Offboarding digitale: quando la disattenzione diventa una violazione

Il caso

Il Garante per la protezione dei dati personali torna a pronunciarsi sulla gestione degli account email aziendali dopo la cessazione del rapporto di lavoro, sanzionando con 40.000 euro una società che aveva violato la segretezza della casella di posta elettronica di un Amministratore Delegato licenziato.

Il caso, reso noto attraverso la Newsletter n. 542 del 29 gennaio 2026, offre spunti importanti per tutte le aziende nella gestione del cosiddetto offboarding digitale dei propri dipendenti (uscita dall’azienda per dimissioni, licenziamento, pensionamento, fine contratto).

Cosa è successo

A seguito del licenziamento, l'ex Amministratore Delegato (AD) si era trovato nell'impossibilità di accedere alla propria casella di posta aziendale, rimasta però attiva. L'interessato aveva quindi presentato una formale richiesta all'azienda — nel pieno rispetto delle disposizioni del GDPR — chiedendo di:

• disabilitare l'account email;

• inoltrare i messaggi ricevuti al proprio indirizzo personale;

• attivare un messaggio automatico di risposta per informare i mittenti del nuovo recapito mail.

La società ha ignorato la richiesta. Non solo: nel corso dell'istruttoria è emerso che:

a) l’azienda non solo continuava a ricevere le email indirizzate all’AD

b) le email a lui destinate venivano sistematicamente inoltrate a un altro account aziendale, 

una pratica protrattasi per circa due mesi — ben oltre il limite di 30 giorni previsto dalle stesse policy interne dell'azienda.

Il principio affermato dal Garante

Il contenuto delle email, i dati di contatto e gli allegati rientrano a pieno titolo nella nozione di corrispondenza, tutelata dalla Costituzione e dal diritto alla segretezza. Una garanzia che non viene meno con la fine del rapporto di lavoro e che presidia la dignità della persona anche nelle relazioni sociali.

Il Garante ha quindi ordinato alla società di:

• consentire all'ex dipendente l'accesso al proprio account aziendale;

• procedere alla successiva cancellazione dell'account, fatta salva la conservazione dei dati necessari per eventuali tutele giudiziarie.

Nella quantificazione della sanzione sono stati considerati la durata e la natura della violazione, il mancato riscontro alla richiesta dell'interessato e l'assenza di precedenti infrazioni.

Il commento della dott.ssa Emilia Barbati, Legal Deputy Manager – ERSG

"Questo provvedimento del Garante ci ricorda che la tutela della privacy non si esaurisce con la firma del contratto di assunzione, ma accompagna l'intero ciclo di vita del rapporto di lavoro — inclusa la sua conclusione. La gestione dell'account email post-cessazione non è una questione meramente operativa: è un adempimento con rilevanza giuridica diretta.

Molto spesso, infatti, tale processo non è disciplinato oppure, se lo è, non sempre è garantito.

Le aziende devono dotarsi di procedure chiare per l'offboarding digitale, definendo in anticipo tempi, modalità e responsabilità ed attuarle concretamente. Ignorare una richiesta legittima formulata ai sensi del GDPR non è solo un rischio sanzionatorio: è una lesione dei diritti fondamentali della persona. Un aspetto che in ERSG seguiamo con particolare attenzione, supportando le organizzazioni nella costruzione di processi HR, IT e Legal allineati alle normative vigenti."

Dott.ssa Emilia Barbati, Legal Deputy Manager – ERSG

Cosa fare in concreto

Questo caso è un'occasione per rivedere le proprie procedure interne. Alcuni punti da verificare:

• Esistono Policy/Procedure aziendali IT che disciplinano la gestione degli account email, dall’inizio del rapporto di lavoro alla sua cessazione?

• I tempi e le modalità di gestione previsti in Policy/Procedure vengono effettivamente rispettati?

• E’ stabilito chi controlla che tutto sia realizzato per come previsto?

• Tutto il personale è formato sulla corretta gestione delle richieste GDPR?

Per approfondimenti o una consulenza personalizzata, contatta il team Legal di ERSG.