Email aziendale di un ex dipendente: cosa puoi fare e per quanto conservarla

Il 12 marzo 2026 il Garante per la protezione dei dati personali ha adottato il provvedimento n. 165, un'ordinanza ingiunzione nei confronti di una società che non aveva consegnato per intero a un ex dipendente la posta della sua casella aziendale nominativa. Il 17 aprile 2026, con il provvedimento n. 278, il Garante è intervenuto su un'altra società che aveva lasciato attivi per circa sei mesi gli account di posta di ex dipendenti. Entrambi i testi sono pubblicati sul sito del Garante e confermano una linea che l'Autorità segue da anni: la casella individuale non è un archivio aziendale.

In questo articolo vediamo cosa hanno stabilito i due provvedimenti, cosa può fare l'azienda con la casella di chi lascia il lavoro (disattivarla, impostare una risposta automatica, conservarla, leggerla o inoltrarla) e cosa conviene sistemare subito tra HR e IT. Non è una consulenza legale: ogni caso va valutato con il proprio DPO o consulente privacy. Se ti serve prima un ripasso su principi e basi giuridiche, parti dalla nostra guida su cos'è il GDPR.

Cosa ha deciso il Garante nel 2026

I due provvedimenti riguardano situazioni molto comuni nelle PMI: un ex dipendente che chiede indietro la propria posta e una casella che resta accesa "per sicurezza" dopo l'uscita. In entrambi i casi il Garante ha accertato violazioni del GDPR e ha imposto alle società di rivedere policy e informative.

Provvedimento n. 165 del 12 marzo 2026: l'accesso dell'ex dipendente

Un ex dipendente aveva chiesto, ai sensi dell'articolo 15 del GDPR, copia della posta presente nella sua casella aziendale individualizzata. La società aveva consegnato la corrispondenza dopo averla esaminata e in parte oscurata, per tutelare dati di terzi e informazioni aziendali. Secondo il Garante, le email di un account individuale sono dati personali dell'assegnatario, e il diritto di accesso può essere limitato solo nei casi previsti dal GDPR (articoli 12, paragrafo 5, e 15, paragrafo 4). Un timore generico di rivelare segreti aziendali non basta.

Il provvedimento va oltre il diritto di accesso. La società conservava in backup per cinque anni il contenuto delle caselle: per il Garante questo viola i principi di limitazione della finalità, minimizzazione e limitazione della conservazione (articolo 5, paragrafo 1, lettere b, c ed e). Il backup della posta, inoltre, non era indicato nelle informative, che riportavano tempi di conservazione diversi tra loro. Il Garante ha anche ritenuto eccessiva la conservazione per dodici mesi dei log di navigazione.

Un altro passaggio riguarda i controlli a distanza. Secondo il Garante, una policy che prevede la possibilità di accedere a posta e log può ricadere nella disciplina dell'articolo 4 dello Statuto dei lavoratori anche se nessun controllo è stato poi effettuato. Oltre alla sanzione pecuniaria, l'Autorità ha ordinato di consentire all'ex dipendente l'accesso integrale alla corrispondenza e di adeguare policy e trattamenti entro 90 giorni.

Provvedimento n. 278 del 17 aprile 2026: la casella lasciata attiva

Nel secondo caso una società aveva mantenuto attivi per circa sei mesi dopo la cessazione gli account di posta di due ex dipendenti, giustificandolo con il passaggio dei clienti, il recupero di informazioni e un possibile contenzioso, poi non avviato. Il Garante ha ribadito che l'account va rimosso in tempi ragionevoli, previa disattivazione e attivazione di sistemi automatici che informino i terzi e indichino indirizzi alternativi.

Il provvedimento ha accertato più violazioni: dei principi di correttezza, minimizzazione e limitazione della conservazione; dell'articolo 6, perché il legittimo interesse invocato non era sostenuto da un bilanciamento fatto prima; dell'articolo 13, per l'informativa inadeguata; degli articoli 12 e 17, per la mancata risposta nei termini a una richiesta di cancellazione; dell'articolo 29, perché il personale IT che gestiva gli account non aveva istruzioni scritte. Il Garante ha prescritto di predisporre un'informativa completa e di istruire il reparto IT entro 60 giorni.

