25 MAG

EDPB: emergono le criticità nella gestione del diritto alla cancellazione

Il report sulle attività di enforcement coordinato sull’art. 17 GDPR evidenzia sette sfide ricorrenti per i titolari del trattamento e indica le principali raccomandazioni operative

Il Comitato europeo per la protezione dei dati (EDPB) ha pubblicato una relazione sulle attività di enforcement coordinato in materia di diritto alla cancellazione (art. 17 GDPR), evidenziando le principali criticità emerse nella pratica e rivolgendo una serie di raccomandazioni ai titolari del trattamento.

La nota analizza come il cosiddetto “diritto all’oblio” venga applicato dalle imprese e dalle pubbliche amministrazioni in Europa, in un contesto in cui questo diritto rappresenta uno dei più esercitati e contestati davanti alle autorità di protezione dati.

Il quadro dell’azione coordinata CEF 2025

Nell’ambito del Coordinated Enforcement Framework (CEF) del 2025, 32 autorità di protezione dei dati europee, tra cui il Garante italiano, hanno coinvolto complessivamente 764 titolari del trattamento, dalle piccole e medie imprese fino a grandi aziende e enti pubblici.

L’obiettivo dell’azione era verificare se e come il diritto alla cancellazione venisse effettivamente garantito agli interessati, analizzando modelli di risposta, procedure interne e applicazione delle eccezioni previste dal GDPR.

Dal confronto delle segnalazioni nazionali emerge un quadro comune di criticità, che segnala la necessità di migliorare sia la struttura organizzativa interna, sia la chiarezza delle informazioni verso gli interessati.

Sette sfide ricorrenti per i titolari

Il rapporto EDPB individua sette aree di criticità, tutte riconducibili a una gestione generalmente non strutturata delle richieste di cancellazione:

• Assenza o inadeguatezza delle procedure interne per gestire in modo uniforme le richieste di cancellazione.
• Informazioni non sufficientemente chiare agli interessati sulle condizioni di esercizio del diritto.
• Ricorso a tecniche di anonimizzazione inefficaci in alternativa alla cancellazione, senza che ciò corrisponda a una vera eliminazione dei dati.
• Difficoltà nella definizione dei periodi di conservazione e nella cancellazione dei dati, anche in considerazione dei requisiti di legge o di settore.
• Problemi operativi legati ai backup, con incertezze su come e quando cancellare i dati in archivio.
• Fatica nel bilanciamento con altri diritti e interessi (es. libertà di espressione, motivi di interesse pubblico, obblighi normativi).
• Applicazione incoerente delle eccezioni all’obbligo di cancellazione, con criteri talvolta poco documentati.

Le autorità di protezione dati sottolineano che molte di queste criticità sono state già riscontrate anche in precedenti azioni coordinate, in particolare sull’esercizio del diritto di accesso, a conferma di una criticità strutturale più che episodica.

Come l’EDPB intende supportare le organizzazioni

Nel documento vengono raccomandate buone pratiche e procedure di miglioramento, con l’obiettivo di aiutare i titolari a uniformare il proprio comportamento agli standard europei. Tra le azioni indicate vi sono:

• la definizione di procedure scritte e documentate per la gestione delle richieste di cancellazione, con ruoli, tempi e modalità di verifica.
• un’adeguata informazione agli interessati su come esercitare il diritto e sui casi in cui la cancellazione non è ammissibile.
• l’adozione di procedure robuste per il trattamento dei dati di backup, coerenti con i criteri di conservazione.
• l’impiego di criteri trasparenti per i test di bilanciamento tra il diritto alla cancellazione e altri diritti e libertà fondamentali.

L’EDPB richiama inoltre l’utilizzo delle linee guida nazionali esistenti, che saranno progressivamente allineate e integrate a livello europeo nella logica della “Dichiarazione di Helsinki” per semplificare la conformità al GDPR e garantire un’interpretazione più uniforme tra le autorità.

Cosa cambia per le imprese italiane

Per le aziende italiane, il rapporto rappresenta un segnale chiaro sul fatto che le autorità di controllo guardano con attenzione ai **processi concreti di gestione delle richieste di cancellazione** e non solo alla compliance formale. Le imprese sono quindi invitate a verificare:

• se esiste una **procedura interna disciplinata e tracciata** per le richieste di cancellazione;
• se le informazioni sui diritti degli interessati sono chiare, complete e aggiornate;
• se la gestione dei backup e dei dati storici rispetta i criteri di conservazione;
• se i assessments di bilanciamento con altri diritti sono documentati e coerenti con la normativa.

Prossimi focus dell’EDPB

L’azione coordinata sul diritto alla cancellazione rientra nella strategia di programmazione biennale dell’EDPB 2024‑2027, dedicata alla semplificazione dell’applicazione del GDPR e alla cooperazione tra le autorità nazionali.
Già nella programmazione futura è annunciato il focus sugli obblighi di trasparenza e informazione previsti dal GDPR, a conferma dell’importanza che il Comitato attribuisce alla chiarezza comunicativa verso gli interessati.

Cosa fare ora per la tua azienda

Per molte organizzazioni, il diritto alla cancellazione rischia di restare solo un principio formale se non è accompagnato da processi operativi robusti. Le aziende che trattano dati personali hanno oggi l’opportunità di ripensare criticamente i propri flussi (richieste, valutazioni, conservazione, backup) e di introdurre strumenti improntati all’effettività e alla tracciabilità, riducendo il rischio di contestazioni e sanzioni.

Il testo integrale della relazione EDPB sulle criticità nell’attuazione del diritto alla cancellazione è disponibile nel sito dell’EDPB (in inglese, sezione CEF). Fonte articolo di riferimento clicca qui

GMT Consulting mette a piena disposizione la sua esperienza in materia di Privacy aziendale supportando le imprese nella corretta adozione della normativa GDPR, visitate la nostra pagina relativa alla: Consulenza GDPR nuova normativa europea Privacy.

---

Tutte le news