Articolo a cura di: Redazione - Studio Legale Calvello
Quando un dipendente lascia l’azienda, la gestione dei suoi accessi informatici non può essere considerata una semplice operazione amministrativa. Account di posta elettronica, gestionali, CRM, cartelle condivise, servizi cloud, VPN e database possono contenere dati personali di clienti, colleghi, fornitori e altri soggetti. Se le credenziali dell’ex dipendente rimangono attive, oppure se questi conserva copie dei dati aziendali, l’impresa deve capire rapidamente quali informazioni risultano ancora accessibili, se vi siano stati accessi successivi alla cessazione del rapporto e quali misure adottare.
Il problema presenta anche un secondo profilo, spesso confuso con il primo: dopo l’uscita del lavoratore è la stessa azienda a dover gestire correttamente i suoi account, in particolare la casella di posta elettronica individuale. Continuità operativa e necessità di recuperare informazioni aziendali non consentono automaticamente di mantenere attivo l’account personale dell’ex dipendente o di consultarne liberamente la corrispondenza. Occorre quindi distinguere tra revoca degli accessi dell’utente cessato, gestione dei dati già presenti nei sistemi aziendali e trattamento dell’account dopo la fine del rapporto.
Ex dipendente con accesso ai dati aziendali: quando nasce un problema privacy
La cessazione del rapporto dovrebbe determinare, secondo procedure organizzative definite dall’impresa, la tempestiva revisione delle autorizzazioni attribuite alla persona che esce dall’organizzazione. Dal punto di vista del GDPR, il punto centrale è semplice: chi non opera più per conto del titolare non deve continuare ad accedere ai dati personali sulla base delle autorizzazioni ricevute durante il rapporto di lavoro. Questo principio riguarda tanto il dipendente dimissionario quanto quello licenziato e assume particolare rilievo quando l’utente disponeva di privilegi elevati o poteva accedere a grandi quantità di informazioni.
La revoca non dovrebbe limitarsi alla password della postazione di lavoro. In un ambiente aziendale possono esistere account Microsoft 365 o Google Workspace, accessi al CRM e all’ERP, VPN, applicazioni cloud, archivi documentali, cartelle di rete, sistemi HR, software gestionali, dispositivi mobili e credenziali per servizi forniti da soggetti terzi. Un account principale disabilitato non esclude quindi che siano rimaste operative altre utenze. Per questo la gestione degli accessi dovrebbe essere coordinata tra HR, IT e, quando presente, DPO o funzione privacy, individuando preventivamente chi comunica la cessazione, chi revoca le autorizzazioni e chi verifica che l’operazione sia stata completata.
La questione diventa più delicata quando l’azienda scopre che le credenziali dell’ex dipendente sono ancora attive. L’esistenza dell’utenza non dimostra, da sola, che vi sia stato un accesso successivo o che siano stati sottratti dati. È però necessario verificare concretamente l’accaduto: quali sistemi erano raggiungibili, quali categorie di dati contenevano, per quanto tempo l’accesso è rimasto possibile e, quando tecnicamente verificabile, se i log mostrino autenticazioni, consultazioni, download, esportazioni o altre attività successive alla cessazione.
Un problema diverso si presenta quando risulta che il lavoratore, prima di lasciare l’impresa o successivamente attraverso credenziali rimaste operative, abbia copiato un database clienti, esportato contatti dal CRM, trasferito documenti verso un account personale o conservato file contenenti dati personali. In questi casi la società non deve fermarsi alla revoca tardiva delle credenziali: occorre ricostruire l’evento e stabilire se l’accesso, la copia, la conservazione o l’utilizzo dei dati integrino una violazione dei dati personali e richiedano quindi l’attivazione della procedura aziendale di gestione del data breach.
La prevenzione passa anche dalla documentazione organizzativa. Una procedura di offboarding coerente con il sistema privacy dell’impresa permette di collegare la cessazione del rapporto alla revoca delle autorizzazioni, alla restituzione dei dispositivi, alla gestione degli account e alla verifica degli accessi residui. Il tema si inserisce quindi nel più ampio processo di adeguamento GDPR aziendale e deve essere aggiornato quando cambiano sistemi informatici, modalità di lavoro o servizi cloud utilizzati dall’organizzazione.
