L'Azione di Applicazione del 2025 dell'EDPB
Il Quadro di Applicazione Coordinata (CEF) dell'European Data Protection Board del 2025 ha mirato all'Articolo 17 del GDPR — il diritto all'oblio. Trenta-due Autorità di Protezione dei Dati in tutta l'UE e lo SEE hanno contemporaneamente indagato su come le organizzazioni rispondono alle richieste di diritto all'oblio. L'approccio coordinato è stato progettato per identificare fallimenti sistemici piuttosto che casi isolati.
I risultati hanno identificato sette sfide ricorrenti di conformità tra le organizzazioni investigate:
- Procedure interne poco documentate per il trattamento delle richieste di cancellazione
- Rifiuto eccessivamente ampio di richieste legittime (utilizzando le eccezioni consentite in modo troppo ampio)
- Onere eccessivo posto sugli individui quando presentano richieste di cancellazione
- Impossibilità di localizzare tutti i dati personali nei sistemi durante il trattamento di una richiesta di cancellazione
- Ritardi eccessivi nel trattamento delle richieste oltre il termine di risposta di 30 giorni previsto dal GDPR
- Comunicazione insufficiente ai soggetti interessati riguardo all'esito delle loro richieste
- Tecniche di anonimizzazione inefficienti utilizzate come alternativa alla cancellazione — specificamente segnalato come organizzazioni che utilizzano "anonimizzazione" tecnicamente difettosa che lascia i dati re-identificabili
Nove autorità hanno avviato indagini formali basate sui risultati del CEF. La settima sfida ricorrente — anonimizzazione inefficiente — è direttamente rilevante per le organizzazioni che utilizzano l'anonimizzazione come loro strategia principale di minimizzazione dei dati.
L'Alternativa dell'Anonimizzazione alla Cancellazione
Il diritto all'oblio del GDPR non richiede la cancellazione in tutti i casi. Il considerando 65 osserva che la cancellazione può essere realizzata attraverso l'anonimizzazione dove la cancellazione non è tecnicamente fattibile (ad esempio, in nastri di backup o sistemi di analisi integrati dove la cancellazione dei singoli record richiederebbe la ricostruzione del sistema).
I risultati del CEF dell'EDPB indicano che questa alternativa viene abusata: le organizzazioni affermano di "anonimizzare" per la trasformazione dei dati che lascia i dati tecnicamente re-identificabili — utilizzando la parola per evitare l'onere operativo della cancellazione effettiva piuttosto che per raggiungere il risultato di protezione dei dati che l'anonimizzazione dovrebbe fornire.
La distinzione che l'EDPB sta tracciando: vera anonimizzazione — dove il legame tra i dati e l'individuo non può essere ristabilito con alcun mezzo disponibile per il titolare del trattamento o qualsiasi terza parte — rimuove i dati dall'ambito del GDPR e soddisfa la richiesta di cancellazione. La pseudonimizzazione — dove la re-identificazione è possibile con la chiave appropriata — non soddisfa la richiesta di cancellazione; i dati personali del soggetto interessato esistono ancora e devono essere cancellati o la chiave deve essere distrutta.
Strategia Pratica di Conformità
Per le organizzazioni che utilizzano l'anonimizzazione come alternativa alla cancellazione nei sistemi di analisi:
L'architettura corretta separa l'ingestione dei dati (dati personali grezzi) dall'analisi dei dati (derivati anonimizzati). I dati personali nel livello di ingestione sono soggetti a richieste di cancellazione — quando un soggetto interessato esercita i diritti dell'Articolo 17, i dati personali nel livello di ingestione vengono cancellati. I derivati anonimizzati nel livello di analisi — se l'anonimizzazione è stata completa e irreversibile — non devono essere modificati perché non sono più dati personali.
Questa architettura richiede che l'anonimizzazione al confine tra ingestione e analisi sia tecnicamente valida: irreversibile (non tokenizzazione), completa (tutte le categorie di identificatori affrontate) e documentata (l'organizzazione può dimostrare a un'autorità di protezione dei dati che il metodo di anonimizzazione soddisfa gli standard dell'EDPB). L'azienda di vendita al dettaglio che anonimizza la cronologia degli acquisti dei clienti prima del trattamento analitico, sostituendo nomi e dettagli di contatto con token sotto crittografia reversibile, ha pseudonimizzato (non anonimizzato) i dati — il dataset analitico contiene ancora dati personali soggetti a richieste di cancellazione.
Fonti: