CANCELLARE L’ACCOUNT NON SIGNIFICA NECESSARIAMENTE CANCELLARE I DATI
Abbandonare un social network sembra un gesto semplice. Si entra nelle impostazioni, si seleziona “elimina account”, si conferma la propria identità e, dopo qualche passaggio, il profilo scompare dalla piattaforma.
Dal punto di vista della protezione dei dati personali, però, la questione è molto più complessa.
Un account social non coincide infatti con l’insieme delle informazioni che una piattaforma possiede su un individuo. Durante mesi o anni di utilizzo possono essere raccolti contenuti pubblicati volontariamente, messaggi, fotografie, contatti, cronologia delle interazioni, indirizzi IP, identificatori dei dispositivi, preferenze, dati pubblicitari e informazioni generate attraverso l’osservazione del comportamento dell’utente.
A questi elementi possono aggiungersi dati derivati o inferiti dalla piattaforma: interessi presumibili, categorie utilizzate per la personalizzazione dei contenuti, segmenti pubblicitari e altri elementi costruiti analizzando l’attività digitale.
La scomparsa del profilo visibile rappresenta quindi soltanto una parte del problema. La vera questione giuridica riguarda ciò che accade all’intero patrimonio informativo collegato alla persona una volta terminato il rapporto con il servizio, ed è precisamente in questo spazio che interviene il diritto alla cancellazione previsto dal GDPR.
IL DIRITTO ALLA CANCELLAZIONE VA OLTRE IL PULSANTE “ELIMINA ACCOUNT”
L’articolo 17 del GDPR riconosce all’interessato, in presenza di determinate condizioni, il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo.
Il diritto può essere esercitato, ad esempio, quando i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti, quando viene revocato il consenso e manca un’altra base giuridica per continuare il trattamento, quando l’interessato si oppone al trattamento in presenza dei presupposti previsti dal Regolamento oppure quando i dati sono stati trattati illecitamente.
Questo significa che la cancellazione di un account e l’esercizio del diritto previsto dall’articolo 17 non sono concetti perfettamente sovrapponibili.
Il primo riguarda prevalentemente la cessazione del rapporto con il servizio e la rimozione della presenza dell’utente dalla piattaforma. Il secondo riguarda invece la legittimità della conservazione e dell’utilizzo dei dati personali.
Una piattaforma deve quindi essere in grado di stabilire quali informazioni possano essere cancellate, quali debbano esserlo e quali, invece, possano essere temporaneamente conservate sulla base di un diverso fondamento giuridico.
Il GDPR trasforma così un gesto apparentemente tecnico, la pressione di un pulsante, in un vero procedimento di compliance.
IL PROFILO VISIBILE È SOLO UNA PARTE DELLA NOSTRA IDENTITÀ DIGITALE
La difficoltà aumenta perché sui social network l’identità dell’utente non è composta soltanto dalle informazioni presenti nella propria pagina.
Esiste innanzitutto ciò che la persona fornisce direttamente: nome, fotografia, biografia, post, video, commenti e altre informazioni pubblicate.
Esistono poi dati osservati durante l’utilizzo del servizio: contenuti visualizzati, tempi di permanenza, interazioni, ricerche, dispositivi utilizzati e collegamenti con altri account.
Infine, possono essere elaborate informazioni ulteriori attraverso l’analisi di questi comportamenti.
Per questo la cancellazione effettiva richiede innanzitutto che il titolare sappia quali dati possiede e dove siano conservati. Database principali, sistemi pubblicitari, strumenti di sicurezza, archivi, sistemi antifrode e infrastrutture tecniche possono contenere informazioni riconducibili allo stesso individuo.
Il principio di accountability previsto dal GDPR assume qui un significato particolarmente concreto: non è sufficiente dichiarare di rispettare il diritto alla cancellazione. L’organizzazione deve costruire procedure capaci di individuare i dati interessati dalla richiesta e intervenire sui diversi sistemi in cui essi vengono trattati.
Nel mondo dei social, quindi, cancellare un’identità digitale può essere tecnicamente molto più difficile che crearla.