Perché la casella nominativa non è solo dell'azienda

Il dominio è aziendale, il server pure, e la casella serve per lavorare. Eppure il Garante, già nelle linee guida del 2007 su posta elettronica e internet, ricorda che il contenuto dei messaggi e i dati esteriori della comunicazione sono tutelati da garanzie di segretezza. Nel provvedimento n. 165 l'Autorità richiama anche l'articolo 8 della Convenzione europea dei diritti dell'uomo: la corrispondenza sul luogo di lavoro rientra nella vita privata.

Da qui discendono due conseguenze pratiche. La prima: un indirizzo come nome.cognome@azienda.it rende identificabile la persona, e tutto ciò che vi transita è trattamento di dati personali che richiede una finalità precisa e una base giuridica (articoli 5 e 6 del GDPR). La seconda: se la posta viene conservata a lungo o resa accessibile ad altri, può diventare uno strumento di controllo indiretto sul lavoratore, e allora entra in gioco l'articolo 4 della legge 300/1970.

L'articolo 4 consente gli strumenti da cui deriva anche la possibilità di controllo a distanza solo per esigenze organizzative e produttive, di sicurezza del lavoro o di tutela del patrimonio, e previo accordo sindacale o autorizzazione dell'Ispettorato del lavoro. Per gli strumenti usati per rendere la prestazione, come la posta, l'accordo non serve, ma le informazioni raccolte sono utilizzabili solo se il lavoratore ha ricevuto adeguata informazione e nel rispetto della normativa privacy. Secondo il Garante, però, la raccolta prolungata dei log o una policy che prevede accessi a posta e log possono configurare un controllo a distanza che richiede le garanzie del comma 1.

Cosa può fare l'azienda con la casella di un ex dipendente

Riassumiamo cosa dicono i provvedimenti del Garante sulle azioni più frequenti. Nessun provvedimento fissa un numero di giorni valido per tutti: indica principi, e spetta al titolare definire e motivare i tempi nella propria policy.

Disattivare e rispondere in automatico

Il punto di partenza è chiaro da anni: alla cessazione la casella nominativa va disattivata e poi rimossa, con un sistema automatico che avvisi chi scrive e indichi a chi rivolgersi. È lo stesso principio richiamato nel provvedimento n. 53 del 1° febbraio 2018 e ripreso nel 2026. In quel caso del 2018 il Garante aveva anche ricordato di inibire in modo definitivo la ricezione e la conservazione dei messaggi sui server aziendali.

La risposta automatica deve servire ai terzi, non a trattenere la posta. Un testo semplice funziona: la persona non fa più parte dell'organizzazione, per le comunicazioni scrivi a un indirizzo di funzione come commerciale@ o amministrazione@. Il messaggio dovrebbe restare attivo per un periodo breve e predefinito, scritto nella policy, al termine del quale l'indirizzo viene rimosso. Nel provvedimento n. 278 sei mesi effettivi sono stati ritenuti eccessivi.

Leggere o inoltrare la posta: il punto più delicato

La tentazione più diffusa è inoltrare la posta dell'ex dipendente al collega che ne prende il posto, o dare a qualcuno l'accesso alla casella "per non perdere nulla". Nel provvedimento n. 732 del 27 novembre 2024 il Garante ha ritenuto che l'accesso al contenuto della casella di un collaboratore cessato da parte di chi subentra non è necessario né proporzionato, e che conservare la casella per mere finalità di continuità aziendale non ha una base giuridica ai sensi dell'articolo 6.

La continuità si garantisce prima, non dopo. Il Garante indica i sistemi di gestione documentale come lo strumento adatto a conservare i documenti di lavoro, perché la posta elettronica, per sua natura, non assicura le caratteristiche di un archivio. In pratica: contratti, ordini e comunicazioni rilevanti vanno salvati nelle cartelle o nel gestionale aziendale durante il rapporto, e i contatti con clienti e fornitori passano da indirizzi condivisi.

Conservare: contenuto, metadati e backup

Il contenuto della casella e i metadati sono due cose diverse. Per i metadati, cioè i log del server con mittente, destinatario, orari e dimensioni, il documento di indirizzo del Garante del 6 giugno 2024 indica come orientamento che la conservazione non dovrebbe superare i 21 giorni, salvo esigenze particolari documentate. Una raccolta prolungata dei log può configurare un controllo a distanza e richiedere le garanzie dell'articolo 4 dello Statuto. Lo stesso documento precisa che queste indicazioni non riguardano il contenuto dei messaggi.

