., p. 4);

- “la Società eccepisce il difetto di applicabilità ratione materiae del Regolamento, poiché il trattamento di dati oggetto di contestazione (i) è stato effettuato dalla Società senza l’ausilio di strumenti automatizzati e (ii) i dati trattati non erano contenuti in un archivio, né destinati ad esserlo” (v. nota cit., p. 5);

- “L’articolo 2, par. 1, del Regolamento perimetra, infatti, il proprio ambito applicativo alle sole ipotesi di trattamento “interamente o parzialmente automatizzato” e, quanto ai trattamenti non automatizzati, solo se i dati “formano parte di un archivio o sono destinati a figurarvi”.  (v. nota cit., p. 5-6) “degli oggetti rinvenuti nell’armadietto non è stato fatto un inventario, né le relative informazioni sono state documentate o altrimenti archiviate. Il trattamento contestato: (i) è avvenuto, quindi, esclusivamente in forma manuale; (ii) ha avuto carattere episodico; (iii) non ha dato luogo ad alcuna raccolta in fascicoli o rubriche strutturate né era destinato a confluire in simili raccolte.” (v. nota cit., p. 6);

- con riguardo alla nozione di “dato personale” ex art. 4, n. 1, del Regolamento, la Società ha rappresentato che “gli oggetti rinvenuti all’interno dell’armadietto aziendale non costituiscono in alcun modo “dati personali”, tanto meno dati particolari ai sensi dell’art. 9 del Regolamento, trattandosi di meri beni materiali privi della capacità di identificare, direttamente o indirettamente, il relativo titolare degli stessi. Il rinvenimento di capi di biancheria intima o oggetti di altra natura, infatti, non implica di per sé il trattamento dei dati personali ai sensi dell’art. 4 del Regolamento” (v. nota cit., p. 7-8);

- “specifiche istruzioni sull’uso degli armadietti sono sempre state impartite in forma orale a tutto il personale in sede di assunzione o assegnazione o avvio all’attività lavorativa; in ogni caso [la Società] si è prontamente attivata per formalizzare – e implementare apposita policy interna in relazione alle regole sull’utilizzo degli armadietti aziendali, così da recepire integralmente le osservazioni dell’Autorità […]; quanto sopra viene condiviso con le società somministratrici al fine di coordinarsi con queste ultime circa le modalità e i tempi di utilizzo, nonché di liberazione degli armadietti aziendali” (v. nota cit., p. 9);

- quanto alla base giuridica del trattamento effettuato “la condotta della Società – quand’anche integrasse un trattamento soggetto all’applicazione del Regolamento - sia invece pienamente riconducibile al legittimo interesse del titolare del trattamento, ai sensi dell’art. 6, par. 1, lett. f), del Regolamento.” (v. nota cit., p. 9);

- “il bilanciamento pende inequivocabilmente a favore della legittimità della condotta della Società, in quanto: a) l’apertura dell’armadietto è stata limitata a circostanze del tutto eccezionali, riguardando un singolo lavoratore cessato dal rapporto; b) l’operazione è stata svolta per finalità esclusivamente organizzative e non per raccogliere o trattare dati personali; c) al fine di garantire ai nuovi lavoratori assunti le stesse prerogative riconosciute al [reclamante] si è reso necessario procedere alla liberazione dell’armadietto altrimenti inutilmente occupato; c) non è stata realizzata alcuna attività sistematica o di monitoraggio dei dipendenti; d) l’impatto sui diritti dell’Interessato è stato minimo e proporzionato,; e) l’Interessato poteva ragionevolmente attendersi l’intervento della Società volto alla liberazione dell’armadietto considerato il tempo trascorso dalla prima richiesta di XX e la sua mancanza di collaborazione.” (v. nota cit., p. 10);

- in conclusione la Società ha chiesto di “accertare e dichiarare l’insussistenza delle condizioni e dei requisiti previsti dal Regolamento – e in particolare dal combinato disposto degli articoli 2, par.1, e 4 - ai fini dell’applicazione delle relative norme al caso in esame; o, comunque, - valutare la condotta della Società conforme al Regolamento ed alle leggi italiane in materia di protezione dei dati personali” (v. nota cit., p. 11)

3. L’esito dell’istruttoria e del procedimento per l’adozione dei provvedimenti correttivi e sanzionatori.

3.1 Il quadro normativo applicabile.

Il datore di lavoro privato può trattare lecitamente (art. 5, par. 1, lett. a) del Regolamento) i dati personali dei lavoratori, anche relativi a “categorie particolari”, di regola, se il trattamento è necessario “per adempiere un obbligo legale al quale è soggetto il titolare del trattamento” oppure, in caso di trattamento di dati personali “comuni”, anche se il trattamento è necessario “all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di misure precontrattuali adottate su richiesta dello stesso” (artt. 6, par. 1, lett. b) e c), e 2 e 3, e art. 9, parr. 2, lett. b) e 4).

