La cessazione del rapporto di lavoro rappresenta un passaggio rilevante nella gestione della sicurezza delle informazioni e della protezione dei dati personali. Oltre agli adempimenti amministrativi, l’azienda deve assicurare la corretta chiusura delle abilitazioni del dipendente, il recupero degli strumenti assegnati e la disponibilità delle informazioni necessarie alla prosecuzione delle attività.

In questo contesto, la governance aziendale assume un ruolo concreto: il datore di lavoro deve poter individuare quali risorse siano state assegnate al dipendente, a quali sistemi questi possa accedere e quali funzioni debbano essere trasferite ad altri soggetti.

Una gestione efficace richiede pertanto il coordinamento tra responsabili di funzione, amministrazione del personale e referenti informatici, con una chiara attribuzione delle attività e delle relative tempistiche.

‍

Cosa deve fare concretamente il datore di lavoro

‍Le operazioni devono essere pianificate in relazione alla data di cessazione, anticipando il passaggio di consegne e rendendo effettiva la revoca degli accessi al termine del rapporto.

In particolare, occorre:

‍

- Organizzare il passaggio di consegne, individuando i documenti, le pratiche e le informazioni necessari alla continuità operativa e trasferendoli negli archivi aziendali appropriati. L’acquisizione deve essere selettiva, evitando il trasferimento indiscriminato della corrispondenza e di contenuti estranei alle esigenze aziendali.

- Revocare gli accessi e le autorizzazioni, intervenendo suutenze, VPN, applicazioni gestionali, cartelle condivise e servizi cloud.

La disabilitazione deve comprendere anche le sessioni attive e gli strumenti di autenticazione associati, aggiornando le autorizzazioni connesse alle funzioni precedentemente svolte.

- Gestire la casella e-mail nominativa, disattivandola alla cessazione del rapporto e predisponendo temporaneamente una risposta automatica che indichi un recapito aziendale alternativo. Durante tale periodo deve essere impedita la visualizzazione dei messaggi in arrivo, senza attivare inoltri automatici al sostituto. L’account deve essere successivamente rimosso entro un termine ragionevole, commisurato alle esigenze tecniche, e l’indirizzo nominativo non deve essere riassegnato ad altre persone.

- Formalizzare la restituzione degli strumenti, registrando la riconsegna di computer, telefoni, supporti di memoria, badge, chiavi e documentazione aziendale. Se il dipendente utilizza dispositivi personali per finalità lavorative, la rimozione dei dati e delle applicazioni aziendali deve avvenire secondo la procedura adottata, preservando i contenuti personali.

- Definire la conservazione dei dati dell’ex dipendente, mantenendo soltanto quelli necessari per obblighi normativi o per ulteriori finalità legittime e documentate. La cessazione non determina la cancellazione immediata dell’intero fascicolo, ma richiede l’applicazione dei termini di conservazione previsti e la limitazione degli accessi ai soggetti autorizzati. Le eventuali richieste di accesso ocancellazione devono essere gestite mediante la procedura dedicata.

‍

La gestione della cessazione del rapporto deve assicurare la prosecuzione delle attività attraverso il trasferimento delle informazioni rilevanti e la tempestiva riassegnazione di compiti e responsabilità.

Il passaggio di consegne deve rendere disponibili ai soggetti subentranti la documentazione, lo stato delle attività in corso e le relative scadenze, mantenendo i dati nei sistemi aziendali e attribuendo le autorizzazioni necessarie alle nuove funzioni.

Il coordinamento tra le funzioni coinvolte consente di allineare la revoca degli accessi del dipendente uscente con l’operatività dei soggetti subentranti, prevenendo interruzioni e garantendo la tracciabilità delle attività e la protezione delle informazioni.

‍

‍

‍

‍