Es viernes por la tarde, acabas de comunicar el despido a un trabajador de tu departamento comercial y el lunes la empresa tiene que seguir funcionando. El extrabajador gestionaba decenas de clientes clave desde su dirección nombre.apellido@tuempresa.com y no puedes permitirte perder esos contactos ni dejar correos sin responder.
La reacción inmediata en el 90 % de las pymes suele ser llamar al informático y darle una de estas dos órdenes: «Cámbiale la contraseña para que yo pueda entrar a revisar qué temas ha dejado a medias» o «Redirige todos los correos que lleguen a su cuenta hacia mi bandeja de entrada».
Si has hecho esto alguna vez, has incumplido directamente el Reglamento General de Protección de Datos (RGPD).
En Acorán vemos constantemente cómo un mal protocolo de salida de los empleados acaba en denuncias laborales y sanciones severas. Gestionar el buzón de correo de un trabajador despedido (o que se ha marchado voluntariamente) no es solo una cuestión de organización informática, es un tratamiento de datos personales de alto riesgo. Te explicamos qué puedes hacer, qué no, y cómo actuar paso a paso para evitar problemas con la Agencia Española de Protección de Datos (AEPD).
El error de base: pensar que «el correo es de la empresa»
El principal argumento que escuchamos en nuestro servicio de consultoría es: «Pero si el dominio lo pago yo y el ordenador es de la empresa, el correo me pertenece, ¿no?».
Sí y no. Las herramientas de trabajo son propiedad de la empresa, pero el Tribunal Constitucional y la AEPD han dejado muy claro que el trabajador tiene derecho a la intimidad y a la privacidad digital en el entorno laboral.
Aunque el correo sea corporativo, si la dirección identifica al trabajador (incluye su nombre y apellidos), se considera un dato de carácter personal. Además, es muy probable que en esa bandeja de entrada existan correos personales, contraseñas de servicios vinculados o comunicaciones privadas (médico, sindicatos, etc.) que la empresa no tiene ningún derecho a leer.
¿Puede la empresa leer los correos del trabajador despedido?
La respuesta corta es no. No puedes entrar en la cuenta de correo de un exempleado simplemente para «ver qué tenía pendiente» o «buscar un presupuesto».
Acceder al correo electrónico de un extrabajador sin su consentimiento o sin un motivo legal debidamente justificado y proporcionado vulnera el secreto de las comunicaciones y el derecho a la intimidad. Si el empleado se entera y te denuncia, la empresa se enfrenta a un problema muy serio que va más allá de la vía administrativa y puede llegar a la vía penal.
¿Y si sospechamos que ha robado información confidencial?
Aquí entramos en terreno pantanoso. Muchas empresas nos preguntan cómo pueden auditar el correo si tienen la certeza de que el trabajador ha estado reenviándose bases de datos a su correo personal antes de irse.
Si tu objetivo es proteger el secreto empresarial de tu negocio, solo podrás acceder al correo corporativo del extrabajador si se cumplen todas estas condiciones previas:
-
La empresa debe contar con una Política de Uso de Medios Informáticos firmada por el trabajador donde se le informe expresamente de que la empresa puede monitorizar el correo por motivos de seguridad o auditoría.
-
Debe estar prohibido el uso del correo corporativo para fines personales.
-
El acceso debe ser proporcionado y justificado (no vale leer todos los correos, solo buscar mediante palabras clave relacionadas con la fuga de información).
Si no tienes estos protocolos previos bien redactados y firmados, entrar al correo para buscar pruebas de un robo de datos es ilegal, y esas pruebas serán nulas en un juicio laboral.
Pasos legales para gestionar la cuenta de correo tras la salida del empleado
Para mantener la continuidad de tu negocio sin saltarte la ley de protección de datos, la AEPD establece un criterio bastante claro sobre cómo hay que proceder cuando un empleado abandona la organización. Estos son los pasos exactos que debes aplicar:
1. Bloqueo inmediato de la cuenta
En el momento en que se hace efectiva la baja o el despido, el primer paso es deshabilitar las credenciales de acceso del exempleado. Esto evita que pueda seguir enviando mensajes en nombre de la empresa o llevándose información. Sin embargo, la cuenta no se debe eliminar todavía, simplemente se bloquea el acceso.