Il titolare del trattamento è altresì tenuto ad osservare i principi generali della materia, in particolare quello di “liceità, correttezza e trasparenza” e di “minimizzazione dei dati” (art. 5, par. 1, lett. a) e c) del Regolamento).

In base all’art. 13 del Regolamento il titolare del trattamento è tenuto a fornire all’interessato, prima dell’inizio dei trattamenti, informazioni sulle caratteristiche essenziali dei trattamenti stessi, indicate nel medesimo articolo.

3.2. Questioni preliminari: titolarità del trattamento e applicabilità del Regolamento ai fatti oggetto di reclamo.

Si premette che, in relazione ai fatti oggetto di reclamo, all’esito dell’istruttoria è emerso che Cosmint S.p.A. risulta aver operato in qualità di titolare del trattamento (art. 4, n. 7 del Regolamento), in quanto ha messo a disposizione del reclamante (e degli altri lavoratori), all’interno di locali aziendali a ciò dedicati, un armadietto, dotato di lucchetto, nel quale riporre i propri oggetti personali e, dopo la cessazione del rapporto di lavoro, ha provveduto all’apertura dell’armadietto stesso, nonché alla rimozione e distruzione degli effetti ivi contenuti, determinando pertanto le finalità e i mezzi del trattamento, avvalendosi della società di somministrazione, esclusivamente per mantenere i contatti con il reclamante.

Ciò posto, si rileva preliminarmente che la Società ha ritenuto, con le memorie difensive, che la condotta oggetto del procedimento avviato davanti al Garante non rientrerebbe tra i trattamenti ai quali il Regolamento si applica in base all’art. 2, par. 1 dello stesso, a tenore del quale “Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi”. 

Inoltre, sempre secondo quanto dedotto dalla Società, “gli oggetti rinvenuti all’interno dell’armadietto aziendale non costituiscono in alcun modo “dati personali” […] trattandosi di meri beni materiali privi della capacità di identificare, direttamente o indirettamente, il relativo titolare degli stessi”.

L’interpretazione proposta dalla Società non può essere accolta.

In primo luogo, si rammenta che, come già stabilito dalla Corte di Giustizia (v. sentenza 7/3/2024, causa C-740/22, Endemol Shine Finland Oy), al fine di interpretare l’art. 2, par. 1 e l’art. 4, punto 2) del Regolamento, e accertare se determinate condotte costituiscano un trattamento di dati personali, “occorre tenere conto non solo della loro formulazione ma anche del contesto in cui esse si inseriscono e degli obiettivi che persegue la normativa di cui esse fanno parte”.

Nel caso di specie, la Società ha disposto che il 30/1/2024 quattro operatori (il responsabile alla Security, la coordinatrice della sicurezza, un addetto alla manutenzione e il coordinatore dei servizi generali) procedessero, in assenza dell’interessato, all’apertura dell’armadietto personale del reclamante, chiuso con un lucchetto le cui chiavi erano poste nella esclusiva disponibilità di quest’ultimo, ne verificassero il contenuto, documentando altresì le operazioni con una ripresa video preordinata alla “tutela della […] società” e, dopo lo svuotamento dello stesso e ne distruggessero il contenuto (v. verbale operazioni compiute 9/7/2025, p. 4). 

Pertanto, in base a quanto dichiarato dalla Società, sotto la propria responsabilità, al Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza, non può essere accolto quanto in proposito riportato nelle memorie difensive, ossia che “degli oggetti rinvenuti nell’armadietto non è stato fatto un inventario, né le relative informazioni sono state documentate o altrimenti archiviate” (memorie difensive 26/9/2025, p. 6).

L’apertura dell’armadietto ha invece comportato la ricognizione del suo contenuto che, secondo quanto dichiarato dalla stessa Società, consisteva anche di “[o]ggetti di uso strettamente personale/intimo” (v. verbale cit., p. 4). 

D’altra parte, più in generale, la funzione dell’armadietto personale è proprio quella di custodire abbigliamento e accessori utilizzati per recarsi sul posto di lavoro, nonché oggetti e/o elementi utili, anche nelle pause consentite dell’attività lavorativa o al termine dell’orario di lavoro (es., a titolo esemplificativo, biancheria di ricambio, farmaci, assorbenti igienici, cosmetici), dai quali è certamente possibile trarre informazioni riguardanti una persona fisica - identificata quale assegnataria dell’armadietto - relative a stati propri dell’interessato (anche di salute) o sue situazioni personali, abitudini e/o preferenze. Tali informazioni rientrano quindi nella definizione di “dato personale” contenuta nell’art. 4, n. 1) del Regolamento: “qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente”.