Email, gestionali e credenziali dell’ex dipendente: quali verifiche deve effettuare l’azienda
Quando emerge un accesso ancora possibile o sospetto, la prima esigenza è mettere in sicurezza i sistemi senza compromettere gli elementi necessari per ricostruire ciò che è accaduto. La disabilitazione delle credenziali deve quindi accompagnarsi, quando pertinente, alla conservazione dei log disponibili e alla verifica delle utenze collegate. L’obiettivo è distinguere una semplice omissione organizzativa, come un account rimasto attivo ma mai utilizzato, da un accesso effettivamente avvenuto e, ancora, da un accesso seguito da consultazione, copia, modifica, cancellazione o trasferimento di dati.
Questa distinzione incide direttamente sulla valutazione privacy. Il GDPR impone al titolare di adottare misure tecniche e organizzative adeguate al rischio e di assicurare che le persone autorizzate trattino i dati secondo le istruzioni ricevute. La gestione del ciclo di vita delle utenze, dalla loro creazione fino alla revoca, rientra quindi nelle misure attraverso le quali l’azienda deve governare concretamente l’accesso ai dati. Una procedura formalmente esistente ma non collegata ai processi HR e IT può rivelarsi inefficace proprio nel momento della cessazione del rapporto.
Particolare cautela richiede la posta elettronica aziendale nominativa dell’ex dipendente. La prassi di lasciare indefinitamente attiva una casella personale affinché un collega o un responsabile possa leggere i messaggi successivi non è una soluzione neutra sotto il profilo privacy. Il Garante per la protezione dei dati personali ha più volte indicato che, dopo la cessazione del rapporto, l’account individualizzato deve essere disattivato e rimosso, adottando per un periodo adeguato sistemi automatici che informino i mittenti della cessazione e forniscano recapiti aziendali alternativi, con misure che impediscano la visualizzazione dei nuovi messaggi destinati all’ex lavoratore.
La necessità dell’impresa di assicurare continuità alle attività dovrebbe quindi essere organizzata prima dell’uscita del dipendente, evitando che informazioni essenziali restino esclusivamente nella sua casella personale. Cartelle condivise, caselle funzionali, sistemi documentali e procedure di passaggio delle consegne consentono di separare la disponibilità delle informazioni aziendali dalla consultazione indiscriminata della corrispondenza nominativa. Anche un account destinato esclusivamente a finalità professionali può infatti contenere dati personali riferibili al lavoratore e ai soggetti con i quali ha comunicato.
Se l’ex dipendente ha invece utilizzato credenziali ancora valide per entrare nei sistemi, la valutazione cambia. L’azienda deve accertare l’estensione dell’accesso e le conseguenze sui dati personali coinvolti. Qualora si configuri una violazione di sicurezza che comporti accidentalmente o in modo illecito accesso o divulgazione non autorizzati, perdita, modifica o distruzione di dati personali, occorre applicare la disciplina del data breach. Non ogni account dimenticato comporta automaticamente una notifica al Garante: la decisione dipende dall’esistenza della violazione e dalla valutazione del rischio per i diritti e le libertà delle persone fisiche coinvolte.
Per questo, quando si scopre che un ex dipendente ha mantenuto accesso a CRM, database clienti, archivi HR o altri sistemi contenenti dati personali, è opportuno evitare conclusioni immediate sia in un senso sia nell’altro. Occorre ricostruire cronologia, autorizzazioni, dati interessati, attività registrate e misure già adottate, documentando la valutazione compiuta. È proprio in situazioni di questo tipo che un sistema privacy aziendale correttamente aggiornato consente di individuare responsabilità operative e procedure senza dover improvvisare la gestione dell’incidente quando il problema è già emerso.
Credenziali non revocate, accessi successivi e data breach: come deve intervenire l’azienda
Se dalle verifiche emerge che l’ex dipendente ha effettivamente utilizzato credenziali ancora attive, l’azienda deve trattare l’accaduto come un incidente da analizzare in modo documentato. Il primo intervento riguarda il contenimento: revoca delle utenze, modifica delle credenziali eventualmente condivise, chiusura degli accessi remoti e verifica di token, sessioni ancora aperte, dispositivi autorizzati e servizi esterni ai quali la persona poteva collegarsi. Parallelamente occorre preservare, per quanto possibile, i log e gli altri elementi tecnici utili a ricostruire le operazioni effettuate.
