En resumen
Con la resolución n.º 165 de 12 de marzo de 2026 el Garante confirmó que los correos de un buzón individual son datos personales del titular asignado, a los que también puede acceder el antiguo empleado conforme al artículo 15.
Con la resolución n.º 278 de 17 de abril de 2026 el Garante reiteró que el buzón debe desactivarse y eliminarse en un plazo razonable, con una respuesta automática que indique direcciones alternativas.
Leer o reenviar el correo del antiguo empleado para garantizar la continuidad no se consideró necesario ni proporcionado: la continuidad pasa por direcciones compartidas y gestión documental.
La copia de seguridad también es tratamiento: conservar durante años todo el contenido de los buzones vulnera los principios del artículo 5 del RGPD.
Política, cláusula informativa y configuración real deben coincidir, y quien gestiona las cuentas debe tener instrucciones por escrito.
El 12 de marzo de 2026 la autoridad italiana de protección de datos (Garante per la protezione dei dati personali) adoptó la resolución n.º 165, una orden conminatoria contra una empresa que no había entregado completo a un antiguo empleado el contenido de su buzón corporativo nominativo. El 17 de abril de 2026, con la resolución n.º 278, el Garante actuó contra otra empresa que había mantenido activas durante unos seis meses las cuentas de correo de antiguos empleados. Ambos textos están publicados en la web del Garante y confirman una línea que la autoridad sigue desde hace años: el buzón individual no es un archivo de la empresa.
En este artículo vemos qué establecieron las dos resoluciones, qué puede hacer la empresa con el buzón de quien deja la empresa (desactivarlo, configurar una respuesta automática, conservarlo, leerlo o reenviarlo) y qué conviene resolver ya entre RR. HH. e IT. No es asesoramiento jurídico: cada caso debe valorarse con tu DPO o asesor de privacidad. Si antes necesitas repasar principios y bases jurídicas, empieza por nuestra guía sobre qué es el RGPD.
Qué decidió el Garante en 2026
Las dos resoluciones tratan situaciones muy habituales en las pymes: un antiguo empleado que pide recuperar su correo y un buzón que sigue activo "por si acaso" después de la salida. En ambos casos el Garante constató infracciones del RGPD y obligó a las empresas a revisar políticas y cláusulas informativas.
Resolución n.º 165 de 12 de marzo de 2026: el acceso del antiguo empleado
Un antiguo empleado había pedido, en virtud del artículo 15 del RGPD, una copia del correo de su buzón corporativo individual. La empresa le entregó la correspondencia después de revisarla y anonimizarla en parte, para proteger datos de terceros e información empresarial. Según el Garante, los correos de una cuenta individual son datos personales del titular asignado, y el derecho de acceso solo puede limitarse en los casos previstos por el RGPD (artículos 12, apartado 5, y 15, apartado 4). Un temor genérico a revelar secretos empresariales no basta.
La resolución va más allá del derecho de acceso. La empresa conservaba en copia de seguridad durante cinco años el contenido de los buzones: para el Garante esto vulnera los principios de limitación de la finalidad, minimización y limitación del plazo de conservación (artículo 5, apartado 1, letras b, c y e). Además, la copia de seguridad del correo no figuraba en las cláusulas informativas, que indicaban plazos de conservación distintos entre sí. El Garante también consideró excesiva la conservación durante doce meses de los registros de navegación.
Otro pasaje se refiere al control a distancia. Según el Garante, una política que prevé la posibilidad de acceder al correo y a los registros puede entrar en el ámbito del artículo 4 del Estatuto de los Trabajadores italiano (Ley 300/1970) aunque luego no se haya realizado ningún control. Además de la sanción económica, la autoridad ordenó dar al antiguo empleado acceso íntegro a la correspondencia y adecuar políticas y tratamientos en un plazo de 90 días.
Resolución n.º 278 de 17 de abril de 2026: el buzón que siguió activo
En el segundo caso una empresa había mantenido activas durante unos seis meses tras la baja las cuentas de correo de dos antiguos empleados, alegando el traspaso de clientes, la recuperación de información y un posible litigio que nunca se inició. El Garante reiteró que la cuenta debe eliminarse en un plazo razonable, previa desactivación y activación de sistemas automáticos que informen a terceros e indiquen direcciones alternativas.
La resolución constató varias infracciones: de los principios de lealtad, minimización y limitación del plazo de conservación; del artículo 6, porque el interés legítimo alegado no estaba respaldado por una ponderación realizada antes; del artículo 13, por una cláusula informativa inadecuada; de los artículos 12 y 17, por no responder a tiempo a una solicitud de supresión; y del artículo 29, porque el personal de IT que gestionaba las cuentas no tenía instrucciones por escrito. El Garante ordenó preparar una cláusula informativa completa e instruir al departamento de IT en un plazo de 60 días.