Per il contenuto, il provvedimento n. 165 dice una cosa che molte aziende sottovalutano: anche il backup è un trattamento. Cancellare la casella dal server non basta se una copia integrale resta nei salvataggi per anni. I tempi di conservazione vanno quindi definiti per la casella attiva, per quella disattivata e per i backup, e devono coincidere con quanto scritto nell'informativa.

Esiste un'eccezione circoscritta: nel caso del 2018 il Garante ha fatto salva la conservazione dei dati già raccolti per la tutela dei diritti in giudizio, in presenza di un contenzioso. Una finalità difensiva generica e futura, però, non giustifica di tenere tutto. Se c'è un contenzioso concreto, la decisione va presa caso per caso con il DPO e documentata.

Rispondere alla richiesta di accesso dell'ex dipendente

Dopo il provvedimento n. 165 è chiaro che una richiesta di accesso alla propria casella va trattata come qualsiasi richiesta ex articolo 15: con una procedura, entro i termini del GDPR e senza filtri preventivi non previsti dalla norma. Le limitazioni sono possibili solo nei casi indicati dal Regolamento, e vanno motivate. Anche nel provvedimento n. 732 del 2024 il Garante aveva ordinato di consentire all'ex collaboratore l'accesso alla propria corrispondenza.

E durante il rapporto di lavoro?

Molti problemi dell'uscita nascono da come la posta è stata gestita prima. Le linee guida del 2007 suggeriscono già da allora tre accorgimenti: affiancare agli indirizzi individuali degli indirizzi condivisi per uffici e funzioni, dare a ciascuno la possibilità di impostare una risposta automatica in caso di assenza, e adottare un disciplinare interno chiaro sull'uso della posta.

Per le assenze improvvise, le stesse linee guida prevedono che il lavoratore possa indicare un collega fiduciario che, in caso di necessità, verifichi i messaggi e inoltri quelli rilevanti per l'attività. L'operazione va registrata in un apposito verbale e il lavoratore va informato alla prima occasione utile. È una soluzione pensata per un'urgenza, non per un accesso abituale alla casella di qualcun altro.

Checklist per HR e IT: cosa fare subito

Ecco le verifiche da fare adesso, prima della prossima uscita in azienda. Coinvolgi il DPO, se lo hai nominato, e chi amministra il sistema di posta: molte delle risposte sono impostazioni tecniche, non solo documenti.

• Policy sulla posta: esiste un disciplinare che dica cosa succede alla casella alla cessazione, con tempi precisi per disattivazione, risposta automatica e cancellazione.

• Informativa ai dipendenti: indica finalità, tempi di conservazione di casella, log e backup, ed è coerente con la policy e con le impostazioni reali.

• Procedura di offboarding: HR comunica la data di uscita a IT, che disattiva l'account e imposta la risposta automatica con un indirizzo di funzione.

• Niente inoltri automatici: la posta in arrivo non viene girata a colleghi né letta da chi subentra.

• Backup e log: i tempi di conservazione sono definiti, brevi e motivati, e la cancellazione arriva anche alle copie di sicurezza.

• Istruzioni scritte all'IT: chi gestisce gli account ha istruzioni documentate su cosa può e non può fare, come richiede l'articolo 29.

• Richieste degli interessati: esiste una procedura per accesso e cancellazione chieste da dipendenti ed ex dipendenti, con tempi e responsabili.

• Indirizzi condivisi: i rapporti con clienti e fornitori passano da caselle di funzione, non solo da caselle nominative.

Gli errori tipici

Dai provvedimenti emergono errori ricorrenti, spesso fatti in buona fede. Il primo è tenere la casella aperta per settimane o mesi "finché non passano tutti i clienti": è proprio il caso del provvedimento n. 278.

Il secondo è usare la posta come archivio, con backup pluriennali dell'intero contenuto delle caselle, come nel provvedimento n. 165. Il terzo è invocare il legittimo interesse senza aver fatto e documentato il bilanciamento prima di iniziare il trattamento.

Altri errori frequenti sono le informative che dicono una cosa e la policy un'altra, la risposta automatica che trattiene la posta invece di indirizzare altrove, il personale IT senza istruzioni scritte e le richieste di accesso evase in ritardo o con la corrispondenza filtrata in via preventiva. Infine, una policy che prevede accessi a posta e log senza valutare l'articolo 4 dello Statuto può creare problemi anche se nessun controllo viene poi effettuato.

