En el entorno laboral moderno, las cuentas de correo electrónico corporativas son herramientas fundamentales para la comunicación eficiente y segura dentro de las empresas.
Sin embargo, surge una pregunta crucial cuando un empleado deja la organización, ya sea por renuncia voluntaria o despido:
¿Qué hacer con su cuenta de correo electrónico corporativa, para garantizar el cumplimiento con la normativa de protección de datos?
El acceso a la cuenta de correo de un trabajador despedido plantea varios desafíos legales y éticos, especialmente en términos de privacidad y cumplimiento normativo.
Aunque el RGPD y la LOPDGDD no abordan directamente este tema, diversas resoluciones y recomendaciones ofrecen directrices claras sobre cómo proceder de manera lícita y respetuosa.
Recomendaciones clave
Para asegurar un manejo adecuado de las cuentas de correo de extrabajadores, es crucial establecer un procedimiento interno detallado que incluya:
Información y Protocolo Interno
Es imperativo que la empresa informe previamente a todos los empleados sobre las normas de uso de las herramientas tecnológicas, incluyendo el correo corporativo, así como el protocolo específico para el acceso, bloqueo y eliminación de estas cuentas una vez finalizada la relación laboral.
De no hacerlo, aunque una empresa puede demandar a un extrabajador al encontrar pruebas de la comisión de delitos en su correo electrónico corporativo, estas podrían ser rechazadas por el tribunal, si este exempleado no hubiese sido informado previamente sobre esas normas y protocolo (tal y como establece el llamado «Test Barbulescu» del TEDH).
Bloqueo y eliminación de cuentas
Tras la salida del empleado, se debe proceder al bloqueo automático de la cuenta de correo electrónico corporativa. Este proceso debe realizarse dentro de un período razonable, generalmente entre 1 y 3 meses, dependiendo del cargo y las responsabilidades del trabajador.
Acceso a mensajes relevantes
Si es necesario, la empresa puede recuperar mensajes específicos de la cuenta antes de proceder con su bloqueo definitivo.
Es recomendable realizar esta acción en presencia del exempleado, para garantizar la transparencia y el respeto por su privacidad.
El Dictamen 2/2017 sobre el tratamiento de datos en el trabajo establece además que las empresas solo podrán acceder a las comunicaciones electrónicas de sus empleados o extrabajadores cuando existan «motivos de seguridad u otros motivos legítimos».
Redireccionamiento de correo
Legalmente, la empresa puede redireccionar el correo corporativo de un exempleado a otro empleado relevante, especialmente si el primero era un punto de contacto clave para clientes, proveedores u otros stakeholders.
Sin embargo, se debe configurar una respuesta automática informando del cambio y proporcionando la nueva dirección de contacto.
El acceso al correo de antiguos trabajadores esta permitido, pero para evitar riesgos legales y proteger los derechos de los empleados, es esencial que las empresas implementen políticas claras y procedimientos robustos para la gestión de cuentas de correo de extrabajadores.
Las consecuencias de no cumplir con las directrices establecidas puede resultar en sanciones significativas por vulneración de los principios de licitud del tratamiento, limitación de la finalidad de tratamiento, limitación de los plazos de conservación, transparencia e información, o por no atender debidamente el derechos de supresión del exempleado.
Cómo gestionar el correo de un trabajador despedido paso a paso
Para que lo tengas fácil, este sería el circuito completo que recomendamos aplicar (y dejar por escrito en el protocolo de offboarding de la empresa):
- Comunica el procedimiento al trabajador antes de su salida: qué pasará con su cuenta, durante cuánto tiempo y quién la gestionará.
- Recupera la información profesional necesaria (clientes, proyectos, facturas), a ser posible en su presencia o con un testigo, y sin entrar en contenido personal.
- Cambia la contraseña y bloquea el acceso el mismo día de la salida. Revoca también las sesiones abiertas en móviles y portátiles.
- Configura una respuesta automática que informe de que la persona ya no trabaja en la empresa e indique la nueva dirección de contacto.
- Mantén la redirección un plazo limitado (entre 1 y 3 meses, según la relevancia del puesto) y déjalo documentado.
- Elimina la cuenta definitivamente pasado ese plazo, y registra la fecha de supresión.
Consejo extra: guarda evidencias de cada paso (quién accedió, cuándo y para qué). Si el extrabajador reclama ante la AEPD, esa trazabilidad es tu mejor defensa.
Los derechos del extrabajador sobre su correo corporativo
Que la cuenta sea propiedad de la empresa no significa que el extrabajador pierda todos sus derechos. Tras su salida, conserva especialmente dos:
- Derecho de supresión: puede exigir que sus datos personales dejen de tratarse una vez cumplida la finalidad. Mantener su cuenta activa indefinidamente «por si acaso» vulnera el principio de limitación del plazo de conservación (te contamos los plazos en nuestra guía sobre los plazos máximos de conservación de datos personales).
- Derecho a la intimidad y al secreto de las comunicaciones: sigue vigente sobre los mensajes personales que pudiera haber en el buzón, aunque la relación laboral haya terminado. Los mismos límites que aplican a la monitorización del ordenador de un empleado en activo aplican aquí.
Preguntas frecuentes sobre el acceso al correo corporativo de un extrabajador
¿Puede la empresa responder correos desde la cuenta del extrabajador?
No es recomendable, y hacerlo como si fuera la persona que se ha ido es directamente suplantación. Lo correcto es la respuesta automática informando del cambio y, si hace falta continuidad, responder desde otra cuenta corporativa identificándose correctamente.
¿Cuánto tiempo puede mantenerse activa la cuenta tras el despido?
No hay un plazo fijado por ley, pero el criterio general es mantener la redirección o autorespuesta entre 1 y 3 meses y después eliminar la cuenta. Cuanto más relevante fuera el puesto de cara a clientes y proveedores, más justificado está apurar el plazo, siempre documentándolo.
¿Qué pasa si al revisar la cuenta aparecen correos personales?
No deben leerse. La búsqueda tiene que limitarse a la información profesional necesaria, y si aparece contenido claramente personal, se aparta sin abrirlo. Acceder a él sin una justificación muy sólida puede invalidar las pruebas obtenidas y generar responsabilidad para la empresa.
¿Qué sanciones puede recibir la empresa si lo hace mal?
Las infracciones en esta materia pueden considerarse graves o muy graves según el caso (falta de información, acceso desproporcionado, conservación indefinida de la cuenta…). Tienes ejemplos reales de cuantías en nuestro artículo sobre las sanciones de la LOPD. Y recuerda que la cláusula informativa y las buenas prácticas del correo corporativo en general las tratamos en la guía sobre la ley de protección de datos y el correo electrónico.
Recomendaciones finales
En definitiva, el acceso a las cuentas de correo de trabajadores despedidos es posible y lícito cuando se sigue un procedimiento adecuado, se respeta la privacidad del empleado y se informa de manera transparente a todos los involucrados.
Elaborar un protocolo claro y transparente para la gestión de cuentas de correo de exempleados es fundamental para garantizar el cumplimiento y protección de datos. ¡No dudes en comenzar hoy mismo y asegurar la integridad de tu empresa!
Beatriz Sancho es especialista en protección de datos y cumplimiento normativo. Con experiencia en el sector energético y financiero, completó un Máster en Protección de Datos y Acceso a la Abogacía. Tras ejercer en Canarias, regresó a Zaragoza y en 2023 se unió a DEME Soluciones 360, aportando su experiencia legal en auditoría y consultoría.