L’art 17 del GDPR prevede che l’interessato (cioè la persona cui dati si riferiscono) possa chiedere al titolare del trattamento di tali dati la loro cancellazione e che quest’ultimo debba procedere a ciò senza ingiustificato ritardo in tutti i casi in cui i dati personali non siano più necessari rispetto alle finalità per cui erano stati originariamente trattati, oppure siano stati trattati illecitamente, oppure l’interessato revochi il consenso o si opponga al loro trattamento, oppure la cancellazione costituisca un obbligo giuridico imposto dal diritto dell’UE o degli Stati membri.

Il rifiuto della cancellazione da parte del titolare del trattamento può essere giustificato quando il trattamento sia necessario per l’esercizio del diritto alla libertà di espressione e di informazione, oppure avvenga nell’adempimento di un obbligo giuridico previsto dal diritto dell’Unione o degli Stati membri, oppure sia motivato dall’interesse pubblico nel settore della sanità pubblica, oppure abbia finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica o fini statistici, oppure infine sia necessario per l’esercizio o la difesa di un diritto in sede giudiziaria. Il titolare del trattamento provvederà in tali casi alla cancellazione «tenendo conto della tecnologia disponibile e dei costi di attuazione»: si tratta, quindi, di un diritto sottoposto anche a condizionalità estrinseche di carattere tecnologico e finanziario, non correlate in alcun modo all’esigenza di bilanciare i contrapposti interessi in gioco.