Diritto all'oblio GDPR: i risultati dell'EDPB nel 2025
Aggiornato al 2026
L'azione dell'EDPB nel 2025
Nel 2025 il Comitato europeo per la protezione dei dati ha condotto un'azione coordinata di ampia portata incentrata sul GDPR Articolo 17 — il diritto alla cancellazione. Vi hanno partecipato trentadue autorità per la protezione dei dati in tutta l'UE e nello SEE, agendo in modo sincronizzato. L'obiettivo era individuare fallimenti sistemici, non casi isolati.
Questa iniziativa rientra nel Quadro di Enforcement Coordinato (CEF). Nove autorità hanno successivamente avviato indagini formali sulla base dei risultati ottenuti.
Sette lacune ricorrenti
Il rapporto CEF ha identificato sette problemi riscontrati nelle organizzazioni esaminate:
- Procedure inadeguate per la gestione delle richieste di cancellazione
- Rifiuto eccessivamente ampio di richieste legittime
- Oneri indebiti posti a carico di chi presenta la richiesta
- Impossibilità di individuare tutti i dati personali nei sistemi
- Ritardi oltre la finestra di risposta di 30 giorni prevista dal GDPR
- Comunicazione carente agli interessati sugli esiti delle richieste
- Anonimizzazione difettosa usata in sostituzione della cancellazione: le organizzazioni dichiaravano di aver «anonimizzato» i dati, ma questi rimanevano riconducibili alle persone.
Il settimo punto è il più complesso e riguarda qualsiasi organizzazione che utilizzi l'anonimizzazione per ridurre i dati personali conservati.
Anonimizzazione vs. cancellazione
Il diritto di cancellazione del GDPR non implica necessariamente la distruzione completa dei dati. Il Considerando 65 ammette l'anonimizzazione quando la cancellazione non è praticabile — i backup su nastro e i sistemi di analisi sono casi tipici.
Il CEF dimostra che questa facoltà viene abusata. Le organizzazioni etichettano un processo come «anonimizzazione» per evitare la vera cancellazione, ma il processo lascia comunque i dati riconducibili a persone reali.
L'EDPB tracci un confine netto.
La vera anonimizzazione significa che il collegamento tra i dati e una persona non può essere ricostruito. Il titolare del trattamento non ha alcun modo per farlo. Nessun terzo ha alcun modo per farlo. Quei dati escono dall'ambito di applicazione del GDPR. La richiesta è soddisfatta.
La pseudonimizzazione è diversa: il collegamento è ancora possibile con la chiave giusta. I dati personali esistono ancora. La richiesta non è soddisfatta. I dati devono essere cancellati oppure la chiave deve essere distrutta.
Un approccio a due livelli
Le organizzazioni che usano l'anonimizzazione nell'analisi dei dati hanno bisogno di due livelli.
Livello 1 — Acquisizione: i dati personali grezzi arrivano qui. Questi dati sono soggetti alle richieste di cancellazione. Quando un interessato invoca i diritti dell'Articolo 17, i dati in questo livello vengono eliminati.
Livello 2 — Analisi: solo gli output anonimizzati raggiungono questo livello. Se il processo è stato completo e unidirezionale, questi output non sono dati personali. Non cambiano quando arriva una richiesta di cancellazione.
Questa configurazione funziona solo se il passaggio di mascheratura supera tre verifiche.
Prima: unidirezionale. I token reversibili e le sostituzioni cifrate non sono ammessi.
Seconda: completa. Tutti i tipi di identificatori devono essere trattati. I soli nomi non bastano.
Terza: documentata. L'organizzazione deve poter dimostrare a un'autorità di controllo come funziona il metodo.
Un rivenditore che sostituisce i nomi dei clienti con token cifrati ha eseguito pseudonimizzazione — non vera anonimizzazione. Il livello di analisi contiene ancora dati personali. Le richieste di cancellazione si applicano ancora.
La nostra guida alla conformità GDPR tratta la base giuridica di ciascun approccio. La nostra panoramica sulla conformità in materia di sicurezza elenca i controlli necessari. Per una guida passo passo, vedi la nostra guida all'audit di anonimizzazione GDPR.