Si rammenta, in proposito, che il Garante, con un proprio provvedimento relativo ad uno specifico caso concreto, ha, in passato, considerato illecito l’obbligo per i dipendenti di “esporre sul tavolo di lavoro oggetti prettamente personali quali medicinali, presidi medici, assorbenti, salviette umidificate, che il lavoratore utilizza nel corso della prestazione lavorativa […] senza la possibilità di posizionare tali oggetti all’interno di astucci o comunque contenitori di piccole dimensioni al fine di sottrarli alla visibilità altrui (di colleghi e superiori gerarchici) con conseguente possibilità per costoro di apprendere, indirettamente, stati o situazioni personali o informazioni relative allo stato di salute estranei al contenuto della prestazione lavorativa e lesive della dignità e riservatezza del dipendente” (Provv. 26/11/2020, n. 235, doc. web n. 9509515).

Visto inoltre che, in base all’art. 4, n. 2) del Regolamento, vi è trattamento di dati personali qualora sia effettuata “qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione”, la condotta della Società, consistente nella apprensione, registrazione video contenuti nell’armadietto, a suo tempo assegnato al reclamante, ha comportato un trattamento di dati personali.

D’altra parte la nozione di “trattamento di dati personali” ha una portata ampia, come emerge dall’espressione “qualsiasi operazione” seguita da una elencazione non tassativa di possibili operazioni di trattamento, significativamente preceduta dalla parola “come” (v. Corte di Giustizia, sentenze 22 febbraio 2022, causa C-175/20 e 22 giugno 2023, causa C-579/21), pertanto la descritta condotta della Società è riconducibile a “qualsiasi altra forma di messa a disposizione” e nella successiva “distruzione” di dati personali ricavati dal contenuto dell’armadietto.

In tale contesto, deve essere letto e correttamente interpretato l’art. 2, par. 1 del Regolamento, laddove prevede che il Regolamento stesso “si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi”, posto che anche la nozione di “archivio” deve essere intesa in senso ampio (v. Corte di Giustizia, sentenza 10 luglio 2018, C-25/17).

Nel caso di specie, l’apertura dell’armadietto e l’attività di ricognizione del suo contenuto e degli effetti ivi presenti, nonché la memorizzazione, attraverso una ripresa video destinata a inventariare, a tutela della Società, gli effetti rinvenuti, ha pertanto comportato un trattamento di dati personali.

3.3. Assenza di informativa sull’uso dell’armadietto: violazione dell’art. 13 del Regolamento.

Accertata, dunque, l’applicabilità del Regolamento al caso di specie e l’effettuazione di un trattamento di dati personali, nel merito, all’esito dell’esame delle dichiarazioni rese all’Autorità nel corso del procedimento nonché della documentazione acquisita, risulta che la Cosmint S.p.A., in qualità di titolare, ha effettuato alcune operazioni di trattamento, riferite al reclamante, che risultano non conformi alla disciplina in materia di protezione dei dati personali.

In proposito, si evidenzia che, salvo che il fatto non costituisca più grave reato, chiunque, in un procedimento dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi ne risponde ai sensi dell'art. 168 del Codice “Falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante”.

È emerso, in particolare, che in occasione della cessazione del rapporto di lavoro con il reclamante, a suo tempo instaurato mediante un contratto di somministrazione, la società somministratrice XX (che aveva pure provveduto a comunicare il 29 dicembre 2023, tramite WhatsApp, che il contratto, in scadenza il successivo 31 dicembre, non sarebbe stato rinnovato dall’utilizzatore) ha chiesto al reclamante di recarsi presso i locali della Società (utilizzatrice nel contratto di somministrazione) per procedere, tra l’altro, allo svuotamento dell’armadietto personale utilizzato dal dipendente, nel corso dell’attività lavorativa. 

Successivamente alla disdetta, da parte del reclamante, di tre appuntamenti fissati per l’accesso in azienda (a causa, secondo quanto rappresentato da quest’ultimo alla società somministratrice, della necessità di far fronte alle condizioni di salute del padre, ricoverato in ospedale in una diversa regione), rispettivamente il 3, l’11 e il 15 gennaio 2024, la società di somministrazione, in data 31 gennaio 2024, previo accordo con il reclamante, aveva comunicato alla Società, con le medesime modalità usate in precedenza, che l’interessato si sarebbe recato la mattina stessa per procedere allo svuotamento dell’armadietto.

