Email ex dipendente: ancora una volta il Garante sanziona una realtà per aver mantenuta attiva una casella di posta dopo la cessazione del rapporto lavorativo. Questa volta la sanzione ha interessato l’Università di Cassino. Nell’articolo analizziamo nel dettaglio la vicenda.
Email ex dipendente conservate per oltre due anni
Il Garante per la protezione dei dati personali ha emesso una sanzione nei confronti dell’Università di Cassino per aver mantenuto attiva la casella di posta di un ex docente per oltre due anni dalla cessazione del rapporto di lavoro. Le email ex dipendente costituivano un trattamento illecito di dati personali, poiché mancava una base giuridica valida e non era stata fornita alcuna informativa adeguata all’interessato.
Il provvedimento richiama i principi dell’art. 5 del GDPR, in particolare la limitazione della conservazione e la minimizzazione dei dati, stabilendo che le informazioni personali non possano essere conservate più a lungo del necessario rispetto alle finalità.
Per approfondire > Il principio di minimizzazione nel GDPR
Perché conservare le email ex dipendente può portare a una sanzione
Il Garante ha rilevato che le email ex dipendente conservate senza alcuna necessità concreta violano non solo l’art. 5, ma anche l’art. 6 del GDPR, che richiede una base giuridica valida per il trattamento, e l’art. 17, che riconosce il diritto alla cancellazione (“diritto all’oblio”).
Mantenere attiva una casella di posta elettronica di un ex dipendente significa:
- esporre a rischi di accesso non autorizzato a comunicazioni riservate;
- consentire un uso improprio delle informazioni contenute nella posta elettronica;
- negare all’ex dipendente il diritto a una gestione trasparente e proporzionata dei propri dati.
Stabilire tempi certi di retention delle email ex dipendente è un requisito essenziale di conformità al GDPR. L’art. 5 prevede che i dati personali siano conservati solo per il tempo necessario rispetto alle finalità: ciò significa che una casella di posta non può restare attiva indefinitamente dopo la cessazione del rapporto di lavoro. La retention va quindi pianificata e documentata, con regole precise di disattivazione e cancellazione, così da ridurre il rischio di accessi non autorizzati e dimostrare accountability in caso di verifiche del Garante.
Per approfondire > Garante: usare l’email aziendale dopo la fine del rapporto di lavoro viola la privacy degli ex dipendenti
Come gestire correttamente le email ex dipendente nelle aziende
Per evitare provvedimenti simili, le aziende devono adottare policy interne chiare, supportate da procedure documentate e audit regolari. Alcuni passaggi fondamentali:
- disattivare tempestivamente le email dell’ex dipendente al termine del rapporto di lavoro;
- predisporre un inoltro temporaneo delle comunicazioni essenziali, limitato nel tempo:
- informare dipendenti e collaboratori sulle modalità di gestione delle caselle di posta elettronica;
- documentare le scelte effettuate per dimostrare accountability, come previsto dall’art. 24 del GDPR.
I datori di lavoro che avessero comunque necessità di conservare i metadati per un periodo di tempo più lungo, dovranno o ottenere un accordo sindacale oppure l’autorizzazione dell’ispettorato del lavoro. Dovranno insomma espletare le procedure di garanzia previste dallo Statuto dei Lavoratori.
Queste misure riducono i rischi di sanzioni e rafforzano la fiducia di dipendenti e collaboratori nella gestione responsabile dei loro dati personali.
Per saperne di più > Email di lavoro dei dipendenti: i datori devono cancellare i metadati entro 7 giorni
Email ex dipendente: un monito per le aziende
Il provvedimento che ha coinvolto l’Università di Cassino è un monito chiaro: le email degli ex dipendenti conservate senza criteri precisi espongono non solo ad ammende economiche, ma anche a gravi danni reputazionali.
Il Garante ha ribadito che la conservazione indefinita delle caselle di posta elettronica non è ammissibile, né nelle università né nelle aziende private. La governance dei dati deve includere procedure di chiusura e conservazione limitata nel tempo, integrate da formazione del personale e controlli periodici.
Il provvedimento completo è disponibile qui.
Cerchi un esperto privacy a cui affidarti o necessiti di una consulenza specifica per la tua azienda?
