Il ruolo del DPO nella gestione delle mail degli ex dipendenti

Il ruolo del DPO nella gestione delle mail degli ex dipendenti. Una questione di dati, organizzazione e rischio.

Avv. Gianni Dell’Aiuto

“Lasciamo aperta la casella, potrebbero scriverci i clienti”.

È una frase che accompagna molte dimissioni e pensionamenti. Il dipendente restituisce il computer, consegna il telefono, saluta i colleghi ma il suo indirizzo di posta, invece, continua a lavorare. A volte riceve messaggi; altre volte viene affidato al responsabile dell’ufficio oppure trasferito a chi ha preso il suo posto. Una soluzione rapida, apparentemente utile. Del resto, si pensa, la casella è aziendale.

Il problema comincia proprio qui. L’impresa deve proseguire la propria attività, ma un indirizzo nominativo continua a identificare una persona anche dopo la fine del rapporto. E chi scrive può non sapere che quella persona non leggerà più il messaggio ma qualcun altro potrebbe farlo.

La necessità di un bilanciamento

Il provvedimento del Garante del 17 aprile 2026, doc. web n. 10250265, offre uno spunto concreto.

La vicenda riguarda due account di un ex dipendente mantenuti attivi per circa sei mesi. La società aveva invocato esigenze di continuità e recupero delle informazioni aziendali. L’Autorità ha rilevato, tra l’altro, carenze nell’informativa, nel bilanciamento preventivo e nelle istruzioni al personale IT. Ha ribadito la necessità di disattivare gli account nominativi, attivare sistemi automatici che indichino recapiti alternativi e procedere alla rimozione in un tempo ragionevole.

La domanda da porre prima del prossimo pensionamento è di quali informazioni ha effettivamente bisogno l’azienda per continuare a lavorare?

Un contratto in corso, una scadenza concordata, un ordine da completare e una conversazione personale sono contenuti diversi. Lasciarli nello stesso contenitore, per poi decidere che tutto deve restare disponibile, significa rinviare una scelta organizzativa fino al momento in cui diventa più difficile compierla.

Il bilanciamento tra tutela della persona e interesse dell’impresa richiede di distinguere questi contenuti, individuare le finalità e valutare le alternative. Il generico “potrebbe servire” esprime una possibilità. Per prendere una decisione occorre trasformarla in una necessità concreta: quale documento serve, a chi, per quale attività e per quanto tempo?

Si immagini un commerciale che lasci l’azienda dopo aver seguito per anni alcuni clienti. È comprensibile che l’impresa voglia assicurare la prosecuzione delle trattative. Ma se offerte, condizioni concordate e appuntamenti sono reperibili soltanto nella sua posta, l’uscita del dipendente porta alla luce una dipendenza già esistente. La continuità del lavoro era affidata a una casella individuale.

Una gestione ordinata dovrebbe permettere a chi subentra di trovare nei sistemi aziendali le informazioni necessarie, con accessi coerenti con il proprio incarico. Il passaggio di consegne diventa così il momento in cui verificare e completare un’organizzazione costruita durante il rapporto.

La raccomandazione del DPO dovrebbe quindi partire da una procedura di uscita comprensibile e applicabile. Chi comunica la cessazione? Chi verifica il trasferimento dei documenti di lavoro? Chi dispone gli interventi tecnici? Chi controlla che siano stati eseguiti? Ogni passaggio deve avere un responsabile e lasciare una traccia.

Anche le parole richiedono precisione. Bloccare l’accesso dell’ex dipendente, interrompere la ricezione, impostare una risposta automatica e cancellare l’account sono operazioni differenti. Una richiesta come «chiudete la mail» può essere interpretata in modi diversi. Le istruzioni devono descrivere il risultato atteso e consentire di verificarlo.

Un’ulteriore scelta organizzativa consiste nell’utilizzare, dove appropriato, indirizzi collegati alle funzioni: ordini, amministrazione, assistenza. La loro utilità dipende comunque da regole di accesso e responsabilità definite. Una casella condivisa senza governo può riprodurre gli stessi problemi di una individuale.

Il DPO può inoltre proporre una verifica periodica degli account associati a persone che hanno lasciato l’organizzazione. Quanti sono? Quali ricevono ancora messaggi? Esistono inoltri? Chi li ha autorizzati e quando sono stati riesaminati? Sono domande semplici, capaci di mostrare la distanza tra una procedura scritta e il funzionamento quotidiano dell’azienda.

In questa prospettiva, il bilanciamento diventa una scelta documentata: si identifica l’esigenza aziendale, si considera l’impatto sulle persone, si valutano soluzioni meno invasive e si verifica che la misura adottata resti necessaria. Il titolare assume la decisione; il DPO lo assiste con una valutazione indipendente.

La gestione della posta degli ex dipendenti è un piccolo banco di prova della maturità aziendale. Costringe a chiedersi dove risiedano le informazioni, chi ne abbia il controllo e quanto il lavoro dipenda dalle abitudini dei singoli.

Il bilanciamento tra privacy e continuità aziendale comincia prima che il dipendente esca dalla porta. Dopo, spesso, si sta già gestendo un’emergenza organizzativa.