Un comercial deja la empresa un viernes. El lunes, la dirección pide que su cuenta pepe.perez@empresa.es siga activa «para no perder clientes» y que alguien lea lo que entre. Es una consulta que llega a RRHH cada semana. Y casi siempre se resuelve mal.
Qué hacer con el correo de un exempleado tiene hoy una respuesta bastante clara. Las autoridades europeas de protección de datos han resuelto numerosos casos y su criterio coincide: bloquear el acceso el último día y activar una respuesta automática con otro contacto durante un tiempo limitado. Después, suprimir el buzón. No caben la cuenta abierta indefinidamente, la redirección sin más ni la lectura «por si acaso». La multa más reciente, de mayo de 2026, asciende a 176.000 euros.
En este artículo vamos a tratar...
Primera distinción: cuenta con nombre o cuenta genérica
Antes de decidir nada, hay que mirar la dirección.
Una cuenta como pepe.perez@ o pperez@ identifica a una persona. Es un dato personal en el sentido del artículo 4.1 del RGPD. Además, quien escribe a ella cree que habla con esa persona. Mantenerla activa tras la salida supone seguir tratando datos de alguien con quien ya no hay relación. Y engaña a clientes y proveedores, que no saben que otra persona lee sus mensajes.
Una cuenta genérica o funcional, como info@, ventas@ o administracion@, no está ligada a nadie. Puede seguir activa y pasar a otro empleado, porque su finalidad no termina con una salida. Eso sí, contiene datos de terceros y necesita control de accesos.
De aquí sale la primera recomendación práctica. En puestos de cara al cliente, la relación comercial debería llevarse desde direcciones genéricas o compartidas. Así, el problema del correo de un exempleado casi desaparece.
El correo de un exempleado en nueve casos sancionados
| Autoridad | Año | Qué pasó | Sanción |
|---|---|---|---|
| Bélgica | 2026 | Buzón activo más de un año | 176.000 € |
| Bélgica | 2020 | Buzones de un exdirector activos durante años | 15.000 € |
| Bélgica | 2021 | Buzón vinculado al de un compañero | Amonestación |
| Italia | 2019 | Redirigido a sistemas 1 año y 7 meses | Amonestación |
| Italia | 2023 | Redirección de 120 días | 5.000 € |
| Italia | 2024 | Contenido guardado 6 meses | 40.000 € |
| Italia | 2026 | Cuentas activas 6 meses | 5.000 € |
| Noruega | 2021 | Accesos diarios al buzón | ≈15.000 € |
| España | 2022 | Exdocente con acceso a su cuenta | Apercibimiento |
Bélgica, 2026: 176.000 euros por un buzón activo más de un año
Qué pasó. Una trabajadora de una gran empresa tecnológica descubrió, seis meses después de irse, que su buzón seguía activo. Pidió acceso y supresión. El buzón llevaba más de un año abierto cuando intervino la autoridad.
Por qué se sancionó. La Autoridad belga de Protección de Datos (Decisión 101/2026) admitió que el interés legítimo cubre mantener el buzón alrededor de un mes, para avisar a los contactos de quién asume sus asuntos. Pasado ese tiempo, la justificación se agota. Impuso algo más de 160.000 euros por tratamiento sin base jurídica y unos 16.000 por falta de transparencia. Ni la trabajadora ni sus contactos sabían que el buzón seguía activo. Además, la empresa no tenía medidas para garantizar la supresión ni atendió bien el derecho de acceso.
La lección. Bloquear el acceso no basta si el buzón sigue existiendo: mientras se conserve, sigue habiendo tratamiento de datos.
Bélgica, 2020: el caso que fijó el criterio del mes
Qué pasó. Los buzones de un antiguo director, algunos con nombres de familiares suyos, siguieron activos años después de su salida.
Por qué se sancionó. La Decisión 64/2020 apreció infracción de los principios de limitación de la finalidad, minimización y limitación del plazo de conservación, y falta de base jurídica. También sancionó no atender su solicitud de supresión en un mes. La multa fue de 15.000 euros, con la obligación de aprobar una política de cierre de buzones.
La lección. La autoridad describió la práctica correcta:
- Bloquear el buzón, como tarde, el último día.
- Avisar antes a la persona y activar una respuesta automática con otro contacto.
- Mantenerla alrededor de un mes. Como máximo, unos tres meses en puestos relevantes, siempre justificado y comunicado.
- Evitar la redirección automática.
- Dejar que el trabajador recupere sus mensajes privados antes de irse.
- Suprimir el buzón al terminar el plazo.
Bélgica, 2021: el buzón, vinculado al de un compañero
Qué pasó. Al terminar la colaboración de una persona a finales de 2019, el responsable informático vinculó su buzón al de un compañero. Ese compañero podía leer los mensajes dirigidos a ella y contestó al menos uno desde su dirección. Dos semanas después de la salida, la cuenta seguía activa.