Dal punto di vista del GDPR, il passaggio decisivo consiste nello stabilire se l’episodio abbia determinato una violazione dei dati personali. Un accesso non autorizzato ai dati può rientrare nella definizione di data breach anche quando le informazioni non risultano cancellate o pubblicate: la violazione della riservatezza può derivare dalla possibilità concreta che un soggetto non più autorizzato abbia consultato o acquisito dati personali. La valutazione deve però partire dai fatti disponibili. Un’utenza rimasta attiva senza evidenza di utilizzo, un accesso documentato a un sistema e l’esportazione di un database contenente migliaia di anagrafiche sono situazioni differenti e non possono essere trattate allo stesso modo.
Quando il data breach è accertato, l’impresa deve valutarne il rischio per i diritti e le libertà delle persone fisiche. Devono essere considerate, tra le altre circostanze pertinenti, la natura e la quantità dei dati interessati, il numero e la tipologia degli interessati, la possibilità di identificazione, le conseguenze concretamente ipotizzabili, le finalità dell’eventuale acquisizione e le misure che possono ridurre il rischio. Se ricorrono i presupposti previsti dall’art. 33 GDPR, la violazione deve essere notificata al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza. Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere valutato anche l’obbligo di comunicazione agli interessati previsto dall’art. 34 GDPR.
Non è quindi corretto applicare automaticamente l’equazione “ex dipendente con credenziali attive = notifica al Garante”. L’azienda deve prima qualificare l’evento, accertare quali dati personali siano stati coinvolti e svolgere la valutazione richiesta dal Regolamento. Anche quando la notifica non risulta dovuta, il GDPR richiede al titolare di documentare le violazioni dei dati personali, comprese le circostanze, le conseguenze e i provvedimenti adottati, in modo da consentire all’autorità di controllo di verificare il rispetto dell’art. 33.
L’incidente dovrebbe poi essere utilizzato per verificare perché l’accesso sia rimasto possibile. Se la causa è una procedura di offboarding incompleta, non basta chiudere l’utenza interessata: occorre controllare se lo stesso problema possa riguardare altri ex dipendenti e se il processo di revoca degli accessi debba essere modificato. Può essere necessario rivedere la mappatura delle utenze, le responsabilità tra HR e IT, le istruzioni agli autorizzati, le procedure di gestione degli incidenti e, più in generale, la documentazione con cui l’impresa dimostra la propria accountability. Quando queste verifiche fanno emergere carenze più estese, può essere opportuno sottoporre il sistema a un controllo della documentazione privacy aziendale, evitando di circoscrivere l’intervento alla singola password dimenticata.
Un caso pratico: l’ex dipendente che conserva l’accesso al CRM dopo le dimissioni
Consideriamo, come esempio realistico e anonimizzato, un’azienda nella quale un dipendente dell’area commerciale lascia il proprio incarico. L’account principale viene disabilitato, ma durante l’offboarding non viene revocata un’utenza separata utilizzata per accedere al CRM aziendale. Alcuni giorni dopo, l’impresa rileva un’autenticazione effettuata con quelle credenziali e si pone il problema di capire se siano stati consultati o esportati dati relativi ai clienti.
L’intervento non può limitarsi alla chiusura immediata dell’account. Occorre mettere in sicurezza l’accesso e ricostruire, attraverso le informazioni tecniche disponibili, quali operazioni siano state effettuate, quali dati fossero raggiungibili dall’utenza e se vi siano evidenze di consultazioni o esportazioni. L’elemento che richiede maggiore attenzione è la distinzione tra la mera possibilità di accesso e un’effettiva compromissione della riservatezza dei dati personali. Su questa ricostruzione deve essere svolta la valutazione dell’eventuale data breach e dei conseguenti adempimenti.
Contestualmente, l’azienda deve verificare il proprio processo di cessazione delle utenze. Se l’account è rimasto operativo perché il sistema HR comunicava all’IT soltanto la necessità di chiudere l’utenza principale, mentre gli applicativi secondari venivano gestiti separatamente, il problema è organizzativo oltre che tecnico. La procedura può quindi essere riorganizzata prevedendo un inventario degli accessi associati a ciascun ruolo, responsabilità precise per la loro revoca e una verifica conclusiva dell’avvenuta disabilitazione. In questo modo la gestione dell’episodio non si esaurisce nell’intervento sull’ex dipendente, ma consente di correggere la causa che ha reso possibile il mantenimento dell’accesso.