Tuttavia la Cosmint, in data 30 gennaio 2024, ossia il giorno precedente a quello dell’appuntamento fissato presso i locali aziendali, ha effettuato l’apertura dell’armadietto, in assenza dell’interessato e alla presenza di quattro tra dipendenti e collaboratori, ne ha verificato il contenuto che è stato rimosso, procedendo successivamente alla sua eliminazione. 

Con riferimento ai fatti oggetto del procedimento, risulta accertato, in primo luogo, che la Società non ha predisposto alcuna regolamentazione interna circa l’uso corretto dell’armadietto aziendale, da fornire ai lavoratori, pur trattandosi di un arredo che, sebbene riservato all’esclusiva disponibilità dei lavoratori stessi - considerato anche che per la chiusura degli armadietti i dipendenti provvedono ad applicare un lucchetto le cui chiavi rimangono nella esclusiva disponibilità del lavoratore –, è pur sempre posto all’interno dei locali aziendali (in particolare degli spogliatoi), per scopi legati all’organizzazione del lavoro in azienda (utilizzo di indumenti da lavoro per lo svolgimento dell’attività lavorativa). 

La necessità di fornire istruzioni e informazioni relative all’utilizzo di arredi collocati in spazi aziendali utilizzati per il ricovero di oggetti strettamente personali dei lavoratori (abbigliamento non lavorativo e anche altri effetti personali utilizzati per recarsi al lavoro o nelle pause consentite dell’attività lavorativa) deriva anche dalla circostanza che tali oggetti, come già argomentato nel precedente paragrafo, sono idonei a fornire informazioni riguardanti la persona fisica, in base alla richiamata definizione di “dato personale” e di “trattamento” contenuta nel Regolamento (v. artt. 4, n. 1) e 2). 

Secondo quanto emerso nel corso dell’attività istruttoria, nessuna informazione è stata resa al reclamante e agli altri interessati, se non oralmente, dunque con modalità (peraltro non documentate) inidonee a soddisfare le esigenze di trasparenza che connotano l’ambito della protezione dei dati personali. 

Ciò, inoltre, nonostante la presenza di un’ampia platea di interessati coinvolti (“nello spogliatoio di Cosmint gravitano circa 550 lavoratori”) ed una organizzazione del lavoro caratterizzata da un “significativo turnover […], soprattutto in alcuni momenti dell'anno”, con conseguente necessità di procedere al rapido avvicendamento nell’utilizzo degli armadietti presenti all’interno degli spogliatoi. 

Inoltre la circostanza che la Società “non si considera responsabile” della sorte di eventuali oggetti di valore riposti negli armadietti stessi e che non avrebbe consentito la conservazione negli armadietti di “oggetti personali” avrebbe dovuto essere rappresentata preliminarmente ai dipendenti attraverso una informativa idonea a rappresentare con chiarezza le modalità e l’uso consentito degli armadietti, nonché i tempi e le modalità del loro svuotamento, a seguito della cessazione del rapporto di lavoro,.

Oltre all’assenza di informativa di carattere generale sull’uso degli armadietti, da fornire al reclamante e agli altri lavoratori, prima della messa a disposizione degli stessi, nel caso concreto, la Società non ha provveduto ad avvisare il lavoratore che aveva urgenza di rientrare in possesso dell’armadietto e, di conseguenza, a fissare un termine ultimo entro il quale indefettibilmente lo svuotamento sarebbe dovuto avvenire. 

In proposito, anzi, l’esponente di XX, che ha agito da tramite - “al mero scopo di agevolare il dialogo” - tra il reclamante e la Società, ha dichiarato che il 30 dicembre 2023 “ricordava al [reclamante] che questi avrebbe dovuto concordare nel mese di Gennaio un appuntamento per poter ritirare i suoi effetti personali dall'armadietto” (enfasi aggiunta). Di conseguenza, il reclamante aveva ricevuto l’informazione che lo svuotamento sarebbe dovuto avvenire in un termine abbastanza ampio, ossia “entro il mese di gennaio”. 

Pertanto, in base all’esame degli atti del procedimento, non risulta che “l’Interessato poteva ragionevolmente attendersi l’intervento della Società volto alla liberazione dell’armadietto considerato il tempo trascorso dalla prima richiesta di XX e la sua mancanza di collaborazione”, come dedotto dalla Società nelle memorie difensive.

E in ogni caso, anche dopo l’avvenuta apertura dell’armadietto e il suo svuotamento, la Società non ha ritenuto di dover informare dell’accaduto l’interessato, né rivolgendosi direttamente all’ex dipendente, né per il tramite della società di somministrazione, la quale, invece, il giorno successivo all’avvenuto svuotamento dell’armadietto (31 gennaio 2024) ha inviato dapprima un'e-mail per avvertire che il reclamante si sarebbe recato in azienda (riscontro XX 15/4/2025, All. M) e, successivamente, dopo aver appreso da quest’ultimo, recatosi in azienda come concordato con XX, che l’armadietto era stato già aperto e svuotato, una seconda e-mail per chiedere come fosse possibile “recuperare i suoi effetti personali” (riscontro XX cit., All. O), senza ricevere risposta.

