L'articolo 17 del GDPR è la norma giuridica dell'UE alla base del «diritto alla cancellazione», talvolta chiamato diritto all'oblio. Consente a una persona di chiedere la cancellazione dei dati personali quando non sussistono più le basi giuridiche, il consenso viene revocato oppure i dati sono stati raccolti in modo illecito. Il diritto non è assoluto: i titolari del trattamento devono considerare anche eccezioni come obblighi legali, libertà di espressione, interesse pubblico e necessità di difendere pretese legali.
Nella sicurezza informatica e nell'ingegneria della privacy, l'articolo 17 è importante perché la cancellazione è un flusso di lavoro controllato di trattamento dei dati, non un semplice pulsante. Le piattaforme che gestiscono le richieste di rimozione hanno bisogno di solidi controlli dell'identità, caricamento sicuro delle prove, controlli degli accessi, limiti di conservazione, registrazione dei log e tracce di audit. Nei sistemi reali compare nella deindicizzazione dai motori di ricerca, nella chiusura degli account e nelle attività di pulizia successive a un incidente, quando i dati personali esposti o non necessari devono essere rimossi. Gli aggressori possono tentare di abusare dei canali di cancellazione per nascondere registri o ostacolare le indagini, quindi i difensori fanno affidamento sulla verifica e su decisioni documentate, comprese rifiuti motivati quando la cancellazione non è consentita.