Cancellazione dei dati: il Comitato privacy Ue segnala ostacoli nell’applicazione del diritto all’oblio

Il Comitato europeo per la protezione dei dati ha adottato un rapporto sull’azione di enforcement coordinato dedicata al diritto alla cancellazione dei dati personali previsto dall’articolo 17 del Regolamento generale sulla protezione dei dati (GDPR). Il tema è stato scelto perché si tratta di uno dei diritti più esercitati dagli interessati e di uno di quelli su cui le autorità di protezione dei dati ricevono più reclami.

L’iniziativa ha coinvolto nel corso del 2025 trentadue autorità nazionali di protezione dei dati. Nove hanno avviato o proseguito indagini formali, mentre ventitré hanno svolto attività di raccolta di informazioni. Hanno risposto complessivamente 764 titolari del trattamento, tra piccole e medie imprese, grandi aziende attive in diversi settori e soggetti pubblici. I risultati sono stati aggregati e analizzati per definire azioni di follow-up sia a livello nazionale sia a livello europeo.

Il rapporto individua sette criticità ricorrenti che ostacolano la piena applicazione del diritto alla cancellazione. Tra i problemi segnalati figurano la mancanza di procedure interne adeguate per gestire le richieste, informazioni insufficienti fornite agli interessati, l’uso di tecniche di anonimizzazione inefficaci in alternativa alla cancellazione dei dati, pratiche non uniformi tra organizzazioni, difficoltà nel definire i tempi di conservazione e nel cancellare i dati dai sistemi di backup.

Le autorità hanno inoltre rilevato che alcuni titolari incontrano difficoltà nel valutare correttamente i casi in cui il diritto alla cancellazione non è assoluto e deve essere bilanciato con altri diritti e libertà.

Il Comitato sottolinea che a livello nazionale esistono già linee guida, documenti e modelli per aiutare le organizzazioni a rispettare il diritto alla cancellazione e le persone a esercitarlo. In linea con gli obiettivi della dichiarazione di Helsinki, tali strumenti saranno valorizzati anche a livello europeo per favorire un’applicazione più uniforme del GDPR.