EDPB: rapporto conclusivo del CEF 2025 sul diritto alla cancellazione (art. 17 GDPR). Criticità ricorrenti e indicazioni operative per i titolari del trattamento.

Lo European Data Protection Board ha adottato il rapporto conclusivo dell’azione del Quadro coordinato per l’applicazione delle norme (Coordinated Enforcement Framework – CEF) dedicata al diritto alla cancellazione (“diritto all’oblio”) ex art. 17 GDPR, tema scelto perché tra i diritti più esercitati e tra quelli che generano più reclami alle Autorità.

Nel corso del 2025 hanno partecipato 32 Autorità di controllo; l’iniziativa ha coinvolto 764 titolari del trattamento (PMI, grandi gruppi e soggetti pubblici), tramite verifiche istruttorie e attività di raccolta informazioni. L’analisi aggregata mira a consentire follow-up mirati sia a livello nazionale sia europeo, secondo la logica del CEF come strumento di coordinamento.

Il rapporto individua aree di miglioramento e segnala, in particolare, criticità ricorrenti: assenza o inadeguatezza di procedure interne per gestire le richieste di cancellazione; informazioni non sufficientemente chiare agli interessati sul loro diritto; uso di tecniche di “anonimizzazione” come surrogato della cancellazione senza adeguata efficacia; prassi non uniformi su tempi di conservazione; difficoltà operative nella cancellazione rispetto a copie di back-up; gestione non sempre corretta dei casi in cui la cancellazione non è un diritto assoluto e richiede valutazioni di bilanciamento con altri diritti e obblighi.

Quanto alle misure di supporto alla conformità, l’EDPB segnala l’esistenza di linee guida e modelli già disponibili a livello nazionale e anticipa che tali strumenti potranno essere valorizzati anche a livello europeo, in un’ottica di semplificazione e coerenza applicativa.

In prospettiva, l’EDPB ricorda che l’azione CEF 2026 sarà dedicata agli obblighi di trasparenza e informazione previsti dal GDPR.