Por qué se sancionó. La Decisión 133/2021 recordó que el interés legítimo puede amparar una respuesta automática durante un periodo limitado. No ampara que otra persona lea el buzón. Como además no se informó al afectado de ese interés, la entidad no pudo invocarlo. Se impuso una amonestación sin multa, entre otras razones porque la cuenta ya estaba cerrada.
La lección. No es solo una cuestión de plazo. Poner el buzón en manos de un compañero es, por sí mismo, el problema.
Italia, 2019: redirigido al informático durante año y medio
Qué pasó. Una empresa mantuvo durante un año y siete meses la cuenta de un exempleado, redirigida al responsable de sistemas. Uno de esos correos acabó aportado en un juicio contra el propio trabajador.
Por qué se sancionó. El Garante italiano consideró ilícita una redirección tan prolongada, por falta de necesidad y proporcionalidad. Además, no existía una política conocida por la plantilla. Impuso una amonestación.
La lección. Avisar de palabra no basta. Lo que se hará con la cuenta debe estar en una política escrita.
Italia, 2023: 120 días de redirección cuando bastaban 30
Qué pasó. Una agencia de seguros redirigió durante 120 días el correo de dos excolaboradores para reasignar su cartera de clientes. Esos mensajes los leía un encargado de reparto sin autorización para ello. Y no había prueba de una respuesta automática.
Por qué se sancionó. El Garante comprobó que la reasignación de clientes había durado unos 30 días, así que los 120 eran excesivos. También consideró excesivo conservar sin límite el contenido de los buzones. Impuso 5.000 euros de multa y la obligación de revisar la política interna.
La lección. Si se alega la continuidad del negocio, el plazo debe ajustarse a lo que de verdad dura el traspaso.
Italia, 2024: 40.000 euros por guardar los buzones seis meses
Qué pasó. La política de una empresa conservaba durante seis meses el contenido de los buzones de quienes se marchaban. Además, negó a un exdirectivo el acceso a sus correos.
Por qué se sancionó. La resolución del Garante rechazó el interés legítimo. El correo no es un sistema de gestión documental, y hay medios menos intrusivos para la continuidad del negocio. La política, además, prometía desactivación y respuesta automática, y no se cumplió. También apreció vulneración del derecho de acceso.
La lección. Lo que deba conservarse va al gestor documental o al CRM, no al buzón de quien se fue.
Italia, 2026: seis meses activa y sin ponderación previa
Qué pasó. Una empresa mantuvo seis meses las cuentas de un exempleado. Alegó que quería traspasar clientes y que temía un pleito. Tampoco contestó a su solicitud de supresión.
Por qué se sancionó. La resolución de 17 de abril de 2026 reprochó que no existiera una ponderación del interés legítimo antes de decidir. La que se aportó después fijaba tres meses, no seis. Un pleito que nunca llegó no justificaba negar la supresión. Multa de 5.000 euros.
La lección. La ponderación se hace antes y por escrito, y después se cumple.
Noruega, 2021: entrar a diario en el buzón
Qué pasó. Un responsable cambió la contraseña de un exempleado y entró a diario en su buzón durante semanas. En total, el acceso se prolongó más de cinco meses.
Por qué se sancionó. La autoridad noruega no encontró base jurídica para ese acceso, que rozaba la vigilancia del trabajador. Tampoco había procedimiento interno ni se suprimió el contenido. Multa de 150.000 coronas, unos 15.000 euros.
La lección. Acceder al buzón de un exempleado sin procedimiento es de lo peor que puede hacer una empresa.
España, 2022: el exempleado seguía entrando en su cuenta
Qué pasó. Un profesor de un instituto público terminó su relación al acabar el curso, pero nadie le retiró el acceso al correo corporativo. Meses después recibió un aviso de inicio de sesión en esa cuenta y reclamó.
Por qué se sancionó. En la resolución PS/00447/2022, la AEPD apreció una infracción del artículo 32 del RGPD por falta de medidas de seguridad. Al tratarse de una Administración pública, la sanción fue un apercibimiento. Una empresa privada queda sujeta al régimen general de multas.
La lección. El riesgo no es solo que la empresa lea el buzón. También lo es que el exempleado conserve el acceso a información que ya no le corresponde.
Lo que dice la AEPD, y lo que no
La guía de la AEPD sobre relaciones laborales recuerda que, al terminar la relación laboral, desaparece la base jurídica y procede el bloqueo de los datos. Admite que el tratamiento continúe si el empleador demuestra un interés legítimo concreto. No hemos localizado ninguna resolución ni guía de la AEPD que fije un plazo para la respuesta automática o que sancione la redirección. Por eso, los criterios belga e italiano, que aplican el mismo RGPD, son hoy la mejor referencia.
¿Redirigir el correo de un exempleado o poner una respuesta automática?