In base alle evidenze documentali, non risulta pertanto che il reclamante “a distanza di due settimane di silenzio, si è recato autonomamente presso la sede della Società per la liberazione dell’armadietto”, posto che l’appuntamento del 31 gennaio 2024 era stato concordato con la società di somministrazione e comunicato da quest’ultima alla Società. 

La condotta della Società non è stata pertanto conforme a quanto prescritto dalle norme poste in materia di protezione dei dati personali, laddove prevedono che il titolare del trattamento ha l’obbligo di fornire preventivamente informazioni relative agli aspetti principali del trattamento (art. 13 del Regolamento). 

Nell’ambito del rapporto di lavoro, l’obbligo di fornire all’interessato le informazioni relative ai trattamenti effettuati o che si riserva di effettuare il titolare/datore di lavoro è altresì espressione del principio generale di correttezza (art. 5, par. 1, lett. a) del Regolamento), principio che risulta violato nel caso di specie proprio alla luce dell’assenza di qualsiasi tentativo di avvisare l’interessato che la Società avrebbe proceduto all’apertura e allo svuotamento dell’armadietto e della decisione di distruggere gli effetti ivi rinvenuti invece, quantomeno, di conservarli a disposizione dell’ex dipendente.

Si prende atto che la Società, nel corso del procedimento, ha rappresentato di aver adottato “una regolamentazione interna sull’uso degli armadietti aziendali; è stato predisposto il modulo con le istruzioni per l’utilizzo dell’armadietto e le modalità e i tempi di liberazione dello stesso al termine dell’attività lavorativa; […] quanto sopra viene condiviso con le società somministratrici al fine di coordinarsi con queste ultime circa le modalità e i tempi di utilizzo, nonché di liberazione degli armadietti aziendali”.

3.4. Trattamento di dati in assenza di base giuridica e in violazione dei principi di minimizzazione e proporzionalità.

È dunque emerso che la Società ha acceduto al contenuto dell’armadietto, in data 30 gennaio 2024, rimuovendo il lucchetto apposto dall’ex dipendente, il giorno precedente l’ultimo appuntamento fissato per il tramite di XX, per la data del 31 gennaio 2024, data preannunciata da quest’ultima alla Società via e-mail, come per i precedenti appuntamenti, la mattina stessa del 31 gennaio h. 9.43 (v. All. 2, verbale di operazioni compiute 9/7/2025). 

Il dipendente, recatosi presso i locali della Società in data 31 gennaio, ha appreso dell’avvenuta apertura, rimozione e distruzione del contenuto conservato nell’armadietto a suo tempo assegnato. 

In relazione a tale condotta, si rileva che il trattamento di dati personali che ne è conseguito mediante l’apprensione delle informazioni, conseguente all’apertura dell’armadietto, relative al suo contenuto e agli effetti personali ivi conservati è avvenuto in assenza di base giuridica. 

Posto che, nell’ambito del rapporto di lavoro, i dati personali riferiti ai dipendenti possono essere trattati dal titolare del trattamento/datore di lavoro di regola solo in quanto ciò sia necessario per dare corretta esecuzione al rapporto di lavoro oppure per attuare previsioni contenute in leggi, regolamenti, contratti e accordi collettivi (v. artt. 6, par. 1, lett. b) e c), par. 2 e 9, par. 2, lett. b) del Regolamento, per ciò che riguarda i dati c.d. particolari), nel caso di specie, anche alla luce della assenza di regolamentazione relativa alla messa a disposizione di armadietti destinati ad essere chiusi con dispositivi (lucchetti) posti nella esclusiva disponibilità del lavoratore, non si rinviene l’applicabilità di alcuna delle basi giuridiche indicate nelle norme di riferimento.

Né può essere accolta la tesi della Società, prospettata nelle memorie difensive, in base alla quale il trattamento “quand’anche integrasse un trattamento soggetto all’applicazione del Regolamento - sia […] riconducibile al legittimo interesse del titolare del trattamento, ai sensi dell’art. 6, par. 1, lett. f), del Regolamento […] consistente nella necessità di garantire la corretta gestione e la disponibilità degli spazi aziendali a favore del personale in servizio e evitare l’occupazione indebita degli armadietti da parte di soggetti cessati dal rapporto di lavoro” (memorie difensive 26/9/2025, p. 10).

