Caselle e-mail di ex dipendenti: le stai gestendo bene? Il Garante ribadisce regole e rischi per le imprese

Con Provvedimento del 23 giugno 2025 (doc. web n. 10161563) il Garante per la Protezione dei Dati Personali torna su un tema che molte aziende tendono a sottovalutare ma che può comportare gravi rischi per la tutela dei dati personali e sanzioni: la gestione delle caselle di posta elettronica nominative degli ex dipendenti. Il provvedimento nasce da un reclamo da parte di una ex dipendente che aveva chiesto la disattivazione del proprio account aziendale (es. nome.cognome@azienda.it) dopo la cessazione del rapporto di lavoro. L’azienda aveva, invece, lasciato attiva la casella per mesi attivando inoltro automatico verso un altro indirizzo interno, giustificando la scelta con esigenze operative e commerciali. Il Garante ha giudicato questa condotta illecita, richiamando principi cardine del GDPR.    

🔎 Perché questa decisione è rilevante per le aziende

Molte imprese, per motivi di continuità operativa o timore di perdere contatti importanti, mantengono attivi gli account e-mail personali degli ex dipendenti. Questa prassi, però, è altamente rischiosa perché comporta:

• trattamenti di dati personali senza base giuridica (violazione del principio di liceità e correttezza, art. 5, par.1, lett a) GDPR);
• conservazione di dati oltre il tempo necessario (limitazione della conservazione, art. 5, par.1, lett. e) GDPR;
• accesso a contenuti potenzialmente personali da parte di soggetti non autorizzati;
• mancanza di trasparenza verso i dipendenti, se non sono informati preventivamente sulla politica di gestione della posta elettronica.

Il provvedimento ribadisce con forza che le esigenze organizzative o economiche non giustificano il mantenimento delle caselle nominative dopo la cessazione del rapporto. Il rispetto della privacy dei lavoratori e dei terzi che scrivono a quell’indirizzo prevale sempre sulle ragioni di business.    

⚠️ I rischi per chi non gestisce correttamente le caselle ex dipendenti

Dal punto di vista delle imprese, ignorare queste indicazioni può tradursi in:

• Sanzioni amministrative per violazioni GDPR;
• Reputazione compromessa in caso di reclami o ispezioni;
• Contenziosi con ex dipendenti, soprattutto se l’account resta attivo a lungo senza informativa preventiva;
• Esposizione di dati sensibili (contenuti di e-mail personali o comunicazioni di terzi) a persone non autorizzate;
• Costi e complessità legali per gestire data breach o contestazioni successive.

Per i decisori aziendali (HR manager, IT manager, legali interni, CEO), la questione non è solo burocratica: una gestione errata può avere impatto economico e reputazionale immediato.    

✅ Le best practices ribadite dal Garante

Il provvedimento conferma le indicazioni già presenti in precedenti decisioni dell’Autorità. Per essere conformi al GDPR, un’azienda dovrebbe:

1. Disattivare tempestivamente la casella nominativa dell’ex dipendente.
2. Impostare un messaggio automatico di risposta (per un tempo limitato e ragionevole) che informi della cessazione del rapporto e indichi un indirizzo alternativo, preferibilmente funzionale (es. commerciale@azienda.it).
3. Evitare accessi o reindirizzamenti alla posta dell’ex dipendente, che esporrebbero contenuti potenzialmente personali.
4. Definire policy chiare e informative interne sull’uso della posta elettronica durante e dopo il rapporto di lavoro.
5. Predisporre indirizzi generici per le attività strategiche, limitando l’uso di caselle nominative personali quando non strettamente necessario.

 

💡 Le nostre indicazioni per tutelare la tua azienda

Molte aziende gestiscono ancora le caselle di posta elettronica degli ex dipendenti in modo informale, sottovalutando l’impatto privacy. Lasciare attivo un account nominativo o reindirizzare automaticamente i messaggi può sembrare una soluzione pratica, ma viola principi essenziali del GDPR e può comportare sanzioni e danni reputazionali. Le organizzazioni dovrebbero dotarsi di policy chiare, sistemi tecnici adeguati e procedure operative già pronte prima della cessazione di un rapporto di lavoro.    

🚀 Come Privacymprese supporta le aziende

Il nostro approccio è pensato per supportare i decisori aziendali nella gestione corretta e sicura delle caselle di posta elettronica, integrandola nella più ampia strategia di compliance privacy:

• analisi dei flussi di dati e valutazione dei rischi connessi agli account nominativi;
• predisposizione di policy e informative trasparenti per i dipendenti;
• definizione di procedure operative per la chiusura sicura degli account;
• aggiornamento continuo in base ai provvedimenti dell’Autorità Garante

   

📰 Conclusione

Il provvedimento di giugno 2025 conferma che la “business continuity” non può giustificare la violazione della privacy degli ex dipendenti. Le imprese devono predisporre processi chiari e immediati per disattivare gli account nominativi e proteggere i dati di lavoratori e terzi. 👉 Chi non ha ancora aggiornato le proprie procedure dovrebbe agire ora: prevenire reclami e sanzioni è più semplice (e meno costoso) che affrontare un’ispezione del Garante impreparati. Chiamaci per una consulenza personalizzata!