Diritto alla cancellazione e all’oblio: il Garante partecipa all’indagine dell’EDPB

Il Garante per la protezione dei dati personali italiano ha ufficializzato la propria partecipazione, assieme ad altre 32 Autorità nazionali europee, alla nuova azione coordinata di applicazione (Coordinated Enforcement Framework – CEF) dell’European Data Protection Board (EDPB), che si svolgerà nel corso del 2025 e sarà dedicata all’attuazione del diritto alla cancellazione e del diritto all’oblio.

Lo strumento

Il CEF, strumento di coerenza dell’applicazione del GDPR tra gli Stati membri, è stato sviluppato come parte della strategia EDPB 2021-2023 proprio con l’obiettivo di razionalizzare l’applicazione e rafforzare la cooperazione tra le autorità di protezione dei dati.

Ogni anno, viene selezionato l’argomento prioritario su cui le Autorità agiranno in modo coordinato con una metodologia determinata, attraverso questionari, diretti a soggetti pubblici e privati, indagini, ispezioni. Al termine una relazione congiunte individua le criticità e le azioni da porre in essere che si possono sostanziare in nuove linee guida, raccomandazioni, richiami, ingiunzioni o sanzioni pecuniarie. Sono anche possibili iniziative informative, di sensibilizzazione e di formazione rivolte ad una più ampia platea.

I precedenti

Nel 2024 si è avviata l’analisi sulla verifica dell’effettiva attuazione dei diritti dei soggetti interessati con un’indagine sulle modalità con cui i titolari dei trattamenti hanno reso concreto il diritto di accesso[1], porta di accesso all’esercizio di tutti i diritti; l’indagine ha reso evidente soprattutto l’esigenza di adottare procedure interne documentate per gestire le richieste di accesso. Le prime due indagini hanno avuto ad oggetto l’uso di servizi cloud da parte del settore pubblico[2] e la designazione e il ruolo dei RPD[3].

Il Focus 2025

Nel 2025 l’EDPB ha voluto ancora porre l’attenzione sui soggetti interessati al trattamento e sui diritti che devono essere assicurati e, in particolare, su quelli più esercitati sui quali le autorità nazionali ricevono il maggior numero di reclami e segnalazioni.

Vediamo di cosa si tratta.

Il diritto alla cancellazione: il “diritto all’oblio”

L’art.17 del GDPR ha disegnato una forma rafforzata del diritto dell’interessato alla cancellazione dei propri dati personali integrandolo con il diritto alla deindicizzazione. Si prevede, infatti, non solo l’obbligo per i titolari, al verificarsi di determinate condizioni, di cancellare i dati personali senza ingiustificato ritardo, ma anche l’obbligo per i titolari che hanno “reso pubblici” i dati personali dell’interessato, ad esempio pubblicandoli su un sito web, di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi qualsiasi link, copia o riproduzione.

È sicuramente il più “giovane” tra i diritti, un baluardo contro l’invadenza del web e la sua capacità di ricordare senza limiti spazio-temporali. Ma quali ostacoli incontra nel suo cammino. Quali sono le criticità e cosa fare per renderlo concreto.
Dall’indagine sicuramente attendiamo una risposta.

Prossime tappe

Come già accaduto nei casi precedenti le autorità nazionali si rivolgeranno ad un campione di titolari del trattamento di diversi settori, anche pubblici, in tutta Europa, avviando indagini formali o svolgendo attività di accertamento dei fatti o inviando questionari coordinati. Il focus mira in concreto a verificare come i titolari del trattamento gestiscono e rispondono alle richieste di cancellazione che ricevono e, in particolare, come applicano le condizioni e le eccezioni per l’esercizio di questo diritto.

Al termine i dati verranno condivisi e discussi entro la fine di quest’anno.
I risultati saranno aggregati e analizzati per fornire informazioni più approfondite sull’argomento, consentendo follow-up mirati a livello sia nazionale che dell’Unione.

Contributo alla Rubrica “Appunti di Privacy”: notizie, spunti di riflessione, brevi commenti, chiarimenti sui principali temi di attualità sul tema della tutela dei dati personali. A cura di Patrizia Cardillo, Esperta di Protezione dati personali, in collaborazione con FPA

[1] Cfr. Appunti di privacy – Faro dei Garanti sull’attuazione del diritto di accesso

[2] Cfr. Appunti di privacy – Il Cloud pubblico: i primi risultati dell’indagine dell’EDPB. Cloud pubblico e privacy: le Autorità Ue chiedono più attenzione alla tutela dei dati personali.

[3] Cfr. Appunti di privacy – Faro dei Garanti sui Data Protection Officer e sui diritti