Cancellazione dati GDPR: Guida alla gestione delle richieste senza caos

Gestire correttamente le richieste di cancellazione dei dati personali non è solo un obbligo burocratico, ma una necessità critica per la sopravvivenza economica e reputazionale di ogni azienda. Con l’entrata in vigore del Regolamento UE 2016/679, il mancato rispetto del cosiddetto “diritto all’oblio” può esporre le organizzazioni a sanzioni amministrative pesantissime, che possono raggiungere i 20 milioni di euro o il 4% del fatturato annuo globale ¹. In questa guida esploreremo come implementare un workflow operativo efficace per rispondere alle richieste degli interessati, risolvendo il frequente dilemma tra l’obbligo di cancellazione previsto dal GDPR e i doveri di conservazione fiscale imposti dalle normative nazionali.

Il Diritto alla Cancellazione (Art. 17 GDPR): Cosa sapere nel 2025

L’Articolo 17 del GDPR definisce il diritto alla cancellazione, noto anche come diritto all’oblio, come il potere dell’interessato di ottenere dal titolare del trattamento la rimozione dei propri dati personali senza ingiustificato ritardo ². Nel 2025, l’attenzione su questo tema è massima: l’European Data Protection Board (EDPB) ha lanciato l’iniziativa CEF 2025 (Coordinated Enforcement Framework), un’azione di controllo coordinata a livello europeo focalizzata specificamente sull’attuazione del diritto alla cancellazione ⁶. Questo significa che le autorità di controllo, come il Garante Privacy italiano, intensificheranno le ispezioni sulle procedure aziendali di “data purging”.

Quando l’interessato ha diritto all’oblio?

Non ogni richiesta di cancellazione deve essere accolta incondizionatamente. Secondo le Linee guida EDPB sul diritto all’oblio, l’obbligo di cancellazione scatta in casi specifici ³:

• I dati non sono più necessari rispetto alle finalità per cui sono stati raccolti.
• L’interessato revoca il consenso su cui si basa il trattamento (e non sussiste altra base giuridica).
• L’interessato si oppone al trattamento per finalità di marketing diretto.
• I dati sono stati trattati illecitamente.
• La cancellazione è un obbligo legale previsto dal diritto dell’Unione o dello Stato membro.

Procedura operativa: Come gestire una richiesta in 4 step

Per evitare il caos gestionale e garantire l’Accountability (responsabilizzazione), ogni azienda dovrebbe adottare una procedura standardizzata. Documentare ogni passaggio è fondamentale: in caso di ispezione, non basta aver cancellato i dati, bisogna poter dimostrare come e perché lo si è fatto. Un valido supporto può essere trovato consultando un Esempio di policy per la gestione dei diritti GDPR ⁴.

Step 1: Identificazione e verifica dell’interessato

Il primo passo è accertarsi dell’identità di chi presenta la richiesta. Tuttavia, il titolare deve seguire il principio della Data Minimization: non bisogna richiedere documenti eccessivi (come la scansione integrale della carta d’identità) se l’identità può essere confermata in altro modo, ad esempio tramite l’indirizzo email registrato nel sistema. L’obiettivo è prevenire il furto d’identità senza creare ostacoli ingiustificati all’esercizio del diritto.

Step 2: Analisi della legittimità e basi legali

Ricevuta la richiesta, il Titolare deve valutare se esistono motivi legittimi per rifiutarla, totalmente o parzialmente. Il GDPR prevede eccezioni chiare, come l’esercizio della libertà di espressione, l’adempimento di un obbligo legale o la difesa di un diritto in sede giudiziaria.

Step 3: Esecuzione tecnica: Cancellazione vs Anonimizzazione

La cancellazione può avvenire tramite l’eliminazione fisica dei record dai database o attraverso l’anonimizzazione irreversibile. In quest’ultimo caso, i dati devono essere trasformati in modo tale che l’interessato non sia più identificabile, nemmeno tramite incrocio con altre informazioni. Per i supporti fisici, è bene seguire standard tecnici di distruzione sicura per evitare recuperi non autorizzati.

Il dilemma normativo: GDPR vs Articolo 2220 del Codice Civile

Una delle maggiori difficoltà nella gestione delle richieste GDPR riguarda il conflitto con le norme nazionali. Se un cliente chiede la cancellazione totale, l’azienda deve scontrarsi con l’Art. 2220 del Codice Civile italiano, che impone la conservazione delle scritture contabili e delle fatture per almeno 10 anni ⁵. In questo scenario, il diritto all’oblio non è assoluto. Come sottolineato da esperti di settore, la conservazione è legittima se limitata esclusivamente alle finalità fiscali e civilistiche, “congelando” i dati e impedendone l’uso per altre attività, come il marketing ⁵.

Dati fiscali e contrattuali: Perché non puoi cancellare tutto

La soluzione operativa risiede nella conservazione differenziata. Quando arriva una richiesta di cancellazione dati GDPR da un ex cliente, il titolare deve:

1. Cancellare i dati dai database di marketing e profilazione.
2. Mantenere i dati strettamente necessari (nome, cognome, codice fiscale, dettagli transazione) in un archivio protetto e ad accesso limitato per il tempo previsto dalla legge fiscale.
3. Informare chiaramente l’interessato che la cancellazione è stata parziale a causa di obblighi di legge specifici.

Tempistiche di risposta e sanzioni: I rischi del ritardo

Il tempo è un fattore critico. Secondo la Guida del Garante Privacy sui diritti degli interessati, il titolare deve fornire un riscontro senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta ¹. Questo termine può essere esteso di altri due mesi (per un totale di tre) solo in casi di particolare complessità, ma l’interessato deve essere informato della proroga entro il primo mese.

Come gestire la proroga dei termini in modo conforme

Se la richiesta coinvolge sistemi legacy complessi o una mole massiccia di dati, è necessario inviare una comunicazione formale all’interessato spiegando i motivi del ritardo. Ignorare la richiesta o rispondere oltre i termini è uno degli errori più comuni che portano a segnalazioni al Garante.

Automazione e Software: Eliminare il caos manuale

Per le aziende che gestiscono migliaia di record, la gestione manuale delle cancellazioni è un rischio insostenibile. L’adozione di software per la conformità GDPR permette di implementare la “Privacy by Design”, automatizzando i processi di data purging e garantendo la tracciabilità di ogni operazione.

Checklist per scegliere un software di Data Retention

Un buon sistema tecnologico dovrebbe integrarsi con il Registro delle attività di trattamento (Art. 30 GDPR) e offrire:

• Automazione delle scadenze basata sulla Data Retention Policy aziendale.
• Generazione automatica di log di cancellazione (verbali di eliminazione).
• Funzioni di ricerca granulare per individuare i dati di un singolo interessato in tutti i sistemi aziendali.

In conclusione, la gestione delle richieste di cancellazione non deve essere vissuta solo come un onere. Un database pulito e aggiornato riduce la superficie di attacco in caso di data breach e migliora l’efficienza dei processi di marketing. Un approccio proattivo, supportato da procedure chiare e strumenti tecnologici adeguati, è l’unica difesa reale contro il rischio di sanzioni milionarie.

Scarica il nostro modello di procedura operativa per la gestione delle richieste GDPR o contattaci per una consulenza sulla tua Data Retention Policy.

Le informazioni contenute in questo articolo hanno scopo informativo e non costituiscono parere legale. Si consiglia di consultare un DPO o un legale specializzato per casi specifici.