Il diritto alla cancellazione torna al centro dell’attenzione europea con il programma di enforcement coordinato 2025 dell’European Data Protection Board. L’iniziativa ha coinvolto 764 titolari del trattamento in più Stati membri per verificare se le organizzazioni siano davvero in grado di dare seguito alle richieste di cancellazione previste dall’articolo 17 del GDPR, andando oltre la mera presenza di policy formali.
Dai risultati emerge una criticità strutturale. Molte imprese conoscono il diritto alla cancellazione sul piano teorico, ma faticano a tradurlo in procedure operative solide. In diversi casi mancano flussi interni formalizzati che accompagnino la richiesta dalla ricezione alla chiusura. La gestione si basa su scambi informali tra area legale e reparto IT, con scarsa tracciabilità e difficoltà nel documentare tempi e motivazioni delle decisioni.
Un punto delicato riguarda la mappatura effettiva dei sistemi. I registri dei trattamenti risultano aggiornati sul piano documentale, ma non sempre riflettono una conoscenza puntuale delle interconnessioni tra database interni, piattaforme esterne e archivi storici. Senza una data governance integrata, la cancellazione rischia di restare parziale.
Diritto alla cancellazione e gestione dei backup
Il tema dei backup rappresenta uno dei nodi più complessi. In molti casi i dati vengono eliminati dagli ambienti operativi, ma restano presenti nelle copie di sicurezza. Se il dato può essere ripristinato e rientrare nel ciclo di trattamento, la cancellazione perde efficacia sul piano sostanziale. Le autorità evidenziano, invece, come l’architettura tecnologica deve essere progettata tenendo conto dell’esercizio dei diritti degli interessati, prevedendo meccanismi che impediscano il riutilizzo di informazioni già oggetto di richiesta.
Ulteriori criticità emergono sulle politiche di conservazione. I tempi di retention talvolta risultano disallineati rispetto alle finalità dichiarate oppure non sono supportati da automatismi tecnici che assicurino l’eliminazione allo scadere del termine. Il diritto alla cancellazione diventa così un indicatore della coerenza tra base giuridica, finalità e durata del trattamento.
Anonimizzazione, pseudonimizzazione e accountability
Il report dedica attenzione anche all’uso dell’anonimizzazione come risposta alternativa alla cancellazione. In vari casi le tecniche adottate non garantiscono l’irreversibilità del processo. Se la re-identificazione resta possibile, anche indirettamente attraverso l’incrocio con altri dataset, il dato continua a essere personale e soggetto agli obblighi del regolamento. La distinzione tra anonimizzazione effettiva e pseudonimizzazione assume quindi rilievo operativo e giuridico.
In sostanza, le autorità stanno spostando l’attenzione dall’adeguatezza formale dei documenti alla capacità dimostrabile di gestire i diritti in modo efficace e tracciabile. La cancellazione diventa un parametro della maturità complessiva del sistema di protezione dei dati.
Nel 2026 il prossimo ciclo di enforcement sarà dedicato agli obblighi di trasparenza. Dopo aver verificato la capacità di eliminare i dati, le autorità controlleranno la qualità delle informazioni fornite agli interessati su finalità e tempi di conservazione. Per imprese digitali, DPO e studi legali si apre una fase in cui la compliance richiede integrazione tra governance, tecnologia e organizzazione. La cancellazione rappresenta un punto di intersezione tra principi di minimizzazione, limitazione della conservazione e responsabilizzazione del titolare lungo l’intero ciclo di vita del dato.
