In relazione al quesito formulato, il PARERE dello scrivente servizio à nei termini che seguono.

Dopo la cessazione del rapporto di lavoro, è illecita - in relazione agli artt. 5, par. 1, lett. a), c) e e), 12, 13 e 15 del Regolamento - l'attività dell’account individualizzato di posta elettronica del lavoratore/ammistratore cessato ed è illecito il conseguente accesso ai messaggi ivi pervenuti senza che tale prassi sia stata esplicitata nel documento dedicato alle policy riguardanti l’utilizzo dei sistemi informatici dell'ente.

In altri termini, il datore di lavoro non può mantenere attivo l’account di posta elettronica riferito al soggetto cessato dal momento della cessazione del rapporto di lavoro, con reindirizzamento automatico di tutti i messaggi in entrata sull’account assegnato (ad es. all’ex superiore gerarchico), a meno che il lavoratore non fosse stato previamente informato della possibilità del trattamento − preordinato ad assicurare continuità all’attività istituzionale – effettuato dall'ente dopo la cessazione del rapporto di lavoro.

Il datore di lavoro, in conformità ai principi in materia di protezione dei dati personali e alle indicazioni contenute nelle “Linee guida per posta elettronica e internet”, adottate dal Garante con provvedimento n. 13 del 1° marzo 2007, deve invece adottare misure tecnologiche ed organizzative atte a consentire di contemperare il legittimo interesse del titolare ad accedere alle informazioni necessarie all’efficiente gestione della propria attività e a garantirne la continuità con l’aspettativa di riservatezza della corrispondenza da parte dei lavoratori e dei terzi. In particolare, in linea con le predette Linee guida, dopo la cessazione del rapporto di lavoro, l'ente deve provvedere alla rimozione dell’account del dipendente/amministratore previa disattivazione dello stesso e alla contestuale adozione di sistemi automatici volti ad informarne i terzi ed a fornire a questi ultimi indirizzi alternativi riferiti alla sua attività professionale.

I trattamenti dei dati contenuti nelle caselle mail, una volta che il soggetto a cui era stata assegnato l'account, ha terminato il proprio rapporto di lavoro con l'amministrazione, vanno conseguentemente definiti con propria policy interna e con atti organizzativi e vanno illustrati ai dipendenti che trattano i dati attraverso percorsi di formazione e attraverso adeguate istruzioni.

Al fine di conformare i trattamenti dei dati personali dei dipendenti alle disposizioni del Regolamento è necessario che la società adotti, altresì, misure volte a fornire agli interessati tutte le informazioni e le comunicazioni previste a seguito dell’esercizio dei diritti nonché ad agevolare l’esercizio dei diritti da parte degli interessati, nei termini previsti dall’art. 12 del Regolamento.

Va ulteriormente precisato che:

a) la conservazione dei documenti relativi alla gestione del rapporto di lavoro (pensionamenti e trasferimenti eccetera), è generalmente di 10 anni, e in ogni caso deve farsi riferimento al proprio Massimario di conservazione e scarto, all'interno del quale dovrebbe risultare che il termine di conservazione di tali documenti.

b) gli ulteriori dati e documenti vanno conservati per il tempo necessario rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati (che non è possibile definire a priori in quanto la posta elettronica potrebbe riferirsi a attività gestionali con termini di conservazione e di diversa natura)