Acceso a las cuentas de correo del personal

Manuel Castilleja Toscano 09/04/2025

1. Cuentas de correo corporativas

En el ámbito laboral y para el desempeño de sus funciones dentro de la organización, si la persona trabajadora precisara una cuenta de correo electrónico, se la debe proporcionar la organización para la que trabaja.

Nunca se deben utilizar cuentas de correo electrónico personales, ya que entre otras cuestiones:

Son para uso privado, no corporativo, por lo que la entidad gestora de las mismas (Google, Microsoft, etc.) no asumiría la condición de encargado del tratamiento, dado que son para uso personal.
Se precisaría contar con una base jurídica que legitimara el tratamiento, en este caso el consentimiento de la persona trabajadora, con la dificultad añadida de acreditar que lo prestó libremente.
No se cumpliría el principio de minimización de datos (art. 5.1.c RGPD), dado que se podría lograr el mismo objetivo (comunicaciones para el desempeño de las funciones de la persona trabajadora) sin tratar el dato personal que es la cuenta de correo personal, en este caso utilizando una cuenta de correo corporativa.
La organización como responsable del tratamiento, no podría garantizar:
- Si se han aplicado medidas de seguridad adecuadas.
- Quien accede a la cuenta de correo.
- Donde se almacenan los datos.
- La atención de los derechos del interesado.
- Etc.

2. Cuándo se considera la cuenta de correo electrónico corporativo un dato personal

Las cuentas de correo corporativo pueden ser específicas o genéricas, según puedan identificarse o no, a través de ellas, a las personas trabajadoras que las utilizan.

Las direcciones de correo electrónico corporativo específicas se consideran siempre un dato personal:

Direcciones personalizadas: supuestos en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo esta información referirse tanto a su nombre y apellidos como a la empresa en que trabaja (aparezcan o no en la denominación del dominio utilizado). Por ej.: j.orion@entidad.es; j.o@entidad.es; director@entidad.es; etc.
Direcciones no personalizadas: supuestos en los que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta (por referirse, por ejemplo, el código de la cuenta de correo a una denominación abstracta o a una simple combinación alfanumérica sin significado alguno). En estos casos, la dirección por sí sola no identifica a la persona que es titular de la misma. Pero ésta puede ser fácilmente identificable sin un esfuerzo desproporcionado, bien porque la dirección puede aparecer junto con otros datos que permiten su identificación, bien por el contenido del mensaje, bien a través de los datos que dispone el servidor de correo. Por Ej.: abc123@entidad.es; astro66@entidad.es; etc.

Las direcciones de correo electrónico corporativo genéricas, se pueden considerar o no un dato personal:

Uso compartido: no se considera un dato personal, cuando la cuenta genérica es de uso compartido o de un área o departamento concreto de la organización (por Ej.: consultas@entidad.es). En estos casos, la dirección de correo electrónico no se puede vincular a una persona física identificada o identificable, sino que la pueden atender diferentes usuarios.
Uso no compartido: cuando es utilizada por una única persona trabajadora, pudiéndose identificar (directa o indirectamente), se considera dato personal a todos los efectos.

3. Acceso a las cuentas de correo corporativas por parte de la organización

3.1. Durante la relación laboral

Una entidad puede revisar el correo corporativo que asigna a sus personas trabajadoras, al ser necesario para la ejecución y desarrollo de la relación laboral entre ambos (art. 6.1.b RGPD) y en base a las facultades de dirección y control que el art. 20.3 del Estatuto de los Trabajadores (ET) confiere a la organización para verificar que las personas trabajadoras cumplen con sus obligaciones laborales (art. 87 .2 LOPDGDD).

Para hacerlo de manera lícita deberán tenerse en cuenta las siguientes cuestiones:

Haber informado en cualquier momento de la relación laboral, pero de manera previa al acceso o control (lo recomendable es hacerlo al comienzo de la relación laboral), a las personas trabajadoras de:
- Que la entidad puede llevar a cabo ese tipo de controles sobre las cuentas de correo electrónico corporativas.
- Que el correo corporativo facilitado por la entidad es solo para uso profesional, evitando de este modo la expectativa de privacidad de la persona trabajadora.
Debe poder acreditarse que se ha facilitado la información antes mencionada, por ejemplo, mediante la firma de la recepción de la misma por parte de la persona trabajadora.
El acceso debe hacerse de la forma menos intrusiva posible y no se pueden revisar de forma indiscriminada todos los correos electrónicos, solo con una justificación y cuando no haya ningún otro mecanismo que permita alcanzar el mismo objetivo sin necesidad de acceder a las mismas, por ejemplo, sospecha fundada de uso indebido o necesidad de acceder a información por ausencia de la persona trabajadora, etc.
La entidad deberá establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente, por lo que sería recomendable contar con una política de uso de dispositivos y medios electrónicos corporativos (incluidas las cuentas de correo electrónico) en la que se establezcan dichos criterios y que:
- Debe negociarse con la representación legal de las personas trabajadoras (RLT) que además deben participar en su elaboración (art. 87.3 LOPDGDD); la no participación de la RLT conlleva la nulidad de las políticas o criterios, lo que implica que éstos no serían válidos, como tampoco lo sería su comunicación a las personas trabajadoras.
- Se debe facilitar a todo el personal.
- Deberá incluir entre otras cuestiones:
  - Los criterios de utilización de los dispositivos y medios electrónicos corporativos.
  - La prohibición de uso para fines personales.
  - El procedimiento por el cual la entidad accederá a la cuenta de la persona trabajadora tras la extinción de la relación laboral y el plazo de conservación de las comunicaciones.
  - El acceso por la organización al contenido de dispositivos digitales en los casos en que se haya admitido su uso con fines privados requerirá que se especifiquen de modo preciso los usos autorizados y se establezcan garantías para preservar la intimidad de las personas trabajadoras, tales como, en su caso, la determinación de los períodos en que los dispositivos podrán utilizarse para fines privados, y se informe a las personas trabajadoras de estos criterios de uso.
El uso de la cuenta de correo electrónico corporativo de la persona trabajadora para enviar mensajes a terceros está prohibido, sería un acto fraudulento del que se podrían derivar consecuencias penales para el infractor, salvo que se cuente con su consentimiento y se indique claramente que la comunicación se hace en su nombre.

