Con il provvedimento n. 165 del 2026, il Garante per la protezione dei dati personali ha sanzionato ITAS Mutua per violazione del GDPR nella gestione delle caselle di posta aziendali di ex dipendenti. Il caso tocca un tema operativo con cui ogni DPO si confronta: cosa fare dell'email aziendale dopo che il rapporto di lavoro e' cessato.
Le violazioni contestate
- Accesso non documentato e non giustificato alle email dell'ex dipendente
- Conservazione dei dati per un periodo sproporzionato rispetto alle finalita'
- Mancanza di una procedura interna formalizzata di gestione post-cessazione
- Assenza di adeguata informativa al lavoratore al momento dell'assunzione
Visione superata
La tentazione del datore di lavoro di considerare tutto cio' che avviene sui propri server come 'cosa propria' e' un residuo di una visione padronale che il GDPR e la giurisprudenza europea hanno definitivamente superato.
Le best practice da implementare
- Informativa specifica all'assunzione che indichi tempi e modalita' di gestione dell'email dopo la cessazione
- Procedura formalizzata di disattivazione immediata della casella (entro 24-48 ore)
- Risposta automatica per max 30-60 giorni con indicazione del referente alternativo
- Backup limitato e cifrato, conservato max 12 mesi salvo contenzioso in corso
- Accesso ai contenuti solo con autorizzazione documentata e ai fini specifici
In DPO Workspace
Tra i template settoriali e' presente una procedura tipo 'Gestione email lavoratore post-cessazione' che il DPO puo' applicare al cliente come placeholder iniziale da personalizzare.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