L’art. 6, par. 1, lett. f), del Regolamento, prevede, con esclusivo riferimento ai dati c.d. comuni, che un trattamento possa essere lecitamente effettuato qualora sia “necessario per il perseguimento del legittimo interesse del titolare del trattamento […] “a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato”. Pertanto il Regolamento prevede che il titolare, prima dell’inizio dei trattamenti, effettui un “test di bilanciamento” con i diritti e le libertà fondamentali dell’interessato.

In proposito la Società non ha previamente effettuato il bilanciamento con i diritti e le libertà fondamentali dell’interessato, posto che il test di bilanciamento deve consistere in un’attività di valutazione complessa, documentata in base al principio di “responsabilizzazione”, effettuata sulla base di una specifica metodologia adottata dal titolare, tenuto conto che il legittimo interesse, atteso il carattere oggettivamente ampio della relativa nozione, non può essere utilizzato come “ultima risorsa” qualora non risultino applicabili altre basi giuridiche (v. European data protection board, Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, Version 1.0, Adopted on 8 October 2024, punto 9; v., sul punto, Provv. 21/5/2025, n. 288, doc. web n. 10143261, punto 3.2. e Provv. 15/4/2021, n. 137, doc. web n. 9670738, punto 3.2.). 

Il legittimo interesse, inoltre, deve essere valutato alla luce della sua “necessità”, e del principio generale di minimizzazione (v., Corte di Giustizia, sentenza 4/7/2023, causa C-252-21, Meta Platform e a., punti 102-126, laddove - tra l’altro - si chiarisce che la necessità del trattamento per la realizzazione del legittimo interesse perseguito deve essere valutato anche alla luce del principio di minimizzazione, posto che il titolare deve verificare che “il legittimo interesse al trattamento dei dati perseguito non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti dagli articoli 7 e 8 della Carta”). La Corte di giustizia ha, inoltre, più volte affermato che gli interessi e i diritti fondamentali dell’interessato possono prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un trattamento siffatto (v. sentenza 4/10/2024, causa C-621-22, KNLTB, punto 45), e nel caso di specie l’interessato non poteva aspettarsi che l’armadietto sarebbe stato aperto in sua assenza prima dell’appuntamento concordato con la società di somministrazione.

Infine, in base al principio generale di minimizzazione e proporzionalità dei trattamenti (v. art. 5, par. 1, lett. c) del Regolamento), il titolare è tenuto a effettuare trattamenti di dati, in relazione a finalità determinate e legittime, che comportino un minore impatto sui diritti degli interessati, tenuto anche conto delle legittime aspettative di questi ultimi.

Nel caso di specie, la rappresentata necessità di lasciare ad altri lavoratori l’utilizzo di armadietti non può comportare l’eliminazione di ogni spazio di riservatezza e intimità, nonché la distruzione di effetti personali appartenenti all’interessato.

Pur prendendo atto che, negli atti del procedimento, si rinvengono dichiarazioni discordi tra le parti circa il contenuto dell’armadietto stesso, in ogni caso la medesima Società ha dichiarato che, tra gli oggetti rinvenuti, vi erano “oggetti di uso strettamente personale/intimo, […] la cui conservazione da parte della società anche per questioni igieniche non era praticabile” (verbale di operazioni compiute 9/7/2025, p. 4). 

Con ciò, si conferma quindi che l’apertura dell’armadietto ha inevitabilmente comportato un trattamento di dati personali, non necessario rispetto alle finalità perseguite e non proporzionato. 

Inoltre, la sottoposizione all'altrui conoscibilità di beni siffatti comporta una ingiustificata compressione dello spazio di riservatezza e di intimità sul luogo di lavoro, consentendo a terzi di apprendere informazioni normalmente tenute riservate dagli interessati nella vita di relazione, con conseguente violazione della dignità della persona, intesa come “valore costituzionale che permea di sé il diritto positivo” (v. Corte Cost., 17.7.2000, n.293; art. 1, Carta dei diritti fondamentali dell’Unione europea; art. 1 del Codice; v. altresì art. 88, par. 2 del Regolamento).

Nel corso del procedimento, non è stato possibile accertare l’esatto e completo contenuto dell’armadietto, al momento della sua apertura, di conseguenza non risulta accertabile se, tra i dati trattati, sebbene riferiti ad un “uso strettamente personale/intimo”, vi siano informazioni che rientrano anche nel novero dei “dati particolari”, individuati dall’art. 9, par. 1 del Regolamento. Di conseguenza, la contestazione relativa alla violazione dell’art. 9, par. 2, lett. b) del Regolamento deve essere archiviata.

Per i motivi suesposti, la Società ha violato l’obbligo di effettuare trattamenti di dati in presenza di idonee condizioni di liceità nei termini previsti dal Regolamento (v. artt. 6, par. 1, lett. b) e c), e par. 2), nonché i principi di minimizzazione e proporzionalità (art. 5, par. 1, lett. c) del Regolamento).

