TL;DR
Con la deliberación SAN-2026-010 de 21 de julio de 2026, publicada el 9 de septiembre, la CNIL multó a Extia con 300.000 euros. De 265 solicitudes de supresión recibidas en 2024, sobre todo de candidatos, 204 no se habían gestionado correctamente: 12 nunca tramitadas (arts. 12 y 17), 166 personas nunca informadas del resultado, 27 informadas pasado el mes. La empresa alegó que muchos datos ya se habían borrado automáticamente. La CNIL respondió que el borrado automático no exime de informar. Pesaron los principios infringidos, el número de personas y dos advertencias previas.
El caso
Extia recluta consultores informáticos e ingenieros que destina a empresas clientes: recibe muchas candidaturas y, por tanto, muchas solicitudes de supresión. En 2024 la CNIL recibió reclamaciones de candidatos y antiguos empleados que no conseguían que se suprimieran sus datos. La inspección, en abril de 2025, se realizó también en el marco de la acción coordinada del Comité Europeo de Protección de Datos sobre el derecho de supresión, lanzada en 2025: un control nacido de una iniciativa europea que termina en una multa nacional.
- 265 solicitudes de supresión recibidas en 2024, en su mayoría de candidatos.
- 12 nunca tramitadas: infracción de los arts. 12 y 17. Corregidas durante el procedimiento.
- 166 personas nunca informadas del resultado de su solicitud: infracción del art. 12.3.
- 27 personas informadas pasado el plazo de un mes, con retrasos de hasta varios meses.
- Dos advertencias previas de la CNIL sobre las mismas obligaciones: un factor que pesó en la cuantía.
El dato ya no está, la respuesta sigue debiéndose
La defensa de Extia fue que muchas solicitudes se referían a candidatos cuyos datos ya se habían borrado automáticamente. La CNIL rechazó el argumento: el borrado automático no exime de comunicar a la persona el resultado de su solicitud en el plazo de un mes. Son dos obligaciones distintas. Para un número residual de casos la CNIL aceptó las razones alegadas, por ejemplo no poder identificar a quien escribió: pero hay que acreditarlo, caso por caso.
Por qué afecta a todos
La selección de personal es el terreno típico: muchos candidatos, datos conservados para futuras vacantes, solicitudes que llegan a una dirección genérica y se pierden. La acción coordinada europea de 2025 llevó a las autoridades a mirar precisamente este flujo, y los controles de esa campaña están produciendo ahora resoluciones. El caso muestra también que las advertencias no se archivan: vuelven en la motivación de la multa siguiente.
Qué comprobar ahora
- Cada solicitud registrada con su fecha de recepción: el mes corre desde ahí, no desde que alguien la lee.
- Una respuesta escrita a cada solicitud, aunque los datos ya se hayan suprimido o nunca se hayan tenido.
- La prórroga de dos meses solo para solicitudes complejas o numerosas, comunicada al interesado en el primer mes con los motivos.
- Un canal para candidatos que llegue de verdad a quien gestiona las solicitudes, no solo a selección.
- Las supresiones automáticas documentadas: qué sistema, con qué regla y cuándo.
En la plataforma
En la sección Solicitudes de los interesados de DPO Workspace cada expediente tiene la fecha de recepción, el plazo de un mes con la posible prórroga y la fecha de la respuesta enviada. Conviene abrirlo también para las solicitudes de supresión ya satisfechas solas: el expediente solo se cierra cuando se ha respondido a la persona, y esa fecha es la que pide una autoridad.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