Por qué el buzón nominativo no es solo de la empresa
El dominio es de la empresa, el servidor también y el buzón sirve para trabajar. Sin embargo, el Garante ya recordaba en sus directrices de 2007 sobre correo electrónico e internet que el contenido de los mensajes y los datos externos de la comunicación están protegidos por garantías de confidencialidad. En la resolución n.º 165 la autoridad cita también el artículo 8 del Convenio Europeo de Derechos Humanos: la correspondencia en el lugar de trabajo forma parte de la vida privada.
De ahí se derivan dos consecuencias prácticas. La primera: una dirección como nombre.apellido@empresa.es identifica a la persona, y todo lo que pasa por ella es tratamiento de datos personales que requiere una finalidad concreta y una base jurídica (artículos 5 y 6 del RGPD). La segunda: si el correo se conserva mucho tiempo o se pone a disposición de otros, puede convertirse en una herramienta de control indirecto del trabajador, y entonces entra en juego el artículo 4 de la Ley 300/1970.
El artículo 4 permite las herramientas de las que se deriva también la posibilidad de control a distancia solo por necesidades organizativas y productivas, de seguridad laboral o de protección del patrimonio, y previo acuerdo sindical o autorización de la Inspección de Trabajo. Para las herramientas utilizadas para realizar el trabajo, como el correo, no hace falta el acuerdo, pero la información recogida solo puede utilizarse si el trabajador ha recibido información adecuada y respetando la normativa de privacidad. Según el Garante, sin embargo, la recogida prolongada de registros o una política que prevé accesos al correo y a los registros pueden constituir un control a distancia que requiere las garantías del apartado 1.
Estas resoluciones son italianas, pero los principios del RGPD que aplican son los mismos en toda la UE. Si operas en otro país, comprueba también la normativa laboral nacional sobre el control de los trabajadores.
Qué puede hacer la empresa con el buzón de un antiguo empleado
Resumimos lo que dicen las resoluciones del Garante sobre las acciones más frecuentes. Ninguna resolución fija un número de días válido para todos: establecen principios, y corresponde al responsable definir y justificar los plazos en su propia política.
Acción | Criterio del Garante | Cómo configurarla |
|---|---|---|
Desactivar el buzón | Debe hacerse al finalizar la relación; después la cuenta debe eliminarse en un plazo razonable (resoluciones n.º 278/2026 y n.º 53/2018) | Fecha de desactivación vinculada a la fecha de baja, en el procedimiento de salida |
Respuesta automática | Sistemas automáticos que informan a terceros e indican direcciones alternativas | Mensaje neutro con una dirección de departamento, durante un periodo breve definido |
Leer o reenviar el correo | Acceso al contenido del buzón de un antiguo colaborador ni necesario ni proporcionado para la continuidad (resolución n.º 732/2024) | Evitarlo; garantizar la continuidad con direcciones compartidas y gestión documental |
Conservar el contenido | Conservación generalizada, también en copias de seguridad, contraria a los artículos 5 y 6 (resoluciones n.º 165/2026 y n.º 732/2024) | Plazos breves y justificados, con supresión comprobada también en las copias |
Responder al acceso del antiguo empleado | Acceso íntegro, limitable solo en los casos previstos por el RGPD (resolución n.º 165/2026) | Procedimiento de respuesta en plazo, con el DPO |
Desactivar y responder automáticamente
El punto de partida está claro desde hace años: al finalizar la relación, el buzón nominativo debe desactivarse y después eliminarse, con un sistema automático que avise a quien escribe e indique a quién dirigirse. Es el mismo principio recogido en la resolución n.º 53 de 1 de febrero de 2018 y retomado en 2026. En aquel caso de 2018 el Garante también recordó la necesidad de impedir definitivamente la recepción y la conservación de los mensajes en los servidores de la empresa.
La respuesta automática debe servir a los terceros, no retener el correo. Un texto sencillo funciona: la persona ya no forma parte de la organización; para cualquier comunicación, escribe a una dirección de departamento como comercial@ o administracion@. El mensaje debería permanecer activo durante un periodo breve y predefinido, recogido en la política, al final del cual la dirección se elimina. En la resolución n.º 278, seis meses efectivos se consideraron excesivos.
Leer o reenviar el correo: el punto más delicado
La tentación más habitual es reenviar el correo del antiguo empleado al compañero que ocupa su puesto, o dar a alguien acceso al buzón "para no perder nada". En la resolución n.º 732 de 27 de noviembre de 2024 el Garante consideró que el acceso al contenido del buzón de un colaborador que ha causado baja por parte de quien le sustituye no es necesario ni proporcionado, y que conservar el buzón con meros fines de continuidad empresarial carece de base jurídica conforme al artículo 6.
