Contenuto realizzato con il supporto di strumenti di intelligenza artificiale e revisionato dall'autore.
Nel febbraio 2026, mentre molti titolari del trattamento erano ancora convinti di gestire correttamente le richieste di cancellazione, l'EDPB ha pubblicato un documento che smentisce questa convinzione su scala continentale. L'18 febbraio 2026 l'EDPB ha adottato un report sull'azione del suo Coordinated Enforcement Framework (CEF) sul diritto alla cancellazione ex art. 17 GDPR. Il risultato è una fotografia impietosa: il EDPB rapporto diritto cancellazione registra carenze diffuse, trasversali a dimensioni aziendali e settori, che chiamano in causa non soltanto le imprese private ma anche le pubbliche amministrazioni. Per i professionisti e le aziende italiane il quadro merita una lettura attenta, specialmente in chiave comparata con ciò che accade negli altri Stati membri.
Come ricordava Rudolf von Jhering, il diritto non è soltanto norma scritta: è prassi, è comportamento, è quel complesso di abitudini che una comunità traduce ogni giorno nella propria condotta. Applicato al diritto all'oblio, questo insegnamento vale doppio: l'art. 17 GDPR esiste dal 2018, eppure l'enforcement coordinato del 2025 dimostra che la norma non è ancora diventata prassi consolidata.
Cosa ha detto l'EDPB sul diritto alla cancellazione nel rapporto CEF
Il CEF 2025 ha spostato la propria attenzione sull'attuazione del diritto alla cancellazione o diritto all'oblio ex art. 17 GDPR, tema scelto durante la plenaria dell'ottobre 2024 in quanto uno dei diritti GDPR più frequentemente esercitati e su cui le autorità di protezione dei dati ricevono spesso reclami da parte dei singoli. I risultati provengono dalle risposte di 764 titolari del trattamento — dalle PMI alle multinazionali, in diversi settori e nel pubblico — e di 9 DPA che hanno avviato formali indagini, mentre 23 hanno condotto esercizi di fact-finding.
Il rapporto individua quattro criticità ricorrenti che meritano di essere analizzate singolarmente.
Prima criticità: l'assenza di procedure interne strutturate. La mancanza di procedure interne adeguate per gestire le richieste e di informazioni sufficienti fornite agli interessati sono state le principali risultanze emerse dal rapporto. In pratica, molti titolari non dispongono di un flusso operativo documentato che mappi il percorso di una richiesta di cancellazione dalla ricezione alla risposta entro i 30 giorni prescritti dall'art. 12 GDPR. Senza tale procedura, il rispetto dei termini è affidato alla buona volontà individuale, non a un sistema.
Seconda criticità: l'anonimizzazione usata come surrogato della cancellazione. Le autorità hanno riscontrato il ricorso a tecniche di anonimizzazione inefficienti come alternative alla cancellazione, difficoltà dei titolari nel determinare il periodo di conservazione dei dati e la loro cancellazione nel contesto dei backup e, visto che il diritto alla cancellazione non è assoluto, nell'effettuare i test di bilanciamento con altri diritti. Questo punto è particolarmente insidioso: fingere di aver cancellato pseudonimizzando o anonimizzando in modo approssimativo espone il titolare al rischio di una doppia violazione — quella originaria e quella conseguente alla risposta mendace resa all'interessato.
Terza criticità: la gestione dei backup. Il rapporto rileva una fatica concreta nel ricorrere a tecniche di anonimizzazione efficaci ed efficienti, di pari passo con le difficoltà nel determinare un congruo e coerente periodo di conservazione dei dati e quindi la loro cancellazione nel contesto dei backup. I sistemi di archiviazione ridondante — indispensabili per la continuità operativa — diventano un labirinto quando si tratta di garantire che la cancellazione sia reale e non soltanto "di superficie".
Quarta criticità: il bilanciamento tra diritto all'oblio e altri diritti. Alcuni titolari dimostrano una mancanza di comprensione nel bilanciamento degli interessi ex art. 17(3)(c) GDPR, rifiutando le richieste di cancellazione sulla base di un interesse legittimo senza una valutazione adeguata o una documentazione del test di bilanciamento. Qui si annida un rischio sottovalutato: il rifiuto motivato male è peggiore del rifiuto non motivato, perché rivela al Garante la consapevolezza della norma e l'incapacità di applicarla correttamente.
Come funziona il diritto all'oblio in Germania e Francia rispetto all'Italia? Il confronto europeo
Il diritto cancellazione dati GDPR Europa trova applicazioni sensibilmente diverse nei vari ordinamenti nazionali, nonostante la matrice comune dell'art. 17 GDPR. La comparazione tra i tre principali sistemi — tedesco, francese e italiano — rivela approcci distinti che non sono semplici sfumature procedurali ma riflettono culture giuridiche diverse.
In Germania l'autorità federale di protezione dati (BfDI) affianca alle sue attività un denso apparato di linee guida operative destinate ai titolari, con particolare attenzione all'interazione tra diritto all'oblio e libertà di stampa. La giurisprudenza tedesca, già prima del GDPR, aveva elaborato la distinzione tra deindicizzazione nei motori di ricerca e rimozione dagli archivi online degli organi di informazione, trattando questi ultimi come esercizio del diritto di cronaca storica soltanto qualora l'interesse pubblico all'informazione sia attuale e verificabile. Questa sensibilità verso gli archivi giornalistici — inclusi quelli offline — genera un approccio più analitico rispetto all'Italia, dove il bilanciamento tra oblio e cronaca è più spesso affidato al caso concreto senza parametri astratti consolidati.
