In caso di dimissioni, licenziamento o scadenza del contratto, l’email aziendale individuale dell’ex dipendente deve essere disattivata e successivamente rimossa entro il tempo tecnico necessario. L’azienda può attivare una risposta automatica che segnali la chiusura e indichi un recapito alternativo, impedendo però la lettura e l’inoltro dei messaggi in arrivo. L’ex lavoratore conserva il diritto di accedere ai propri dati personali eventualmente presenti nei sistemi aziendali.
- Chiusura dell’email dopo la cessazione del rapporto
- Risposta automatica senza inoltro dei messaggi
- Continuità aziendale da preparare prima dell’uscita
- Accesso del datore alla posta dell’ex dipendente
- Diritto di accesso dell’ex dipendente
- Conservazione delle email e copie di sicurezza
- Regolamento aziendale e responsabilità interne
Chiusura dell’email dopo la cessazione del rapporto
La casella associata al nome del dipendente deve essere disattivata quando termina il rapporto, impedendo l’accesso sia all’ex lavoratore sia al personale aziendale. Il Garante per la protezione dei dati personali ha confermato questo criterio con il provvedimento n. 364 del 23 giugno 2025.
La rimozione definitiva deve avvenire in un tempo ragionevole commisurato alle attività tecniche. Non esiste un termine generale espresso in giorni applicabile a tutte le aziende: durata e modalità devono essere definite in anticipo, documentate e coerenti con i principi di minimizzazione e limitazione della conservazione previsti dall’articolo 5 del Regolamento UE n. 2016/679.
La procedura aziendale può essere organizzata secondo questa sequenza:
| Momento | Attività da eseguire |
|---|---|
| prima della cessazione | si trasferiscono documenti e pratiche aziendali nei sistemi condivisi autorizzati |
| alla cessazione | si revocano le credenziali e si disattiva la casella individuale |
| durante la chiusura tecnica | si attiva una risposta automatica e si impedisce la visualizzazione dei messaggi ricevuti |
| entro il termine definito | si rimuovono account e casella dai sistemi attivi |
| dopo la rimozione | si gestiscono eventuali richieste di accesso o esigenze documentate su dati specifici |
Risposta automatica senza inoltro dei messaggi
La risposta automatica deve avvertire il mittente che il destinatario non lavora più per l’organizzazione e indicare un indirizzo alternativo, preferibilmente collegato a un ufficio o a una funzione aziendale.
Il sistema deve impedire che il contenuto venga mostrato a un collega o recapitato a un’altra casella. Il reindirizzamento automatico, la conversione dell’indirizzo in alias e la consultazione delle nuove comunicazioni permettono all’azienda di conoscere dati riferiti all’ex dipendente e ai mittenti, in assenza della necessaria base giuridica.
Il provvedimento del Garante n. 364/2025 ha escluso che la necessità di conservare clienti, contratti o trattative possa giustificare il mantenimento prolungato dell’account. Il tempo ammesso riguarda la predisposizione delle misure tecniche e non le esigenze commerciali dell’organizzazione.
Continuità aziendale da preparare prima dell’uscita
La continuità delle attività aziendali deve essere assicurata prima della cessazione attraverso archivi documentali, gestionali, protocolli informatici, cartelle condivise e caselle riferite a funzioni o reparti.
Il Garante, con il provvedimento n. 732 del 27 novembre 2024, ha chiarito che le esigenze di reperibilità dei documenti non giustificano la conservazione dell’intera casella individuale. I documenti necessari all’impresa devono essere archiviati durante il rapporto con sistemi che ne garantiscano autenticità, integrità, leggibilità e reperibilità.
Il regolamento aziendale sull’uso dei dispositivi dovrebbe disciplinare anche riconsegna delle dotazioni, trasferimento dei documenti, disattivazione degli account, tempi di cancellazione e soggetti autorizzati alle attività tecniche.
Accesso del datore alla posta dell’ex dipendente
La fine del rapporto non attribuisce al datore un diritto generale di consultazione della casella. L’accesso ai messaggi, l’inoltro delle comunicazioni e il mantenimento dell’account costituiscono trattamenti di dati personali soggetti al GDPR e alle garanzie previste per i rapporti di lavoro.
