La casella di posta di chi è andato via: il trattamento che nessuno documenta

Vale la pena resistere alla tentazione di archiviarla come vicenda belga. Di tutti i trattamenti che un'organizzazione svolge, la casella di posta di chi è uscito è probabilmente quello più universale e quasi sempre quello assente dal registro. Nessuno lo decide: succede. Il giorno dell'uscita l'account resta aperto perché «magari arriva qualcosa di importante», il mese dopo nessuno ricorda di chiuderlo, e un anno dopo esiste un contenitore di corrispondenza di una persona che non è più lì, letto da colleghi che lei non ha mai autorizzato.

L'argomento che si sente per difendere la pratica è sempre lo stesso: interesse legittimo alla continuità dell'attività. L'argomento non è ridicolo, è solo molto più breve di come viene usato. Nei giorni immediatamente successivi all'uscita esiste davvero un interesse dell'organizzazione a non perdere un ordine o una scadenza. Quell'interesse si esaurisce quando i corrispondenti hanno avuto il tempo di cambiare indirizzo, e quel tempo si misura in settimane. Oltre, l'interesse che resta non è più la continuità: è la comodità di non aver riorganizzato nulla, e la comodità non è una base giuridica.

• La casella va disattivata al più tardi il giorno in cui il rapporto finisce. Non «appena possibile»: quel giorno.
• Al suo posto un messaggio automatico che indica un indirizzo alternativo, senza spiegare dove la persona sia andata e senza fornire i suoi recapiti privati.
• Dopo un termine ragionevole — in linea di principio un mese, prolungabile al massimo a tre con motivi documentati — casella e risposta automatica si cancellano entrambe.
• Il contenuto non si legge. Se un documento serve davvero, va individuato con una ricerca puntuale, documentata, e con l'interessato informato prima.
• La persona deve sapere tutto questo prima di andarsene, non scoprirlo dopo: è l'obbligo di informazione, non una cortesia.

Per il DPO le cose da mettere per iscritto sono quattro, e non richiedono un progetto: la voce nel registro dei trattamenti, con finalità, base e termini distinti per la disattivazione e per la cancellazione; il paragrafo nell'informativa al personale che descrive che cosa accade alla casella dopo l'uscita; la procedura di uscita che assegna a una persona il compito di chiudere, con una data; e il verbale di qualunque accesso al contenuto, se accesso ci è stato. Senza il quarto punto, l'organizzazione non è in grado di dimostrare che nessuno ha letto nulla, e l'onere della prova è suo.

Un dettaglio sul messaggio automatico, perché è la parte che più spesso si scrive male. «Il collega non lavora più presso di noi, lo trovate a questo nuovo indirizzo» comunica a chiunque scriva un'informazione sul percorso professionale di una persona che non ha chiesto di divulgarlo. Il testo corretto dice due cose e si fossilizza: che quell'indirizzo non è più in uso, e a quale indirizzo scrivere. Né il motivo, né la destinazione, né l'augurio.

Che fare oggi, in concreto. Chi gestisce la conformità di un'organizzazione può verificare in mezz'ora quante caselle di persone uscite sono ancora attive, da quanto, e se qualcuna è inoltrata a un collega. Se il numero non è zero, non serve una valutazione d'impatto: serve un elenco con una data accanto a ciascuna riga. La decisione belga non ha stabilito un principio nuovo — la linea dell'autorità è la stessa almeno dal 2020, quando una società fu sanzionata con 15.000 euro per indirizzi non chiusi all'uscita dei collaboratori. È il prezzo che è cambiato.