TL;DR
CNIL määräsi 21.7.2026 tehdyllä ja 9.9. julkaistulla päätöksellä SAN-2026-010 Extialle 300 000 euron seuraamusmaksun. Vuonna 2024 saaduista 265 poistopyynnöstä, pääosin työnhakijoilta, 204 oli käsitelty puutteellisesti: 12 jäi käsittelemättä (12 ja 17 art.), 166 henkilölle ei ilmoitettu lopputulosta, 27 sai tiedon vasta kuukauden määräajan jälkeen. Yhtiön mukaan monet tiedot oli jo poistettu automaattisesti. CNIL vastasi, ettei automaattinen poisto vapauta ilmoitusvelvollisuudesta. Määrään vaikuttivat rikotut periaatteet, henkilöiden määrä ja kaksi aiempaa huomautusta.
Tapaus
Extia rekrytoi IT-konsultteja ja insinöörejä, jotka se sijoittaa asiakasyrityksiin: hakemuksia tulee paljon ja siksi myös poistopyyntöjä. Vuonna 2024 CNIL sai valituksia hakijoilta ja entisiltä työntekijöiltä, jotka eivät saaneet tietojaan poistetuiksi. Huhtikuun 2025 tarkastus kuului myös Euroopan tietosuojaneuvoston vuonna 2025 käynnistämään koordinoituun toimeen oikeudesta tietojen poistamiseen: eurooppalaisesta aloitteesta syntynyt tarkastus päättyy kansalliseen seuraamukseen.
- 265 poistopyyntöä vuonna 2024, enimmäkseen työnhakijoilta.
- 12 jäi käsittelemättä: 12 ja 17 artiklan rikkominen. Korjattu menettelyn aikana.
- 166 henkilölle ei koskaan ilmoitettu pyynnön lopputulosta: 12 artiklan 3 kohdan rikkominen.
- 27 henkilöä sai tiedon kuukauden määräajan jälkeen, viiveet jopa useita kuukausia.
- Kaksi aiempaa CNIL:n huomautusta samoista velvoitteista: tekijä, joka vaikutti määrään.
Tiedot ovat poissa, vastaus on silti annettava
Extia puolustautui sillä, että moni pyyntö koski hakijoita, joiden tiedot oli jo poistettu automaattisesti. CNIL hylkäsi perustelun: automaattinen poisto ei vapauta ilmoittamasta henkilölle pyynnön lopputulosta kuukauden kuluessa. Kyse on kahdesta eri velvollisuudesta. Pienessä osassa tapauksia CNIL hyväksyi esitetyt syyt, esimerkiksi sen, ettei lähettäjää voitu tunnistaa: mutta se on osoitettava tapauskohtaisesti.
Miksi tämä koskee kaikkia
Rekrytointi on tyypillinen alue: paljon hakijoita, tietoja säilytetään tulevia paikkoja varten, pyynnöt tulevat yleiseen osoitteeseen ja katoavat. Vuoden 2025 koordinoitu eurooppalainen toimi sai viranomaiset tarkastelemaan juuri tätä kulkua, ja kampanjan tarkastukset tuottavat nyt päätöksiä. Tapaus osoittaa myös, ettei huomautuksia arkistoida: ne palaavat seuraavan seuraamuksen perusteluihin.
Mitä nyt kannattaa tarkistaa
- Jokainen pyyntö kirjataan vastaanottopäivineen: kuukausi lasketaan siitä, ei lukemisesta.
- Kirjallinen vastaus jokaiseen pyyntöön, myös kun tiedot on jo poistettu tai niitä ei koskaan ollut.
- Kahden kuukauden jatko vain monimutkaisiin tai lukuisiin pyyntöihin, ilmoitettuna ensimmäisen kuukauden aikana perusteluineen.
- Hakijoille kanava, joka todella tavoittaa pyyntöjen käsittelijän, ei vain rekrytointia.
- Automaattiset poistot dokumentoituina: mikä järjestelmä, mikä sääntö ja milloin.
Alustassa
DPO Workspacen Rekisteröityjen pyynnöt -osiossa jokaisella asialla on vastaanottopäivä, kuukauden määräaika mahdollisine jatkoineen ja lähetetyn vastauksen päivämäärä. Asia kannattaa avata myös poistopyynnöille, jotka on jo täytetty automaattisesti: asia sulkeutuu vasta, kun henkilö on saanut vastauksen, ja juuri tätä päivämäärää viranomainen kysyy.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