Un contenzioso o l’esigenza di tutelare l’impresa non autorizzano la conservazione indistinta della posta o la raccolta delle nuove comunicazioni. L’eventuale conservazione di dati specifici necessari alla difesa richiede una finalità individuata, una base giuridica, accessi limitati, tempi documentati e una selezione proporzionata delle informazioni.
Il controllo difensivo delle email nel licenziamento segue criteri distinti: deve nascere da un sospetto fondato, riguardare condotte già individuate ed essere svolto con modalità mirate e trasparenti. Queste condizioni non consentono di mantenere indefinitamente attiva la posta dopo la cessazione.
Diritto di accesso dell’ex dipendente
L’ex lavoratore può chiedere l’accesso ai propri dati personali ai sensi dell’articolo 15 del GDPR, anche quando tali dati sono contenuti nelle comunicazioni transitate attraverso un account aziendale individuale.
Il Garante, con il provvedimento n. 165 del 12 marzo 2026, ha chiarito che anche le comunicazioni relative all’attività lavorativa possono contenere dati personali dell’assegnatario. L’azienda non può limitare preventivamente il riscontro alle sole email considerate private, assumendo che la corrispondenza professionale sia estranea al diritto di accesso.
La richiesta deve ricevere riscontro entro un mese dalla ricezione, ai sensi dell’articolo 12, paragrafo 3, del GDPR. Eventuali restrizioni fondate sui diritti di terzi, sulla proprietà intellettuale o sui segreti aziendali richiedono una motivazione riferita al caso specifico: un rischio descritto in termini generici non consente di respingere o ridurre la richiesta.
Il diritto riguarda i dati personali e non comporta la riattivazione della casella, la restituzione delle credenziali o la possibilità di utilizzare nuovamente i sistemi aziendali. Il titolare deve scegliere modalità di consegna sicure e compatibili con i diritti delle altre persone coinvolte.
Conservazione delle email e copie di sicurezza
La conservazione della posta elettronica è un trattamento di dati personali anche quando i messaggi sono custoditi in archivi o copie di sicurezza non accessibili online. La sola collocazione in un sistema separato non sottrae quindi i dati alle regole del GDPR.
Nel provvedimento n. 165/2026, il Garante ha giudicato illecita la conservazione per cinque anni dell’intero contenuto delle caselle, rilevando la violazione dei principi di minimizzazione, limitazione delle finalità e durata della conservazione.
I contenuti delle comunicazioni devono essere distinti dai metadati delle email aziendali, ossia le informazioni tecniche generate dai sistemi di posta. Per questi ultimi, il documento di indirizzo del Garante del 6 giugno 2024 indica una conservazione normalmente non superiore a 21 giorni, salvo esigenze documentate che giustifichino un periodo maggiore.
Regolamento aziendale e responsabilità interne
La gestione dell’email dell’ex dipendente deve essere prevista nel regolamento aziendale e coordinata tra risorse umane, amministratori di sistema, responsabile della protezione dei dati e funzione incaricata della gestione documentale.
Le regole interne dovrebbero prevedere:
- la disattivazione delle credenziali coincide con la data di cessazione del rapporto;
- la risposta automatica informa i mittenti e indica un recapito aziendale alternativo;
- le comunicazioni ricevute non sono inoltrate o rese visibili ad altri lavoratori;
- la rimozione dell’account avviene entro un termine tecnico definito e documentato;
- i documenti aziendali sono trasferiti prima dell’uscita nei sistemi condivisi autorizzati;
- le richieste dell’ex dipendente sono gestite secondo gli articoli 12 e 15 del GDPR;
- eventuali conservazioni eccezionali riguardano dati selezionati, finalità documentate e accessi autorizzati.
La mancata applicazione di queste misure può determinare provvedimenti correttivi e sanzioni. Nel 2025 il Garante ha sanzionato anche un piccolo Comune per il mantenimento dell’indirizzo di un’ex dipendente come alias e per il trasferimento dei messaggi verso una casella condivisa; nel marzo 2026 una società è stata sanzionata per 50.000 euro per conservazione estesa e violazione del diritto di accesso.