QUANDO I DATI SONO USCITI DALLA PIATTAFORMA, IL PROBLEMA DIVENTA ANCORA PIÙ GRANDE
Internet ha una caratteristica che rende particolarmente complesso il diritto alla cancellazione: i dati possono essere copiati, condivisi, indicizzati e trasferiti.
Una fotografia pubblicata su un social può essere stata condivisa da altri utenti. Un contenuto pubblico può essere stato indicizzato da un motore di ricerca. Alcune informazioni possono essere state comunicate a destinatari esterni nell’ambito delle attività previste dalla piattaforma.
Il GDPR tiene conto di questa realtà.
Quando un titolare ha reso pubblici determinati dati personali ed è obbligato a cancellarli, l’articolo 17, paragrafo 2, richiede che, tenendo conto della tecnologia disponibile e dei costi di attuazione, adotti misure ragionevoli anche tecniche per informare gli altri titolari che stanno trattando quei dati della richiesta di cancellare link, copie o riproduzioni.
L’articolo 19 prevede inoltre specifici obblighi di comunicazione nei confronti dei destinatari ai quali i dati personali siano stati comunicati, salvo che ciò si riveli impossibile o comporti uno sforzo sproporzionato.
Il diritto alla cancellazione, quindi, non riguarda soltanto il database principale della piattaforma, la vera sfida è ricostruire il percorso compiuto dal dato e impedire, nei limiti previsti dalla normativa, che la richiesta dell’utente venga applicata soltanto alla sua manifestazione più visibile.
IL DIRITTO DI SPARIRE NON È UN DIRITTO ASSOLUTO
Il diritto alla cancellazione è molto forte, ma non comporta la possibilità di pretendere in ogni circostanza la distruzione immediata di qualsiasi informazione.
Lo stesso articolo 17 GDPR stabilisce alcune eccezioni.
La conservazione può essere necessaria, tra gli altri casi, per esercitare il diritto alla libertà di espressione e informazione, adempiere un obbligo legale, svolgere un compito di interesse pubblico, perseguire determinate finalità di ricerca o archiviazione oppure accertare, esercitare o difendere un diritto in sede giudiziaria.
Anche dopo la chiusura di un account, quindi, alcuni dati potrebbero continuare a essere conservati quando esiste una base giuridica che lo consente.
Il punto decisivo diventa la finalità.
La piattaforma non può considerare la conservazione successiva alla cancellazione come una zona priva di regole. Deve essere in grado di giustificare perché una determinata informazione continua a essere trattata, per quale scopo, per quanto tempo e sulla base di quale disposizione.
A questo si aggiunge il principio di limitazione della conservazione: i dati personali non devono essere mantenuti in una forma che permetta l’identificazione degli interessati più a lungo di quanto sia necessario rispetto alle finalità per cui vengono trattati.
L’EUROPA STA VERIFICANDO SE IL DIRITTO ALLA CANCELLAZIONE FUNZIONA DAVVERO
La distanza tra il diritto scritto e la sua applicazione concreta è diventata abbastanza rilevante da spingere le autorità europee ad approfondire direttamente il problema.
Nel 2025 il Comitato europeo per la protezione dei dati ha dedicato la propria azione coordinata di enforcement proprio all’attuazione del diritto alla cancellazione da parte dei titolari del trattamento.
Il rapporto conclusivo, adottato nel febbraio 2026, ha evidenziato una serie di criticità che possono ostacolare la piena applicazione dell’articolo 17. L’EDPB ha scelto questo tema anche perché il diritto alla cancellazione rientra tra quelli maggiormente esercitati dagli interessati e tra quelli che generano frequentemente reclami davanti alle autorità nazionali.
Pochi mesi dopo, nel maggio 2026, il Comitato ha aggiornato anche il proprio One-Stop-Shop Case Digest dedicato al diritto di opposizione e alla cancellazione.
Il documento analizza le decisioni adottate dalle autorità europee e comprende espressamente situazioni nelle quali gli interessati chiedono di cancellare il proprio account o il proprio profilo dati online.
Dalla prima versione del documento erano state adottate centinaia di nuove decisioni nell’ambito del meccanismo One-Stop-Shop, rendendo necessario un aggiornamento della raccolta.