3.2. Una vez extinguida la relación laboral

Como regla general, la cuenta de correo corporativa de una persona trabajadora deberá ser bloqueada tras el cese de esta en la organización para evitar que dicha cuenta pueda seguir recibiendo y enviando comunicaciones, sin perjuicio de la conservación de su contenido en los términos indicados más adelante.

Dicho bloqueo, deberá llevarse a cabo preferiblemente el día del cese. Si bien, de acuerdo con el contexto y, en particular, el grado de responsabilidad en la empresa de la persona cesada, se puede aceptar mantener la cuenta activa, únicamente para la recepción de mensajes, por un período de tiempo breve y justificado. En todo caso, la persona cesada dejará de tener acceso a la cuenta desde el día del cese.

Lo recomendable sería la creación de un mensaje de respuesta automática previo al bloqueo de la cuenta, que indique a quien se dirija a ella una nueva dirección a la cual dirigir las comunicaciones que venían haciendo a esta cuenta, indicando que la cuenta anterior ha causado baja y la dirección de contacto de la persona a la que tiene que dirigirse a partir de ahora en su lugar.

Excepcionalmente, cuando haya motivos importantes para la continuidad de la actividad de la entidad y/o de seguridad que lo justifiquen, la cuenta podrá ser redireccionada a otra persona trabajadora de la organización durante el periodo mínimo indispensable para atender esos motivos.

En caso de tener que acceder a la cuenta de correo de la persona extrabajadora, y la redirección expuesta en el apartado anterior lo es, al haberse extinguido la relación laboral la base jurídica que legitime al acceso no puede ser ya la relación contractual (art. 6.1.b RGPD), cabrían entonces las siguientes posibilidades:

Solicitar el consentimiento a la persona extrabajadora (art. 6.1.a RGPD). Tras el cese se atenúa el desequilibrio entre las partes, por lo que el consentimiento es jurídicamente viable. Sin embargo, no se recomienda: es revocable y, conforme a las Directrices 05/2020 del CEPD (121-123), no cabe sustituirlo posteriormente por el interés legítimo, criterio que debe aplicarse igualmente si la persona extrabajadora lo deniega. Además, si existe un conflicto pendiente (por ejemplo, la impugnación del despido), podría cuestionarse su carácter libre.
Invocar que es necesario para la satisfacción de intereses legítimos perseguidos por la organización (responsable del tratamiento) o por clientes, proveedores, etc. (terceros) (art. 6.1.f RGPD). Para ello, el no acceder debe poder suponer la pérdida de comunicaciones importantes para la continuidad de la actividad de la entidad, y no debe haber ningún otro mecanismo que permita alcanzar el objetivo perseguido (continuidad de la actividad) sin necesidad de acceder a la cuenta. Deberá documentarse la ponderación de intereses realizada.
Cuando el acceso derive de una obligación legal o de un requerimiento de una autoridad competente, la base jurídica será el cumplimiento de una obligación legal (art. 6.1.c RGPD).

Para hacerlo de manera lícita deberán tenerse en cuenta además las siguientes cuestiones:

Se debe informar de manera previa a la persona extrabajadora, incluido su derecho de oposición si se invoca el interés legítimo (art. 21 RGPD).
El acceso debe llevarse a cabo:
- De la manera menos intrusiva posible, limitándolo a los mensajes necesarios para la finalidad perseguida y evitando los de carácter personal si fuese el caso.
- No por un tiempo indefinido, sino durante el período mínimo indispensable y no desproporcionado.
- Si es posible se debería hacer antes de la marcha de la persona extrabajadora y, cuando sea posible, en su presencia, permitiéndole recuperar o eliminar sus mensajes personales, cuando sea el caso.
- Dejando constancia de quién accede, cuándo, a qué contenido y con qué finalidad.

Una vez extinguida la relación laboral, la correspondencia con trascendencia mercantil deberá conservarse durante el plazo del art. 30 del Código de Comercio (seis años), preferiblemente trasladándola a un repositorio corporativo de acceso restringido y no manteniendo operativo el buzón de la persona extrabajadora. El resto del contenido, una vez cese la necesidad que justificó el acceso, y la correspondencia mercantil, una vez vencido dicho plazo, deberán bloquearse conforme al art. 32 LOPDGDD, quedando a disposición exclusiva de jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular las autoridades de protección de datos, durante el plazo de prescripción de las posibles responsabilidades, transcurrido el cual deberán destruirse.