Cosa fare nel medio periodo

Sistemata l'urgenza, conviene trattare la posta come un trattamento a sé nel registro delle attività: finalità, categorie di dati, tempi di conservazione di contenuto, metadati e backup, misure di sicurezza. Se invochi il legittimo interesse per qualche finalità, documenta il bilanciamento prima di iniziare, come chiede il provvedimento n. 278.

Il secondo passo è organizzativo: portare i documenti di lavoro fuori dalle caselle, in un sistema di gestione documentale con cartelle condivise e regole di archiviazione. È la soluzione indicata dal Garante e riduce la tentazione di guardare nella posta di chi se ne va. Rivedi poi la policy almeno una volta l'anno e ogni volta che cambi fornitore di posta o strumenti di backup.

Infine, considera la sicurezza. Una casella dimenticata attiva continua a ricevere messaggi, magari con dati di clienti, ed è un punto di accesso in più da proteggere. Se dati personali finiscono a chi non dovrebbe, ad esempio per un inoltro sbagliato, valuta se si tratta di una violazione da gestire come spieghiamo nella guida sul data breach nelle prime 72 ore.

Come Complaion ti aiuta con GDPR e protezione dei dati

Complaion accompagna le aziende nella conformità al GDPR e nelle certificazioni sulla gestione delle informazioni. Un Lead Auditor dedicato parte dalla tua situazione, verifica cosa hai già e cosa manca e ti propone il percorso più adatto tra adeguamento GDPR, ISO 27701 e ISO 27001.

La piattaforma raccoglie le evidenze, gestisce policy, informative e registro dei trattamenti, tiene lo scadenziario delle revisioni e ti prepara all'audit. Il Lead Auditor conduce anche l'audit interno, così sai se le procedure funzionano davvero. Se ti serve un responsabile della protezione dei dati, c'è il servizio di DPO esternalizzato.

Oltre 1.000 clienti hanno già scelto Complaion. Se vuoi capire da dove partire, contattaci.

Domande frequenti sulla casella email di un ex dipendente

Posso leggere la posta di un ex dipendente per non perdere informazioni di lavoro?

Secondo il Garante, accedere al contenuto della casella di un collaboratore cessato per garantire la continuità non è necessario né proporzionato. La continuità va assicurata con indirizzi condivisi e sistemi di gestione documentale durante il rapporto. Per situazioni particolari, come un contenzioso in corso, valuta caso per caso con il DPO.

Posso inoltrare la sua posta a un collega?

L'inoltro della posta in arrivo al collega che subentra è, nei fatti, una forma di accesso al contenuto e il Garante ha ritenuto non proporzionato l'accesso per finalità di continuità. La soluzione indicata è una risposta automatica che informi chi scrive e indichi un indirizzo alternativo.

Per quanto tempo deve restare attiva la risposta automatica?

Nessun provvedimento fissa un numero di giorni valido per tutti. Il Garante chiede di rimuovere l'account in tempi ragionevoli, e nel provvedimento n. 278 del 2026 ha ritenuto eccessivi circa sei mesi. Definisci un periodo breve nella policy, motivalo e rispettalo.

Per quanto posso conservare il contenuto della casella e i backup?

Il tempo va definito dal titolare in base a una finalità precisa e scritto nell'informativa. Il Garante ha ritenuto illecita la conservazione di cinque anni dell'intero contenuto delle caselle in backup, perché il backup è anch'esso un trattamento. Per i metadati, l'orientamento del documento di indirizzo del 2024 è di non superare i 21 giorni salvo esigenze documentate.

L'ex dipendente può chiedere copia delle sue email aziendali?

Sì. Con il provvedimento n. 165 del 12 marzo 2026 il Garante ha confermato che le email di una casella individualizzata sono dati personali dell'assegnatario, accessibili ai sensi dell'articolo 15 del GDPR. L'accesso può essere limitato solo nei casi previsti dal GDPR, non per un timore generico di rivelare informazioni aziendali.

Serve l'accordo sindacale per gestire la posta aziendale?

Per l'uso normale della posta come strumento di lavoro, l'articolo 4 dello Statuto non richiede l'accordo, ma serve un'informazione adeguata ai lavoratori. Se però la policy prevede la conservazione prolungata o l'accesso a contenuti e log, può configurarsi un controllo a distanza: in quel caso verifica con il DPO se servono accordo sindacale o autorizzazione dell'Ispettorato.