Pański stary służbowy adres e-mail nadal działa, a firma Google zaleca jego dalsze używanie

W ostatnim dniu pracy należy zwrócić laptopa, klucz oraz identyfikator. Nikt nie zwraca uwagi na adres e-mail, ponieważ nie ma czego zwracać. Pozostaje on tam, gdzie zawsze był – na serwerze, którym obecnie zarządza ktoś inny.

Nic z tego nie miałoby znaczenia, gdyby adres ten służył wyłącznie do celów służbowych. Dla wielu osób służy on również drugiemu celowi. Jest to adres odzyskiwania dostępu do konta prywatnego. Sklep, serwis streamingowy, konto utworzone w czasach, gdy adres służbowy był tym najczęściej używanym. A każdy, kto zapozna się z tym adresem, może kliknąć opcję „nie pamiętam hasła” na tych kontach.

Firma Google zaleca to administratorom

Dokumentacja Workspace dla administratorów uwzględnia ten przypadek. Opisuje ona proces usunięcia konta odchodzącego pracownika, a następnie przypisania starego adresu e-mail jako aliasu do konta obecnego użytkownika. Chodzi o to, by wiadomości wysyłane na stary adres nie znikały. Trafiają one zamiast tego do skrzynki odbiorczej konta głównego.

Nie jest to sytuacja niejednoznaczna. Jest to udokumentowane zalecenie dostawcy, ostatnio zaktualizowane 10 września bieżącego roku. Z punktu widzenia firmy ma to sens, ponieważ w przeciwnym razie zapytania klientów po prostu zniknęłyby. Google wyznacza również okres na przekazanie uprawnień. Adres opuszcza Workspace 20 dni po usunięciu konta, a do tego czasu można go przypisać innemu użytkownikowi zarządzanemu.

W tym samym przewodniku znajduje się jeszcze jedna informacja. Google zaleca administratorom usunięcie adresu e-mail i numeru telefonu służących do odzyskiwania hasła przez odchodzącego pracownika, tak aby osoba ta nie mogła skorzystać z funkcji odzyskiwania hasła w celu ponownego uzyskania dostępu do konta firmowego. W ten sposób firma jest chroniona przed działaniami byłego pracownika. W przewodniku nie ma natomiast informacji dotyczących sytuacji odwrotnej.

Microsoft również utrzymuje adres w użyciu

Wytyczne dotyczące usługi Microsoft 365 brzmią bardzo podobnie. Stwierdzono w nich, że można utrzymać adres e-mail byłego pracownika w stanie aktywnym na wypadek, gdyby klienci lub partnerzy nadal wysyłali na niego wiadomości. Przekierowanie zapewnia wówczas, że wiadomości dotrą do osoby przejmującej obowiązki.

Drugą opcją opisaną przez firmę Microsoft jest przekształcenie konta w skrzynkę pocztową współdzieloną. Wszystkie istniejące wiadomości e-mail i wpisy w kalendarzu pozostają zachowane, a dostęp do nich ma kilka osób. Odpowiednie uprawnienie nosi nazwę „Pełny dostęp”. Umożliwia ono przypisanej osobie odczytywanie wiadomości oraz zarządzanie pocztą w skrzynce pocztowej innej osoby.

Jedna uwaga zawarta w tym samym przewodniku rozstrzyga sprawę. W przypadku przekierowania lub skrzynki współdzielonej konto odchodzącego pracownika nie może zostać usunięte, ponieważ stanowi ono podstawę konfiguracji. Powszechne przekonanie, że wszystko znika po 30 dniach, ma zatem zastosowanie wyłącznie w przypadku usunięcia konta. W przypadku przekierowania adres działa bezterminowo.

Co można osiągnąć, dysponując jedynie adresem e-mail

To, czy dostęp do adresu wystarczy do przejęcia konta, zależy od danej usługi. Nie ma jednej uniwersalnej odpowiedzi i właśnie to sprawia, że sprawa staje się interesująca.

W sekcji pomocy serwisu Netflix opisano dwie metody resetowania hasła: za pośrednictwem wiadomości e-mail lub SMS-a, przy czym metoda SMS wymaga podania numeru telefonu w danych użytkownika. Bez numeru pozostaje jedynie opcja e-mailowa. Link traci ważność po 24 godzinach, a przed upływem tego czasu sam w sobie wystarcza. Konto Microsoft wysyła kod weryfikacyjny na jeden z zapisanych numerów. Jeśli zapisany jest wyłącznie adres służbowy, to wystarczy.

W przypadku innych dostawców nie można wyciągnąć wniosków na podstawie ich publicznie dostępnych stron pomocy. PayPal wspomina jedynie o kontroli bezpieczeństwa, nie podając konkretnych metod, a strona pomocy serwisu Amazon blokuje automatyczne żądania. Nie można zatem potwierdzić twierdzenia, że dostęp do poczty elektronicznej jest wystarczający we wszystkich przypadkach. Inaczej wygląda sytuacja w przypadku usług, które wymagają drugiego potwierdzenia w aplikacji lub za pomocą klucza sprzętowego. W takich przypadkach dostęp do poczty elektronicznej nie jest wystarczający.