4. Conclusioni: dichiarazione di illiceità del trattamento. Provvedimenti correttivi ex art. 58, par. 2, Regolamento.

Per i suesposti motivi, l’Autorità ritiene che le dichiarazioni, la documentazione e le ricostruzioni fornite dal titolare del trattamento, nel corso dell’istruttoria, non consentano di superare i rilievi notificati dall’Ufficio con l’atto di avvio del procedimento che risultano pertanto inidonee a consentire l’archiviazione del presente procedimento, non ricorrendo peraltro alcuno dei casi previsti dall’art. 11 del Regolamento del Garante n. 1/2019.

Il trattamento dei dati personali effettuato dalla Società e segnatamente l’apertura dell’armadietto aziendale assegnato al reclamante, in sua assenza, l’apprensione del contenuto dell’armadietto e la sua successiva distruzione, risulta infatti illecito in relazione agli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. b) e c) e par. 2 e 13 del Regolamento.

Risulta altresì accertata la violazione dell’art. 157 del Codice, in relazione a quanto previsto dall’art. 166, comma 2, del Codice, notificata alla Società in data 9 luglio 2025 dal Nucleo speciale privacy e frodi tecnologiche della Guardia di finanza.

La violazione, accertata nei termini di cui in motivazione, non può essere considerata “minore”, come ritenuto dalla Società, tenuto conto della natura delle plurime violazioni accertate, che hanno riguardato i principi generali del trattamento dei dati (liceità e correttezza, trasparenza, minimizzazione), le disposizioni in materia di informativa e relative al potere del Garante di richiedere informazioni al titolare del trattamento.

L’Autorità ha altresì tenuto conto del livello medio di gravità della violazione alla luce di tutti i fattori rilevanti nel caso concreto, e in particolare la natura, la gravità e la durata della violazione, tenendo in considerazione la natura, l'oggetto o la finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito.

L’Autorità ha altresì preso in considerazione i criteri relativi al carattere doloso o colposo della violazione e le categorie di dati personali interessate dalla violazione nonché la maniera in cui l'autorità di controllo ha preso conoscenza della violazione (v. art. 83, par. 2 e Considerando 148 del Regolamento).

Pertanto, visti i poteri correttivi attribuiti dall’art. 58, par. 2 del Regolamento si dispone l’irrogazione di una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, commisurata alle circostanze del caso concreto (art. 58, par. 2, lett. i) del Regolamento).

5. Adozione dell’ordinanza ingiunzione per l’applicazione della sanzione amministrativa pecuniaria e delle sanzioni accessorie (artt. 58, par. 2, lett. i), e 83 del Regolamento; art. 166, comma 7, del Codice).

All’esito del procedimento, risulta pertanto che Cosmint S.p.A. ha violato gli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. b) e c) e par. 2 e 13 del Regolamento e l’art. 157, in relazione all’art 166, comma 2, del Codice.

Per la violazione delle predette disposizioni è prevista l’applicazione della sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lett. a) e b) del Regolamento, mediante adozione di un’ordinanza ingiunzione (art. 18, l. 24.11.1981, n. 689).

Il Garante, ai sensi dell’art. 58, par. 2, lett. i) del Regolamento e dell’art. 166 del Codice, ha il potere di infliggere una sanzione amministrativa pecuniaria prevista dall’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione (art. 18. L. 24 novembre 1981 n. 689), in relazione al trattamento dei dati personali posto in essere da Cosmint S.p.A., di cui è stata accertata l’illiceità, nei termini sopra esposti

Ritenuto di dover applicare il paragrafo 3 dell’art. 83 del Regolamento laddove prevede che “Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento […] viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave”, l’importo totale della sanzione è calcolato in modo da non superare il massimo edittale previsto dal medesimo art. 83, par. 5.

Con riferimento agli elementi elencati dall’art. 83, par. 2 del Regolamento ai fini della applicazione della sanzione amministrativa pecuniaria e la relativa quantificazione, ritenuto che il livello di gravità della violazione sia elevato, tenuto conto che la sanzione deve “in ogni caso [essere] effettiva, proporzionata e dissuasiva” (art. 83, par. 1 del Regolamento), si rappresenta che, nel caso di specie, sono state considerate le seguenti circostanze:

a) in relazione alla natura della violazione, questa ha riguardato fattispecie punite più severamente ai sensi dell’art. 83, par. 5 del Regolamento (principi generali del trattamento, disposizioni relative all’informativa,);