2. Configurar un mensaje de respuesta automática (Out of office)
No puedes dejar a clientes o proveedores sin respuesta. La solución legal no es redirigir el correo, sino configurar una respuesta automática (autorrespuesta) que informe al remitente de que la persona ya no trabaja en la empresa.
Este mensaje debe ser profesional, neutro y aportar una vía de contacto alternativa. Por ejemplo:«Le informamos de que [Nombre del empleado] ya no presta servicios en nuestra compañía. Para asegurar que su consulta sea atendida con la mayor brevedad posible, por favor, dirija este y futuros correos a [nuevo correo corporativo / correo del departamento] o llame al teléfono [número]. Este buzón de correo no está siendo monitorizado y será eliminado en breve.»
3. Eliminación definitiva de la cuenta
La cuenta del extrabajador no puede mantenerse abierta eternamente. Una vez configurado el mensaje automático para dar tiempo a que los clientes habituales se enteren del cambio de contacto, la cuenta debe ser eliminada.
¿Cuánto tiempo debe durar ese periodo de transición? La AEPD no fija un plazo exacto en días, pero sí indica que debe ser un tiempo «prudencial». Desde Acorán recomendamos que este periodo no supere nunca 1 o 2 meses. Pasado ese tiempo, la dirección de correo (junto con todo su contenido) debe ser suprimida definitivamente de los servidores.
¿Se puede redirigir el correo de un exempleado a otro compañero?
Es una de las peores prácticas que puedes llevar a cabo. Configurar un reenvío automático desde la cuenta del empleado despedido hacia la cuenta de su jefe o de su sustituto está expresamente penalizado por la AEPD.
¿Por qué? Porque el remitente (un cliente, un proveedor o incluso el médico del extrabajador) cree que le está escribiendo de forma confidencial a una persona concreta. Al redirigir el correo, estás permitiendo que un tercero (la empresa) lea esa comunicación sin que el remitente ni el exempleado lo sepan. Esto supone una quiebra brutal de la privacidad.
En la práctica, si un cliente sigue escribiendo a la cuenta vieja, debe recibir el mensaje de error o la autorrespuesta para ser él mismo, de forma voluntaria, quien decida reenviar su petición a la nueva dirección comercial que le habéis facilitado.
Sanciones de la AEPD por espiar o mantener cuentas de extrabajadores
La AEPD no pasa por alto estas infracciones. En los últimos años hemos visto resoluciones muy duras contra empresas que gestionaron mal este proceso.
Mantener activa la cuenta de correo de un exempleado haciéndose pasar por él, redirigir sus correos en secreto o acceder a su bandeja sin los avisos legales previos suele desencadenar multas directas. Las sanciones por incumplir el RGPD en casos relacionados con buzones de correo de empleados despedidos suelen rondar entre los 2.000 € y los 15.000 € para pequeñas y medianas empresas, dependiendo de la cantidad de información vulnerada y del tiempo que la cuenta se haya mantenido activa de forma irregular.
Cómo te ayudamos desde Acorán a blindar tu protocolo de salidas
Despedir a alguien ya es suficientemente tenso como para sumarle el riesgo de una inspección de protección de datos. Para evitar que tu negocio se paralice, la clave está en la prevención: tener los textos legales bien firmados antes de que el problema ocurra.
En Acorán somos especialistas en consultoría de protección de datos para empresas. Ayudamos a tu departamento de Recursos Humanos a redactar las Políticas de Uso de Medios Digitales, los protocolos de desconexión y las normas de uso del correo corporativo. Con estos documentos, tu empresa tendrá la base legal necesaria para poder auditar equipos si hay sospechas de fraude, y un protocolo claro para que IT sepa exactamente cómo bloquear y gestionar las cuentas de correo cuando un trabajador abandona la compañía.