La continuidad se garantiza antes, no después. El Garante señala los sistemas de gestión documental como la herramienta adecuada para conservar los documentos de trabajo, porque el correo electrónico, por su naturaleza, no ofrece las características de un archivo. En la práctica: contratos, pedidos y comunicaciones relevantes deben guardarse en las carpetas o sistemas de la empresa durante la relación laboral, y los contactos con clientes y proveedores deben pasar por direcciones compartidas.
Conservar: contenido, metadatos y copias de seguridad
El contenido del buzón y los metadatos son dos cosas distintas. Para los metadatos, es decir, los registros del servidor con remitente, destinatario, horas y tamaño, el documento de orientación del Garante de 6 de junio de 2024 indica que la conservación no debería superar los 21 días, salvo necesidades especiales documentadas. Una recogida prolongada de registros puede constituir un control a distancia y requerir las garantías del artículo 4 del Estatuto. El mismo documento precisa que estas indicaciones no se refieren al contenido de los mensajes.
Sobre el contenido, la resolución n.º 165 dice algo que muchas empresas subestiman: la copia de seguridad también es tratamiento. Borrar el buzón del servidor no basta si una copia íntegra permanece durante años en las copias de seguridad. Por eso los plazos de conservación deben definirse para el buzón activo, para el desactivado y para las copias de seguridad, y deben coincidir con lo que dice la cláusula informativa.
Existe una excepción limitada: en el caso de 2018 el Garante admitió la conservación de los datos ya recogidos para la defensa de derechos en juicio, ante un litigio. Una finalidad defensiva genérica y futura, sin embargo, no justifica conservarlo todo. Si hay un litigio concreto, la decisión debe tomarse caso por caso con el DPO y documentarse.
Responder a la solicitud de acceso del antiguo empleado
Tras la resolución n.º 165 está claro que una solicitud de acceso al propio buzón debe tratarse como cualquier solicitud del artículo 15: con un procedimiento, dentro de los plazos del RGPD y sin filtros previos no previstos por la norma. Las limitaciones solo son posibles en los casos que indica el Reglamento, y deben justificarse. También en la resolución n.º 732 de 2024 el Garante había ordenado dar al antiguo colaborador acceso a su correspondencia.
¿Y durante la relación laboral?
Muchos problemas de la salida nacen de cómo se gestionó antes el correo. Las directrices de 2007 ya sugerían tres medidas: complementar las direcciones individuales con direcciones compartidas para oficinas y departamentos, permitir a cada persona configurar una respuesta automática en caso de ausencia y adoptar normas internas claras sobre el uso del correo.
Para las ausencias imprevistas, las mismas directrices prevén que el trabajador pueda designar a un compañero de confianza que, en caso de necesidad, revise los mensajes y reenvíe los relevantes para la actividad. La operación debe quedar registrada en un acta y el trabajador debe ser informado en la primera ocasión. Es una solución pensada para una urgencia, no para un acceso habitual al buzón de otra persona.
Checklist para RR. HH. e IT: qué hacer ya
Estas son las comprobaciones que conviene hacer ahora, antes de la próxima baja. Implica al DPO, si lo has designado, y a quien administra el sistema de correo: muchas respuestas son configuraciones técnicas, no solo documentos.
Política de correo: existen normas internas que dicen qué ocurre con el buzón al finalizar la relación, con plazos precisos para desactivación, respuesta automática y supresión.
Cláusula informativa a la plantilla: indica finalidades y plazos de conservación del buzón, los registros y las copias de seguridad, y es coherente con la política y la configuración real.
Procedimiento de salida: RR. HH. comunica la fecha de baja a IT, que desactiva la cuenta y configura la respuesta automática con una dirección de departamento.
Sin reenvíos automáticos: el correo entrante no se reenvía a compañeros ni lo lee quien sustituye a la persona.
Copias de seguridad y registros: los plazos de conservación están definidos, son breves y justificados, y la supresión llega también a las copias.
Instrucciones escritas a IT: quien gestiona las cuentas tiene instrucciones documentadas sobre lo que puede y no puede hacer, como exige el artículo 29.
Solicitudes de los interesados: existe un procedimiento para las solicitudes de acceso y supresión de empleados y antiguos empleados, con plazos y responsables.
Direcciones compartidas: la relación con clientes y proveedores pasa por buzones de departamento, no solo por buzones nominativos.
Errores habituales
De las resoluciones se desprenden errores recurrentes, a menudo cometidos de buena fe. El primero es mantener el buzón abierto durante semanas o meses "hasta que se traspasen todos los clientes": es justo el caso de la resolución n.º 278.
El segundo es usar el correo como archivo, con copias de seguridad plurianuales de todo el contenido de los buzones, como en la resolución n.º 165. El tercero es alegar el interés legítimo sin haber realizado y documentado la ponderación antes de iniciar el tratamiento.