Niemieckie organy regulacyjne mają inne stanowisko

W tym miejscu dochodzi do sprzeczności między zaleceniami dostawców a niemieckim prawem. Komisarz ds. ochrony danych w Saksonii-Anhalt opublikował w sierpniu 2025 r. wytyczne dotyczące odchodzących pracowników. Stanowią one przeciwieństwo tego, co zalecają firmy Google i Microsoft.

W wytycznych argumentuje się, że skrzynka pocztowa zawierająca imię i nazwisko danej osoby traci podstawę umowną w momencie odejścia tej osoby, co powoduje powstanie obowiązku usunięcia danych zgodnie z art. 17 Ogólnego rozporządzenia o ochronie danych. Przekazywanie wiadomości e-mail zastępcy lub następcy nie jest zatem dopuszczalne, podobnie jak przyznawanie im dostępu do skrzynki pocztowej. Jak pisze inspektor, co do zasady wymagana jest natychmiastowa dezaktywacja.

Wytyczne przewidują nawet opisany tutaj przypadek. Prywatne wiadomości będą docierać nawet w przypadku, gdy prywatne korzystanie ze służbowej skrzynki pocztowej było zabronione, a wiadomości te zasługują na ochronę. Dostęp pracodawcy do nich nie ma podstawy prawnej. Kwestia, czy dodatkowo ma tu zastosowanie tajemnica telekomunikacyjna, pozostaje nierozstrzygnięta, ponieważ sądy orzekały w tej sprawie w różny sposób i nie istnieje orzeczenie sądu najwyższego.

Co zostało udowodnione, a co nie

Nie ma żadnej publicznie dostępnej sprawy dokumentującej przejęcie prywatnego konta za pośrednictwem adresu służbowego, które nadal działało. Należy to odnotować. Udowodniony został mechanizm działania, a także dwa powiązane przypadki, które pokazują, jak bardzo scenariusz ten jest prawdopodobny.

Badacz bezpieczeństwa Dylan Ayrey z firmy Truffle Security nabył w styczniu 2025 r. domenę zlikwidowanego startupu. Następnie odtworzył na niej konta e-mailowe byłych pracowników. Jak twierdzi, dzięki temu uzyskał dostęp do ich kont w serwisach ChatGPT, Slack, Notion i Zoom, a także do systemów kadrowych zawierających numery ubezpieczenia społecznego. Zbiór danych serwisu Crunchbase zapewnił mu dostęp do ponad 100 000 domen upadłych start-upów dostępnych do nabycia. Jego argument jest trafny, ponieważ osoba fizyczna nie ma możliwości ochrony tych danych po odejściu z firmy. Firma Google kwestionuje określenie tego zjawiska mianem „luki w zabezpieczeniach” i wskazuje programistom na niezmienny identyfikator, którego powinni używać zamiast adresu e-mail.

Drugi przypadek pochodzi z własnego forum pomocy technicznej firmy Microsoft. W kwietniu 2025 roku użytkownik opisał, że został pozbawiony dostępu do konta Outlook, z którego korzystał od 15 lat, ponieważ adres odzyskiwania został wyłączony wraz z odejściem ze starej pracy. W tej skrzynce pocztowej znajdowały się dokumenty dotyczące studiów, dokumenty imigracyjne oraz aktualna aplikacja o pracę. Odpowiedź moderatora była zwięzła, ponieważ alternatywne sposoby odzyskania dostępu działają jedynie wtedy, gdy w systemie zarejestrowany jest drugi adres e-mail lub numer telefonu.

Nie wiadomo, ile osób korzysta z adresu służbowego do obsługi kont prywatnych. Krążą różne dane, jednak nie wytrzymują one weryfikacji, ponieważ pierwotne źródła uległy zniszczeniu.

10 minut przed ostatnim dniem

Przejrzyj ważne konta i sprawdź, jaki adres jest zapisany jako adres do odzyskiwania dostępu. Google przechowuje go w ustawieniach zabezpieczeń, Microsoft – w sekcji informacji o zabezpieczeniach, a sklepy i serwisy streamingowe zazwyczaj umieszczają go w samym koncie.

W pomocy Google dotyczącej adresów do odzyskiwania dostępu podano jedynie, aby wybrać adres, z którego regularnie korzysta Pan/Pani, a nie ten, którego używa Pan/Pani do logowania. Nie zawiera ona ostrzeżenia dotyczącego adresów związanych z pracodawcą. O tym kroku należy pomyśleć samodzielnie.

Jeden szczegół ułatwia sprawę. Po zmianie danych odzyskiwania konta Google przez kolejne siedem dni nadal wysyła kody na stary adres. Zmiana tuż po przeprowadzce pozwala zatem na korzystanie z obu opcji przez tydzień. Jeśli zmiana nastąpi przed przeprowadzką, problem w ogóle nie wystąpi.