«Tanto se n'è andato in buoni rapporti». È la frase con cui, in molte aziende, si chiude la questione degli accessi di chi lascia il lavoro. Poi, mesi dopo, si scopre che l'ex collaboratore riceve ancora le notifiche del CRM, che la sua casella di posta è attiva, o che la password della pagina Facebook è la stessa di quando c'era lui. Non serve malafede perché sia un problema: basta un account dimenticato e una password riutilizzata altrove.
Chiudere gli accessi è una procedura semplice, ma va fatta ogni volta e nello stesso modo. Ecco come.
Perché conta, anche se nessuno ha cattive intenzioni
Il GDPR chiede a chi tratta dati personali di proteggerli con misure tecniche e organizzative adeguate, e di farli usare solo a chi ne ha bisogno per il proprio lavoro. Un account ancora aperto di una persona che non lavora più in azienda è l'esatto contrario: un accesso a dati di clienti, fornitori e colleghi che nessuno controlla più.
C'è poi un rischio più concreto: le credenziali di un account non usato non vengono più sorvegliate. Se finiscono in una violazione di un altro servizio, qualcuno può entrare senza che nessuno se ne accorga. È uno degli scenari che abbiamo descritto in Una mail del capo chiede un bonifico urgente: chi controlla?
Prima di tutto: sapere a cosa ha accesso
Non si può chiudere quello che non si conosce. Per ogni collaboratore serve un elenco degli accessi, aggiornato quando arriva e quando cambia ruolo. Di solito comprende:
- posta e cloud: casella personale, caselle condivise, cartelle e documenti in condivisione;
- gestionali: ERP, CRM, contabilità, home banking aziendale;
- sito e e-commerce: pannello di amministrazione, dominio, hosting;
- social e servizi online: pagine aziendali, account pubblicitari, strumenti di marketing;
- accessi fisici e dispositivi: badge, chiavi, computer e telefono aziendali.
Se oggi questo elenco non esiste, il momento migliore per farlo è prima che qualcuno se ne vada.
La procedura, il giorno dell'uscita
- Disattiva gli account personali lo stesso giorno in cui finisce il rapporto, non «quando c'è tempo».
- Cambia le password condivise che conosceva: pagine social, caselle comuni, Wi-Fi, servizi con un solo account per più persone.
- Trasferisci la proprietà di file, pagine e account pubblicitari intestati alla persona, prima di chiuderli: alcuni servizi cancellano i contenuti insieme all'account.
- Ritira dispositivi e badge e scollega il telefono personale dalla posta aziendale, se era configurata.
- Annota cosa hai chiuso e quando: data, servizio, chi l'ha fatto. In caso di contestazione o di incidente, è la prova che la procedura è stata seguita.
La casella di posta dell'ex collaboratore
Qui il Garante per la protezione dei dati personali è stato chiaro. Con il provvedimento del 4 dicembre 2019 ha ritenuto illecito mantenere attivo l'account di posta di un dipendente dopo la fine del rapporto e accedere ai messaggi. La strada indicata è un'altra: rimuovere l'account, attivare per un periodo un messaggio automatico che indichi a chi scrive un indirizzo alternativo, e impedire tecnicamente la lettura dei messaggi in arrivo.
In pratica: niente inoltro silenzioso alla casella di un collega, niente «la teniamo aperta e ogni tanto ci guardiamo». Chi scrive va indirizzato al contatto giusto, e la casella si chiude. Se in azienda c'è un regolamento sull'uso della posta, è il posto dove scrivere questa regola, così è nota a tutti fin dall'assunzione.
Revocare un accesso non vuol dire cancellare i dati
Sono due cose diverse. Chiudere l'account toglie a una persona la possibilità di entrare. I documenti e i dati che ha prodotto restano dell'azienda, e alcuni vanno conservati per obblighi di legge, per esempio quelli fiscali e contabili. Prima di cancellare qualcosa chiediti se serve ancora e per quanto tempo va tenuto; nel dubbio, sposta il materiale in un archivio aziendale invece di eliminarlo insieme all'account.
Domande frequenti
Entro quando vanno chiusi gli accessi?
Il giorno in cui finisce il rapporto, o prima se la persona smette di lavorare su quei sistemi. Più a lungo un account resta aperto senza un motivo, più è difficile giustificarlo.
Posso inoltrare la posta dell'ex dipendente a un collega?
Il Garante ha indicato come soluzione la risposta automatica con un indirizzo alternativo, non l'inoltro o la lettura dei messaggi. Per i casi particolari confrontati con il tuo consulente privacy.
Vale anche per consulenti e fornitori esterni?
Sì. Agenzie, consulenti e tecnici che hanno avuto accesso al sito, al gestionale o ai social vanno inclusi nell'elenco, e il loro accesso va chiuso quando finisce l'incarico.
Il passo pratico: prendi il collaboratore che è uscito più di recente e verifica, servizio per servizio, se ha ancora un account attivo. Quello che trovi è la prima lista da chiudere, e la base del tuo elenco degli accessi.
Questo articolo ha scopo informativo e non costituisce consulenza legale. Fonti verificate il 24 ottobre 2026.