La respuesta automática es la opción segura. Informa al remitente de que la persona ya no está y le indica a quién escribir. El cliente no se pierde y nadie lee mensajes que no iban dirigidos a él.
La redirección es otra cosa. Los mensajes dirigidos a una persona llegan a otra sin que el remitente lo sepa. Entre ellos puede haber correos de un médico, de un banco o de otro empleador. Por eso las autoridades la desaconsejan y la han sancionado cuando se prolonga.
Si en un caso concreto es imprescindible, por ejemplo para traspasar un cliente importante, nuestro criterio es claro. Debe ser muy breve, conocida de antemano por el trabajador y acompañada de la respuesta automática.
¿Hay interés legítimo para mantener la cuenta?
Sí, pero corto. La continuidad del negocio es un interés legítimo del artículo 6.1.f) del RGPD. Sin embargo, si una respuesta automática consigue lo mismo con menos intromisión, mantener la cuenta abierta meses no supera la ponderación. Y esa ponderación debe documentarse antes de decidir.
¿Cuánto tiempo?
- Un mes de respuesta automática como regla general.
- Hasta tres meses en puestos con mucha relación externa, justificado y comunicado al trabajador.
- Después, supresión del buzón, salvo lo que deba conservarse bloqueado por una obligación legal o una reclamación previsible.
¿Y no se pierden clientes?
Es el argumento de siempre, y conviene darle la vuelta. Los clientes no se pierden por desactivar una cuenta. Se pierden cuando nadie traspasó los asuntos antes de la salida. Una respuesta automática con un contacto claro retiene mejor que un buzón que sigue recibiendo mensajes que nadie atiende.
¿Puede la empresa leer el correo de un exempleado?
El artículo 87 de la LOPDGDD permite al empleador acceder a los medios digitales que facilita para controlar el cumplimiento de las obligaciones laborales. Pero exige criterios de uso previos, elaborados con la representación de los trabajadores e informados a la plantilla.
Cuando la relación termina, ese control pierde su sentido. Por eso, lo profesional debe recuperarse antes de la salida, de forma ordenada y, a ser posible, en presencia del trabajador. Y si el exempleado pide acceso o supresión, hay que responder en un mes. No hacerlo se ha sancionado en Bélgica y en Italia.
Protocolo de salida para el correo de un exempleado
- Política de uso del correo conforme al artículo 87.3 de la LOPDGDD, que explique qué pasará con la cuenta tras la salida.
- Antes del último día: traspaso de asuntos y recuperación de la información profesional. El trabajador puede llevarse o borrar sus mensajes privados.
- Último día: bloqueo del acceso y cambio de credenciales, también en el móvil y las aplicaciones conectadas.
- Respuesta automática con otro contacto durante un mes, o hasta tres si está justificado.
- Sin lectura del buzón ni redirección indefinida.
- Conservación de lo relevante en el CRM o el gestor documental, no en el buzón.
- Supresión del buzón al terminar el plazo, con bloqueo solo de lo imprescindible (artículo 32 de la LOPDGDD).
- Documentación: ponderación del interés legítimo y anotación en el registro de actividades.
Un ejemplo de respuesta automática:
Pepe Pérez ya no forma parte de [empresa]. Su mensaje no será leído ni reenviado. Para cualquier consulta, escriba a comercial@empresa.es o llame al 900 000 000. Gracias.
Cómo podemos ayudarle
Como delegados de protección de datos externos, en Auratech Legal Solutions redactamos la política de uso del correo y los dispositivos, el protocolo de salida de empleados y la ponderación del interés legítimo. También preparamos la respuesta automática y la información a la plantilla, para que cada salida se gestione igual. Cuéntenos su caso.
Preguntas frecuentes
¿Puedo mantener activa la cuenta nombre.apellido para no perder clientes?
No de forma indefinida. Lo recomendable es bloquearla el último día y activar una respuesta automática con otro contacto durante un mes, o hasta tres si está justificado. Después, hay que suprimirla.
¿Puedo leer el correo de un exempleado que sigue llegando a su cuenta?
No como norma. Los asuntos deben traspasarse antes de la salida. Entrar después exige una base jurídica concreta y un procedimiento, y las autoridades lo han sancionado aunque durase poco tiempo.
¿Es legal redirigir el correo del exempleado a otro compañero?
Es la opción más arriesgada. Si se usa, debe ser muy breve, conocida por el trabajador y con respuesta automática. En Italia se sancionó una redirección de 120 días cuando el traspaso había durado 30.
¿Qué pasa con las cuentas genéricas como info@ o ventas@?
No están ligadas a una persona, así que pueden seguir activas y pasar a otro empleado. Aun así, contienen datos de terceros y necesitan control de accesos.
¿Qué hago si el exempleado pide que borremos su cuenta?
Responder en el plazo de un mes. Si hay que conservar algo, se bloquea y se le explica el motivo. No contestar ha motivado sanciones en Bélgica y en Italia.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
