TL;DR per il DPO
Il 19 marzo 2026 l'EDPB ha lanciato la Coordinated Enforcement Action 2026 sulla trasparenza GDPR (artt. 12-14). 25 DPA europee, incluso il Garante italiano, stanno verificando le informative privacy di titolari in vari settori. Il rischio per i DPO: contestazioni su informative incomplete, non aggiornate, o non chiare. Priorita': audit informative entro Q3 2026, con focus su finalita' specifiche, basi giuridiche, destinatari, trasferimenti extra-UE e tempi di conservazione.
Cosa e' la CEF 2026
La Coordinated Enforcement Framework (CEF) e' un meccanismo introdotto dall'EDPB nel 2020 per armonizzare l'enforcement del GDPR a livello europeo. Ogni anno l'EDPB seleziona un tema specifico e le Autorita' nazionali svolgono verifiche parallele, condividendo metodologie e risultati. I temi precedenti:
- 2023 - Uso di servizi cloud nel settore pubblico
- 2024 - Designazione e ruolo dei DPO
- 2025 - Implementazione del diritto di accesso (art. 15)
- 2025 (parallelo) - Diritto all'oblio (art. 17)
- 2026 - Trasparenza e obblighi informativi (artt. 12-14)
Cosa esamineranno le Autorita'
Le DPA partecipanti stanno verificando se le informative privacy dei titolari soddisfano i requisiti di trasparenza dell'art. 12 GDPR (forma concisa, trasparente, intelligibile, accessibile, linguaggio semplice e chiaro) e completezza degli artt. 13-14. In particolare:
- Identita' e contatti del titolare e del DPO indicati in modo chiaro e accessibile
- Finalita' del trattamento specifiche e non generiche (es. 'fornire il servizio' non basta)
- Base giuridica indicata per OGNI finalita' di trattamento, non in modo cumulativo
- Destinatari indicati con precisione, o almeno le categorie di destinatari (l'EDPB tende a richiedere maggior dettaglio)
- Trasferimenti verso paesi terzi indicati ESPLICITAMENTE, con menzione delle garanzie (SCC, decisione adeguatezza, ecc.) e link alla documentazione
- Periodo di conservazione per ogni categoria di dati, o criteri per determinarlo
- Diritti dell'interessato con istruzioni operative su come esercitarli (non solo elenco)
- Diritto di reclamo all'Autorita' di controllo con riferimento al Garante (per titolari italiani)
Il punto critico: i destinatari
Negli enforcement recenti, diverse DPA hanno adottato la posizione che i titolari debbano identificare ESPLICITAMENTE OGNI paese terzo verso cui trasferiscono dati. La formula generica 'destinatari nell'Unione Europea e/o paesi terzi adeguati' non e' piu' sufficiente. La CNIL francese, la AEPD spagnola e il Garante italiano hanno sanzionato titolari per questa carenza nel 2025. Aspettatevi maggior rigore nel 2026.
Cosa significa operativamente per il DPO
I DPO di titolari italiani dovrebbero pianificare un audit completo delle informative privacy entro Q3 2026. La priorita' va data ai titolari con caratteristiche di rischio elevato:
- Titolari che processano categorie particolari di dati (art. 9) o dati di minori
- Titolari con trasferimenti extra-UE strutturati (cloud, SaaS, servizi B2B internazionali)
- Titolari del settore pubblico (l'EDPB ha gia' avuto focus sul settore pubblico nel 2023)
- Titolari con marketing diretto, profilazione, decisioni automatizzate
- Titolari che hanno aggiornato il loro modello di business negli ultimi 24 mesi senza aggiornare l'informativa
Checklist operativa per l'audit informative
- Mappare ogni trattamento attivo e verificare che sia coperto da un'informativa specifica
- Verificare che ogni informativa sia in linguaggio comprensibile a un cittadino medio (non legalese)
- Verificare la presenza di TUTTI gli elementi degli artt. 13-14 GDPR (checklist completa: identita' titolare, contatti DPO, finalita', basi giuridiche, destinatari, trasferimenti extra-UE, conservazione, diritti, autorita' di controllo, esistenza di profilazione/decisioni automatizzate, fonte dati se non raccolti direttamente)
- Verificare che i tempi di conservazione siano specifici e giustificati (non 'finche' necessario')
- Verificare che i destinatari siano elencati per categorie chiare, idealmente con un link a una lista responsabili
- Verificare che i trasferimenti extra-UE siano identificati per paese, con base di trasferimento (decisione adeguatezza, SCC, BCR)
- Verificare la data di ultimo aggiornamento e la storia delle versioni (accountability)
- Verificare l'accessibilita' tecnica: informativa raggiungibile in 1-2 click da homepage, leggibile da mobile, contrasto colori adeguato
Tempistiche probabili
Le DPA hanno iniziato a contattare i titolari nelle settimane successive al lancio (marzo 2026). Le richieste tipiche includono: copia delle informative privacy attualmente in uso, evidenza del processo di review periodica, mappatura dei trasferimenti extra-UE, evidenza delle modifiche apportate dopo l'entrata in vigore del GDPR. Le risposte vanno generalmente fornite entro 20-30 giorni dalla richiesta. Il report finale della CEF 2026 sara' adottato dall'EDPB nel 2027 con sintesi delle non conformita' piu' frequenti.
Suggerimento operativo
Per i DPO consulenti con piu' clienti, conviene preparare un template di audit informativa replicabile e un registro centralizzato delle informative dei clienti gestiti, con date di ultima revisione e priorita' di intervento. La CEF 2026 e' un'occasione commerciale: molti titolari saranno disposti a investire in audit privacy proattivo per evitare sanzioni.
Sanzioni attese
Le violazioni degli artt. 12-14 GDPR rientrano nello scaglione massimo di sanzione (art. 83.5): fino al 4% del fatturato annuo mondiale o 20 milioni di euro, qualunque sia maggiore. Negli enforcement recenti per carenze di trasparenza, le sanzioni si sono attestate tra 50.000 EUR (PMI) e diversi milioni (Meta, TikTok, Amazon).
Fonte ufficiale:EDPB - CEF 2026 launchFonte ufficiale:Articoli 12-14 GDPRStai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