Il problema della cancellazione non appartiene quindi alla prima fase di applicazione del GDPR. A otto anni dalla piena operatività del Regolamento rappresenta ancora uno degli ambiti nei quali la distanza tra diritto riconosciuto e diritto effettivamente esercitabile deve essere ridotta.
LA PRIVACY DEL FUTURO DIPENDERÀ DALLA CAPACITÀ DI FAR DIMENTICARE I SISTEMI DIGITALI
Per anni il dibattito sulla privacy online si è concentrato soprattutto sulla raccolta dei dati: quali informazioni possano essere ottenute, quale consenso sia necessario e quali obblighi informativi debbano essere rispettati.
La crescita delle piattaforme digitali mostra però che una seconda questione sta diventando altrettanto importante: la capacità di interrompere realmente il trattamento quando il rapporto con l’utente termina.
Più un servizio costruisce infrastrutture complesse di personalizzazione, pubblicità, sicurezza e analisi dei comportamenti, più diventa difficile garantire che una richiesta di cancellazione raggiunga ogni luogo nel quale un’informazione rilevante è stata utilizzata.
La privacy by design dovrebbe essere applicata anche a questa fase.
Un sistema rispettoso della protezione dei dati non dovrebbe essere progettato soltanto per raccogliere informazioni in modo conforme, ma anche per sapere dove si trovano, per quanto tempo devono essere conservate e come possano essere eliminate quando viene meno la ragione giuridica che ne giustifica il trattamento.
Il valore del diritto alla cancellazione si misura precisamente in questo momento.
Un diritto che permette di rimuovere una fotografia ma non consente di governare realmente il ciclo di vita delle informazioni rischia di diventare soltanto una tutela formale.
La vera evoluzione della privacy digitale sarà quindi passare dal diritto di chiudere un account al diritto di interrompere effettivamente la relazione informativa costruita attorno a quell’account.
Nell’economia dei dati, poter entrare facilmente in una piattaforma è una questione di mercato. Poterne uscire portando con sé anche la propria identità digitale è una questione di libertà.
A cura degli studenti sotto la Facoltà di Giurisprudenza e Ingegneria Informatica
NOTE E RIFERIMENTI:
- Regolamento (UE) 2016/679 – GDPR, in particolare artt. 5, 17 e 19, relativi alla limitazione della conservazione, al diritto alla cancellazione e agli obblighi di comunicazione ai destinatari: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- European Data Protection Board, “Coordinated Enforcement Action – Implementation of the right to erasure by controllers”, rapporto adottato il 10 febbraio 2026 e pubblicato il 18 febbraio 2026 sull’applicazione concreta dell’articolo 17 GDPR: https://www.edpb.europa.eu/documents/coordinated-enforcement-framework/coordinated-enforcement-action-implementation-of-the-0_en
- European Data Protection Board, “One-Stop-Shop case digest on right to object and right to erasure”, aggiornamento del 26 maggio 2026 sulle decisioni delle autorità europee, comprese quelle relative alla cancellazione di account e profili dati online: https://www.edpb.europa.eu/documents/support-pool-of-experts/one-stop-shop-case-digest-on-right-to-object-and-right-to-erasure_en
- European Data Protection Board, “Data subject rights”, quadro generale dei diritti riconosciuti agli interessati dal GDPR e degli obblighi organizzativi dei titolari per facilitarne l’esercizio: https://www.edpb.europa.eu/topics/key-gdpr-concepts/data-subject-rights_en
- Garante per la protezione dei dati personali, “Diritti degli interessati”, scheda sul diritto alla cancellazione e sull’obbligo di informare altri titolari in relazione a link, copie e riproduzioni dei dati resi pubblici: https://www.garanteprivacy.it/regolamentoue/diritti-degli-interessati
- European Data Protection Board, Guidelines 5/2019 on the criteria of the Right to be Forgotten in search engines cases under the GDPR, quadro interpretativo sull’applicazione dell’articolo 17 nell’ambiente online e sulla distinzione tra cancellazione e deindicizzazione: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-52019-criteria-right-be-forgotten-search-engines_en