In Francia la CNIL ha sviluppato una prassi procedurale sofisticata nel trattamento delle richieste di deindicizzazione, con moduli standardizzati e tempistiche di risposta interna ben definite. Soprattutto, la CNIL ha storicamente anticipato le mosse giurisprudenziali europee, contribuendo in modo determinante alle pronunce della CGUE sul tema. Il diritto francese distingue nettamente tra deindicizzazione (rivolta ai motori di ricerca) e cancellazione dal sito dell'editore, applicando criteri diversi a ciascuna delle due categorie, con una produzione dottrinale di settore molto più sviluppata che in Italia.
In Italia il Garante per la protezione dei dati personali ha mostrato un attivismo crescente nel primo trimestre 2026. Il Garante ha emesso nel solo febbraio 2026 tre provvedimenti specificamente relativi al diritto all'oblio: il provvedimento n. 121 del 26 febbraio 2026 (doc. web 10233201), il provvedimento n. 135 del 26 febbraio 2026 (doc. web 10236168) relativo a internet, social media e motori di ricerca, e il provvedimento n. 82 del 12 febbraio 2026 (doc. web 10230220) in materia di diritto all'oblio e lavoro privato.
Il provvedimento n. 121/2026 è particolarmente rivelatore del tipo di problemi che si verificano nella realtà quotidiana italiana. La vicenda nasce dal reclamo di una ex collaboratrice che, dopo la cessazione del rapporto avvenuta nell'agosto 2024, aveva chiesto formalmente via PEC la cancellazione dei propri dati personali (foto, cellulare e mail aziendale) dalla sezione "Chi siamo" del sito web aziendale; nonostante la diffida, la società non ha fornito alcun riscontro iniziale per oltre sei mesi. Il Garante ha chiarito che, una volta venuta meno la finalità del trattamento legata al rapporto di lavoro concluso, i dati devono essere cancellati senza ingiustificato ritardo.
Il caso è emblematico: non si tratta di una grande piattaforma digitale né di un colosso tecnologico, ma di una piccola società che semplicemente non aveva una procedura interna per gestire la richiesta. Esattamente la criticità numero uno del rapporto EDPB.
Le autorità europee applicano il GDPR art. 17 in modo uniforme?
La risposta onesta è: no, non ancora. Il CEF è uno strumento per l'applicazione coerente del GDPR tra gli Stati membri, che seleziona annualmente un tema prioritario su cui le autorità lavorano in modo coordinato. Ma coordinazione non è uniformità. La progressione strategica dei lavori, che si sposta dal diritto alla cancellazione nel 2025 agli obblighi di trasparenza nel 2026, rivela una pianificazione accurata dell'enforcement, con le autorità nazionali che stanno affinando le competenze tecniche necessarie per analizzare i flussi di dati reali e le infrastrutture informatiche, superando il tradizionale controllo sulla documentazione formale.
Questo cambio di approccio — dall'analisi documentale all'analisi infrastrutturale — è la vera novità metodologica del CEF. Le DPA non si limitano più a verificare se esiste una privacy policy aggiornata: controllano se i sistemi IT sono effettivamente configurati per eseguire le cancellazioni, se i backup vengono trattati correttamente, se le pipeline di dati sono mappate. Per l'Italia, dove la compliance privacy è ancora prevalentemente percepita come un esercizio redazionale, questa evoluzione richiede un salto culturale significativo.
Un elemento di riflessione che il rapporto non dice esplicitamente ma che emerge con chiarezza dalla sua architettura è il seguente: il gap non è primariamente normativo. L'art. 17 GDPR è identico in tutta Europa. Il gap è esecutivo e organizzativo, e dipende dalla distanza tra la norma e i processi aziendali reali. Nei sistemi dove questa distanza è stata ridotta — attraverso procedure interne documentate, formazione del personale, audit periodici — i problemi segnalati dal CEF sono strutturalmente meno gravi. Dove invece la compliance è stata affrontata come adempimento una-tantum, il rischio di violazione è cronico.
La CGUE aveva già anticipato questa logica con la sentenza C-460/20 del dicembre 2022, nella quale aveva fissato il principio che il gestore del motore di ricerca è tenuto a deindicizzare informazioni manifestamente inesatte anche in assenza di una decisione giudiziaria contro l'editore. Il punto non era solo sostanziale ma anche procedurale: il motore di ricerca deve disporre di un meccanismo interno efficace per valutare la fondatezza della richiesta di oblio, non può limitarsi a rimandare all'editore la verifica.
Come ricorda il brocardo vigilantibus iura subveniunt — il diritto soccorre chi vigila — la norma non si attiva da sola. Il titolare del trattamento che non predispone un sistema di vigilanza interna sulle richieste di cancellazione non può invocare la complessità dell'art. 17 GDPR come esimente: la complessità era nota dal 2018.
Il rapporto CEF 2025 non va letto come una critica all'impianto normativo europeo, che rimane solido. Va letto come un catalogo di ciò che manca tra la norma e la sua attuazione reale. In Italia i tre provvedimenti del Garante del febbraio 2026 confermano che le criticità individuate dall'EDPB a livello continentale trovano puntuale riscontro nella prassi nazionale. Il confronto con Germania e Francia suggerisce che la strada per una compliance effettiva passa per la standardizzazione delle procedure interne, l'investimento nella formazione tecnica degli addetti, e una concezione del diritto all'oblio come processo continuo — non come dichiarazione di intenti.
Redazione - Staff Studio Legale MP