FAQ sull’accesso ai dati aziendali da parte di ex dipendenti
Un account rimasto attivo dopo la cessazione del rapporto costituisce automaticamente un data breach?
No. La mancata disattivazione dell’account rappresenta una criticità che deve essere verificata, ma occorre accertare se si sia verificata una violazione dei dati personali. L’azienda dovrebbe controllare gli accessi registrati, i sistemi raggiungibili dall’utenza e le eventuali attività effettuate. Se emerge un accesso non autorizzato a dati personali, sarà necessario valutare il data breach secondo gli artt. 33 e 34 GDPR e stabilire gli adempimenti conseguenti.
Cosa deve fare l’azienda se scopre che un ex dipendente ha scaricato il database dei clienti?
È necessario bloccare gli accessi ancora disponibili, preservare gli elementi tecnici utili alla ricostruzione e individuare quali dati siano stati acquisiti, in quale quantità e con quali modalità. Se il database contiene dati personali, l’episodio deve essere esaminato anche sotto il profilo della violazione dei dati personali. La valutazione deve considerare il rischio per gli interessati e stabilire se ricorrano i presupposti per la notifica al Garante e, nei casi previsti dall’art. 34 GDPR, per la comunicazione alle persone coinvolte. Restano distinti gli ulteriori profili giuridici connessi all’eventuale sottrazione o utilizzo delle informazioni aziendali.
L’azienda può mantenere attiva l’email nominativa dell’ex dipendente per ricevere i messaggi dei clienti?
La continuità aziendale non giustifica il mantenimento indiscriminato e prolungato della casella nominativa dell’ex lavoratore con possibilità di consultare i nuovi messaggi. La gestione dovrebbe essere organizzata mediante la disattivazione dell’account e l’adozione, per un periodo adeguato, di un messaggio automatico che informi il mittente della cessazione e indichi un recapito aziendale alternativo, secondo modalità coerenti con i principi applicabili al trattamento dei dati personali.
Quando devono essere revocate le credenziali di un dipendente che lascia l’azienda?
La revoca deve essere coordinata con il momento in cui viene meno l’autorizzazione ad accedere ai sistemi e ai dati per ragioni lavorative. L’azienda dovrebbe evitare intervalli nei quali, dopo la cessazione effettiva delle funzioni, rimangano utilizzabili VPN, CRM, cloud, posta elettronica o altri applicativi. Nei casi in cui il lavoratore disponga di account privilegiati o amministrativi, la procedura richiede particolare attenzione anche alle password condivise, ai token e alle sessioni già autenticate.
È opportuno controllare anche gli account degli altri ex dipendenti?
Se un incidente rivela che il processo di disattivazione delle utenze non ha funzionato correttamente, limitarsi al singolo account può non essere sufficiente. Una verifica sugli utenti cessati e sulle diverse applicazioni utilizzate dall’azienda può permettere di individuare ulteriori credenziali ancora operative. L’estensione e le modalità del controllo devono essere definite in relazione alla struttura dei sistemi, ai dati trattati e alle procedure di gestione degli accessi adottate dall’impresa.
Ex dipendente con accesso ai dati: richiedi una valutazione del problema privacy
Credenziali ancora attive, accessi successivi alla cessazione del rapporto, copie di database, utilizzo di account aziendali o gestione della posta elettronica dell’ex dipendente richiedono valutazioni diverse a seconda dei sistemi coinvolti, dei dati accessibili e di ciò che è effettivamente accaduto. Quando vi sono dati personali, occorre anche stabilire se l’episodio costituisca un data breach, quali misure debbano essere adottate e se sussistano obblighi nei confronti del Garante o degli interessati.
Lo Studio Legale Calvello assiste le imprese nella ricostruzione del problema, nella valutazione degli adempimenti GDPR e nella revisione delle procedure aziendali di gestione degli accessi. Se la vostra azienda ha scoperto che un ex dipendente conserva credenziali, può ancora accedere ai sistemi o ha acquisito dati aziendali, potete richiedere una valutazione in materia di GDPR e privacy aziendale descrivendo il caso attraverso il modulo dedicato.