¿No estás seguro de si tu documentación actual te cubre las espaldas? Contáctanos y revisaremos tus protocolos laborales para que cumplas con el RGPD al 100 %.
Preguntas frecuentes
1. ¿Puede una empresa acceder al correo electrónico corporativo de un trabajador después de su despido?
Una empresa no puede acceder libremente al correo electrónico corporativo de un trabajador despedido para consultar sus mensajes o comprobar qué asuntos tenía pendientes. Aunque la cuenta sea propiedad de la empresa, debe respetar el derecho a la intimidad y a la privacidad digital del extrabajador, conforme al RGPD y la LOPDGDD.
El acceso únicamente podría justificarse cuando exista una finalidad legítima, como una auditoría de seguridad, y se cumplan previamente determinados requisitos: disponer de una política de uso de medios informáticos que informe expresamente de la posibilidad de monitorización, prohibir el uso personal del correo corporativo y limitar el acceso a lo estrictamente necesario y proporcionado.
2. ¿Está permitido que la empresa lea los correos personales de un empleado despedido?
No. La empresa no puede leer los correos personales de un trabajador despedido, aunque estos se encuentren en una cuenta corporativa. El hecho de que la dirección de correo pertenezca a la empresa no elimina el derecho del empleado a la intimidad y al secreto de las comunicaciones.
En una misma bandeja pueden existir comunicaciones privadas, como mensajes médicos, sindicales o personales, que la empresa no tiene derecho a consultar. Por tanto, acceder a estos mensajes sin una justificación legal puede vulnerar los derechos del trabajador y dar lugar a sanciones de la Agencia Española de Protección de Datos (AEPD), además de posibles responsabilidades legales.
3. ¿Qué derechos conserva un trabajador despedido sobre los datos personales y los correos electrónicos de su cuenta corporativa?
Un trabajador despedido conserva sus derechos fundamentales a la intimidad, la privacidad digital y el secreto de las comunicaciones, así como los derechos de protección de datos que le reconoce el RGPD.
Esto significa que la empresa no puede utilizar su cuenta para hacerse pasar por él, leer indiscriminadamente sus mensajes ni mantenerla activa indefinidamente. Cuando finaliza la relación laboral, debe bloquear sus credenciales de acceso, configurar una respuesta automática que informe del cambio de contacto y eliminar definitivamente la cuenta tras un periodo de transición prudencial.
Además, el extrabajador mantiene sus derechos sobre los datos personales que puedan encontrarse en esa cuenta, sin que el despido suponga la pérdida de su protección legal.
4. ¿Se puede acceder al correo electrónico de un trabajador despedido?
Como norma general, no se puede acceder libremente al buzón de un trabajador despedido. La empresa debe seguir un protocolo que proteja la privacidad del extrabajador y garantice la continuidad de la actividad empresarial.
Las medidas recomendadas son:
-
Bloquear el acceso: deshabilitar las credenciales del trabajador cuando se haga efectiva su salida.
-
Configurar una respuesta automática: informar a clientes y proveedores de que el empleado ya no trabaja en la empresa y facilitar una dirección de contacto alternativa.
-
Evitar los reenvíos automáticos: no redirigir los mensajes recibidos a la bandeja de otro trabajador.
-
Eliminar la cuenta: suprimirla definitivamente después de un periodo de transición prudencial, que desde Acorán se recomienda que no supere uno o dos meses.
El incumplimiento de estas obligaciones puede dar lugar a sanciones de la AEPD. Según la información facilitada, las multas en estos casos pueden situarse entre 2.000 y 15.000 euros para pequeñas y medianas empresas, dependiendo de las circunstancias de la infracción.
Otros artículos de interés:
Publicar fotos y vídeos de empleados en la web y redes sociales: límites legales y RGPD
Comentarios recientes