b) ancora in relazione alla natura della violazione, è stata presa in considerazione, nell’ambito delle fattispecie punite più severamente ai sensi dell’art. 83, par. 5 del Regolamento, in forza di quanto stabilito dall’art. 166, co. 2 del Codice, la violazione dell’obbligo di fornire riscontro alle richieste di informazioni dell’Autorità di controllo;

c) in relazione alla gravità della violazione, è stata presa in considerazione la natura del trattamento che ha riguardato l’apprensione e la successiva distruzione di effetti personali contenuti nell’armadietto aziendale posto nell’esclusiva disponibilità dell’interessato;
d) con riguardo alla durata della violazione, tale elemento non è commisurabile nel caso di specie;

e) con riferimento al carattere doloso o colposo della violazione e al grado di responsabilità del titolare, è stata presa in considerazione la condotta della Società e il grado di responsabilità della stessa che ha proceduto all’apprensione e alla successiva distruzione di effetti personali del lavoratore interessato, pur essendo a conoscenza del fatto che erano in corso interlocuzioni, con lo stesso, per il tramite della società di somministrazione per concordare il momento della liberazione dell’armadietto;

f) a favore della Società, si è tenuto conto della cooperazione con l’Autorità di controllo e della decisione di adottare una informativa di carattere generale e specifica modulistica circa l’uso degli armadietti aziendali.

Si ritiene inoltre che assumano rilevanza, nel caso di specie, tenuto conto dei richiamati principi di effettività, proporzionalità e dissuasività ai quali l’Autorità deve attenersi nella determinazione dell’ammontare della sanzione (art. 83, par. 1, del Regolamento), in primo luogo le condizioni economiche del contravventore, determinate in base ai ricavi conseguiti dalla Società con riferimento al bilancio ordinario d’esercizio per l’anno 2024, ultimo disponibile.

Alla luce degli elementi sopra indicati e delle valutazioni effettuate, si ritiene, nel caso di specie, di applicare nei confronti di Cosmint S.p.A. la sanzione amministrativa del pagamento di una somma pari ad euro 6.600 (seimilaseicento).

In tale quadro si ritiene che ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, si debba procedere alla pubblicazione del presente capo contenente l’ordinanza ingiunzione sul sito Internet del Garante.

Ciò in considerazione della tipologia delle violazioni accertate che hanno riguardato i principi generali di correttezza e trasparenza del trattamento e le condizioni di liceità del trattamento stesso, nonché l’obbligo per il titolare del trattamento di fornire riscontro alla richiesta di informazioni e di esibizione di documenti formulate dall’Autorità di controllo.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi dell’art. 57, par. 1, lett. f) e 83 del Regolamento, rileva l’illiceità del trattamento effettuato da Cosmint S.p.A., in persona del legale rappresentante, con sede legale in Via XXV Aprile, 15, Olgiate Comasco (CO), C.F. 02103130130, nei termini di cui in motivazione, per la violazione degli artt. 5, par. 1, lett. a) e c), 6, par. 1, lett. b) e c) e par. 2 e 13 del Regolamento e l’art. 157, in relazione all’art 166, comma 2, del Codice;

ORDINA

a Cosmint S.p.A. ai sensi dell’art. 58, par. 2, lett. i) del Regolamento, di pagare la somma di euro 6.600 (seimilaseicento) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate nel presente provvedimento;

INGIUNGE

quindi alla medesima Società di pagare la predetta somma di 6.600 (seimilaseicento), secondo le modalità indicate in allegato, entro 30 giorni dalla notifica del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981. Si ricorda che resta salva la facoltà per il trasgressore di definire la controversia mediante il pagamento – sempre secondo le modalità indicate in allegato - di un importo pari alla metà della sanzione irrogata, entro il termine di cui all’art. 10, comma 3, del d. lgs. n. 150 dell’1.9.2011 previsto per la proposizione del ricorso come sotto indicato (art. 166, comma 8, del Codice);

DISPONE

- ai sensi dell’art. 166, comma 7, del Codice e dell’art. 16, comma 1, del Regolamento del Garante n. 1/2019, la pubblicazione dell’ordinanza ingiunzione sul sito Internet del Garante;

- ai sensi dell’art. 154-bis, comma 3 del Codice e dell’art. 37 del Regolamento del garante n. 1/2019, la pubblicazione del presente provvedimento sul sito Internet del Garante;

- ai sensi dell’art. 17 del Regolamento n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2 del Regolamento, nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u) del Regolamento.

Ai sensi dell’art. 78 del Regolamento, nonché degli articoli 152 del Codice e 10 del d.lgs. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all'autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo individuato nel medesimo art. 10, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all'estero.

Roma, 18 giugno 2026 

IL PRESIDENTE
Stanzione

IL RELATORE
Cerrina Feroni

IL SEGRETARIO GENERALE
Montuori