Como regla general, la cuenta de correo corporativa de una persona trabajadora deberá ser bloqueada y eliminada tras el cese de ésta en la organización para evitar que dicha cuenta pueda seguir recibiendo y enviando comunicaciones. Dicho bloqueo, deberá llevarse a cabo preferiblemente el día del cese.
Si bien, de acuerdo con el contexto y, en particular, el grado de responsabilidad en la empresa de la persona cesada, se puede aceptar mantener la cuenta activa por un período de tiempo razonable. Lo recomendable sería la creación de un mensaje de respuesta automática previo al bloqueo o supresión de la cuenta, que indique a quien se dirija a ella una nueva dirección a la cual dirigir las comunicaciones que venían haciendo a esta cuenta, indicando que la cuenta anterior ha causado baja y la dirección de contacto de la persona a la que tiene que dirigirse a partir de ahora en su lugar.
Excepcionalmente, cuando haya motivos importantes para la continuidad de la actividad de la entidad y/o de seguridad que lo justifiquen, la cuenta podrá ser redireccionada a otra persona trabajadora de la organización durante el periodo mínimo indispensable para atender esos motivos.
En caso de tener que acceder a la cuenta de correo de la persona extrabajadora, al haberse extinguido la relación laboral la base jurídica que legitime al acceso no puede ser ya la relación contractual (art. 6.1.b RGPD), cabrían entonces dos posibilidades:
• Solicitar el consentimiento a la persona extrabajadora (art. 6.1.a RGPD),
• Que fuese necesario para la satisfacción de intereses legítimos perseguidos por la organización (responsable del tratamiento) o por clientes, proveedores, etc. (terceros) (art. 6.1.f RGPD), siempre que el no acceder pueda suponer la pérdida de comunicaciones importantes para la continuidad de la actividad de la entidad y no haya ningún otro mecanismo que permita alcanzar el objetivo perseguido (continuidad de la actividad) sin necesidad de acceder a la cuenta.
Para hacerlo de manera lícita deberán tenerse en cuenta además las siguientes cuestiones:
• Se debe informar de manera previa a la persona extrabajadora.
• El acceso debe llevarse a cabo:
1. De la manera menos intrusiva posible.
2. No por un tiempo indefinido, sino manteniendo la cuenta activa durante un período de tiempo razonable y no desproporcionado.
3. Si es posible se debería hacer antes de la marcha de la persona extrabajadora y, cuando sea posible, en su presencia.
Conforme al art. 32 LOPDGDD, una vez extinguida la relación laboral y no siendo ya necesario el acceso, debería procederse al archivo y bloqueo de las comunicaciones recibidas y enviadas por la persona extrabajadora para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas, transcurrido ese plazo deberá procederse a la destrucción.