EDPB CEF 2026: 25 Autorita' europee verificano la trasparenza delle informative privacy

Cosa e' la CEF 2026

La Coordinated Enforcement Framework (CEF) e' un meccanismo introdotto dall'EDPB nel 2020 per armonizzare l'enforcement del GDPR a livello europeo. Ogni anno l'EDPB seleziona un tema specifico e le Autorita' nazionali svolgono verifiche parallele, condividendo metodologie e risultati. I temi precedenti:

• 2023 - Uso di servizi cloud nel settore pubblico
• 2024 - Designazione e ruolo dei DPO
• 2025 - Implementazione del diritto di accesso (art. 15)
• 2025 (parallelo) - Diritto all'oblio (art. 17)
• 2026 - Trasparenza e obblighi informativi (artt. 12-14)

Cosa esamineranno le Autorita'

Le DPA partecipanti stanno verificando se le informative privacy dei titolari soddisfano i requisiti di trasparenza dell'art. 12 GDPR (forma concisa, trasparente, intelligibile, accessibile, linguaggio semplice e chiaro) e completezza degli artt. 13-14. In particolare:

• Identita' e contatti del titolare e del DPO indicati in modo chiaro e accessibile
• Finalita' del trattamento specifiche e non generiche (es. 'fornire il servizio' non basta)
• Base giuridica indicata per OGNI finalita' di trattamento, non in modo cumulativo
• Destinatari indicati con precisione, o almeno le categorie di destinatari (l'EDPB tende a richiedere maggior dettaglio)
• Trasferimenti verso paesi terzi indicati ESPLICITAMENTE, con menzione delle garanzie (SCC, decisione adeguatezza, ecc.) e link alla documentazione
• Periodo di conservazione per ogni categoria di dati, o criteri per determinarlo
• Diritti dell'interessato con istruzioni operative su come esercitarli (non solo elenco)
• Diritto di reclamo all'Autorita' di controllo con riferimento al Garante (per titolari italiani)

Cosa significa operativamente per il DPO

I DPO di titolari italiani dovrebbero pianificare un audit completo delle informative privacy entro Q3 2026. La priorita' va data ai titolari con caratteristiche di rischio elevato:

• Titolari che processano categorie particolari di dati (art. 9) o dati di minori
• Titolari con trasferimenti extra-UE strutturati (cloud, SaaS, servizi B2B internazionali)
• Titolari del settore pubblico (l'EDPB ha gia' avuto focus sul settore pubblico nel 2023)
• Titolari con marketing diretto, profilazione, decisioni automatizzate
• Titolari che hanno aggiornato il loro modello di business negli ultimi 24 mesi senza aggiornare l'informativa

Checklist operativa per l'audit informative

• Mappare ogni trattamento attivo e verificare che sia coperto da un'informativa specifica
• Verificare che ogni informativa sia in linguaggio comprensibile a un cittadino medio (non legalese)
• Verificare la presenza di TUTTI gli elementi degli artt. 13-14 GDPR (checklist completa: identita' titolare, contatti DPO, finalita', basi giuridiche, destinatari, trasferimenti extra-UE, conservazione, diritti, autorita' di controllo, esistenza di profilazione/decisioni automatizzate, fonte dati se non raccolti direttamente)
• Verificare che i tempi di conservazione siano specifici e giustificati (non 'finche' necessario')
• Verificare che i destinatari siano elencati per categorie chiare, idealmente con un link a una lista responsabili
• Verificare che i trasferimenti extra-UE siano identificati per paese, con base di trasferimento (decisione adeguatezza, SCC, BCR)
• Verificare la data di ultimo aggiornamento e la storia delle versioni (accountability)
• Verificare l'accessibilita' tecnica: informativa raggiungibile in 1-2 click da homepage, leggibile da mobile, contrasto colori adeguato

Tempistiche probabili

Le DPA hanno iniziato a contattare i titolari nelle settimane successive al lancio (marzo 2026). Le richieste tipiche includono: copia delle informative privacy attualmente in uso, evidenza del processo di review periodica, mappatura dei trasferimenti extra-UE, evidenza delle modifiche apportate dopo l'entrata in vigore del GDPR. Le risposte vanno generalmente fornite entro 20-30 giorni dalla richiesta. Il report finale della CEF 2026 sara' adottato dall'EDPB nel 2027 con sintesi delle non conformita' piu' frequenti.

Sanzioni attese

Le violazioni degli artt. 12-14 GDPR rientrano nello scaglione massimo di sanzione (art. 83.5): fino al 4% del fatturato annuo mondiale o 20 milioni di euro, qualunque sia maggiore. Negli enforcement recenti per carenze di trasparenza, le sanzioni si sono attestate tra 50.000 EUR (PMI) e diversi milioni (Meta, TikTok, Amazon).