Email aziendale e fine rapporto di lavoro: un rischio che molte imprese sottovalutano

Quando un dipendente lascia l’azienda, l’attenzione si concentra su pratiche burocratiche, passaggio di consegne, accessi informatici da revocare. La casella email nominativa finisce spesso in fondo alla lista. Un errore che può costare caro.

L’ imprenditore è il titolare del trattamento dei dati personali dei suoi dipendenti. L’indirizzo email nominativo - mario.rossi@azienda.it - è un dato personale a tutti gli effetti. Questo significa che il titolare ha obblighi precisi su come viene gestito, per quanto tempo viene conservato e chi può accedervi. Obblighi che non cessano con la fine del rapporto di lavoro: anzi, è proprio in quel momento che il rischio di esposizione aumenta.

Gli errori più comuni nelle PMI

La prassi più diffusa è lasciare la casella attiva per settimane o mesi dopo le dimissioni o il licenziamento, spesso con la giustificazione di non perdere comunicazioni importanti dai clienti. In alcuni casi la posta viene reindirizzata a un collega o consultata direttamente dal titolare. In altri casi semplicemente non se ne occupa nessuno.

Tutte queste situazioni, apparentemente innocue, configurano trattamenti di dati personali privi di adeguata base giuridica. Il GDPR impone il principio di limitazione della conservazione: i dati non devono essere tenuti più a lungo di quanto necessario rispetto alla finalità per cui sono stati raccolti.

Le sanzioni del Garante

Il Garante per la protezione dei dati personali è intervenuto con provvedimenti specifici su questo tema. Ha sanzionato aziende che avevano mantenuto attive caselle email nominative di ex dipendenti per periodi prolungati, consentendo l’accesso ai contenuti senza base giuridica e senza che il lavoratore fosse stato adeguatamente informato. In un caso rilevante, relativo a un ex dirigente, la casella era rimasta consultabile per oltre un anno dopo la cessazione del rapporto. Il Garante ha riconosciuto la violazione dei principi fondamentali del GDPR e ha applicato una sanzione amministrativa, richiamando espressamente la necessità di politiche aziendali documentate e proporzionate.

Cosa fare concretamente

Proteggere l’azienda non richiede interventi complessi, ma richiede metodo. Il titolare deve dotarsi di una policy interna che stabilisca regole chiare e applicabili, come:

• un termine massimo di mantenimento della casella dopo la fine del rapporto,
• l’attivazione immediata di un messaggio automatico che indirizzi i contatti verso un referente alternativo,
• il divieto esplicito di accesso ai contenuti da parte di colleghi o superiori, salvo casi eccezionali documentati,
• una procedura di cancellazione definitiva e tracciabile.

Questa policy deve essere integrata nell’informativa sul trattamento dei dati che viene consegnata al dipendente al momento dell’assunzione, e deve essere applicata in modo uniforme ogni volta che un rapporto di lavoro si chiude.

Gestire correttamente la conclusione del rapporto di lavoro dal punto di vista della privacy non è solo un obbligo normativo, è una scelta di governance aziendale che tutela il titolare e la reputazione dell’impresa.