Otros errores frecuentes son cláusulas informativas que dicen una cosa y una política que dice otra, una respuesta automática que retiene el correo en lugar de redirigirlo, personal de IT sin instrucciones por escrito y solicitudes de acceso atendidas tarde o con la correspondencia filtrada de antemano. Por último, una política que prevé accesos al correo y a los registros sin valorar el artículo 4 del Estatuto puede crear problemas aunque nunca se realice ningún control.
Qué hacer a medio plazo
Resuelto lo urgente, conviene tratar el correo como una actividad de tratamiento propia en el registro de actividades: finalidades, categorías de datos, plazos de conservación del contenido, los metadatos y las copias de seguridad, medidas de seguridad. Si alegas el interés legítimo para alguna finalidad, documenta la ponderación antes de empezar, como exige la resolución n.º 278.
El segundo paso es organizativo: sacar los documentos de trabajo de los buzones y llevarlos a un sistema de gestión documental con carpetas compartidas y reglas de archivo. Es la solución que señala el Garante y reduce la tentación de mirar el correo de quien se va. Revisa después la política al menos una vez al año y cada vez que cambies de proveedor de correo o de herramientas de copia de seguridad.
Por último, piensa en la seguridad. Un buzón olvidado y activo sigue recibiendo mensajes, quizá con datos de clientes, y es un punto de acceso más que proteger. Si datos personales llegan a quien no debería tenerlos, por ejemplo por un reenvío equivocado, valora si se trata de una brecha que gestionar como explicamos en la guía sobre la brecha de datos en las primeras 72 horas.
Cómo te ayuda Complaion con el RGPD y la protección de datos
Complaion acompaña a las empresas en el cumplimiento del RGPD y en las certificaciones sobre gestión de la información. Un Lead Auditor dedicado parte de tu situación, comprueba qué tienes ya y qué falta, y te propone el camino más adecuado entre adecuación al RGPD, ISO 27701 e ISO 27001.
La plataforma recoge las evidencias, gestiona políticas, cláusulas informativas y el registro de actividades de tratamiento, mantiene el calendario de revisiones y te prepara para la auditoría. El Lead Auditor también realiza la auditoría interna, para que sepas si los procedimientos funcionan de verdad. Si necesitas un delegado de protección de datos, tienes el servicio de DPO externalizado.
Más de 1.000 clientes ya han elegido Complaion. Si quieres saber por dónde empezar, contáctanos.
Preguntas frecuentes sobre el buzón de un antiguo empleado
¿Puedo leer el correo de un antiguo empleado para no perder información de trabajo?
Según el Garante, acceder al contenido del buzón de un antiguo colaborador para garantizar la continuidad no es necesario ni proporcionado. La continuidad debe asegurarse con direcciones compartidas y sistemas de gestión documental durante la relación laboral. Para situaciones especiales, como un litigio en curso, valóralo caso por caso con el DPO.
¿Puedo reenviar su correo a un compañero?
Reenviar el correo entrante a quien le sustituye es, en la práctica, una forma de acceso al contenido, y el Garante consideró no proporcionado el acceso con fines de continuidad. La solución que indica es una respuesta automática que informe a quien escribe e indique una dirección alternativa.
¿Cuánto tiempo debe estar activa la respuesta automática?
Ninguna resolución fija un número de días válido para todos. El Garante pide eliminar la cuenta en un plazo razonable, y en la resolución n.º 278 de 2026 consideró excesivos unos seis meses. Define un periodo breve en la política, justifícalo y respétalo.
¿Cuánto tiempo puedo conservar el contenido del buzón y las copias de seguridad?
El plazo lo define el responsable según una finalidad concreta y debe figurar en la cláusula informativa. El Garante consideró ilícita la conservación durante cinco años de todo el contenido de los buzones en copia de seguridad, porque la copia de seguridad también es tratamiento. Para los metadatos, el documento de orientación de 2024 indica no superar los 21 días salvo necesidades documentadas.
¿Puede un antiguo empleado pedir copia de sus correos corporativos?
Sí. Con la resolución n.º 165 de 12 de marzo de 2026 el Garante confirmó que los correos de un buzón individual son datos personales del titular asignado, accesibles conforme al artículo 15 del RGPD. El acceso solo puede limitarse en los casos previstos por el RGPD, no por un temor genérico a revelar información empresarial.
¿Hace falta un acuerdo sindical para gestionar el correo corporativo?
En la ley italiana, para el uso normal del correo como herramienta de trabajo el artículo 4 del Estatuto no exige acuerdo, pero hay que dar información adecuada a los trabajadores. Sin embargo, si la política prevé una conservación prolongada o el acceso a contenidos y registros, puede constituir un control a distancia: en ese caso comprueba con el DPO si hace falta un acuerdo sindical o la autorización de la Inspección de Trabajo.
