TL;DR
Par la délibération SAN-2026-010 du 21 juillet 2026, publiée le 9 septembre, la CNIL a infligé à Extia une amende de 300 000 euros. Sur 265 demandes d'effacement reçues en 2024, surtout de candidats, 204 n'avaient pas été correctement traitées : 12 jamais traitées (art. 12 et 17), 166 personnes jamais informées des suites, 27 informées hors du délai d'un mois. La société soutenait que beaucoup de données avaient déjà été supprimées automatiquement. La CNIL a répondu que la suppression automatique ne dispense pas d'informer. Ont pesé les principes méconnus, le nombre de personnes et deux rappels antérieurs.
Le dossier
Extia recrute des consultants en informatique et ingénierie qu'elle affecte chez ses clients : elle reçoit beaucoup de candidatures, donc beaucoup de demandes d'effacement. En 2024, la CNIL a reçu des plaintes de candidats et d'anciens salariés qui n'arrivaient pas à faire effacer leurs données. Le contrôle d'avril 2025 a été mené également dans le cadre de l'action coordonnée du Comité européen de la protection des données sur le droit à l'effacement lancée en 2025 : un contrôle né d'une initiative européenne qui se conclut par une sanction nationale.
- 265 demandes d'effacement reçues en 2024, majoritairement de candidats.
- 12 jamais traitées : manquement aux articles 12 et 17. Corrigé en cours de procédure.
- 166 personnes jamais informées des suites de leur demande : manquement à l'article 12, § 3.
- 27 personnes informées après le délai d'un mois, avec des retards pouvant atteindre plusieurs mois.
- Deux rappels antérieurs de la CNIL aux mêmes obligations : un facteur qui a pesé sur le montant.
La donnée n'est plus là, la réponse reste due
La défense d'Extia était que de nombreuses demandes concernaient des candidats dont les données avaient déjà été supprimées automatiquement. La CNIL a écarté l'argument : la suppression automatique ne dispense pas d'informer la personne des suites de sa demande dans le mois. Ce sont deux obligations distinctes. Pour un nombre résiduel de cas, la CNIL a admis les raisons avancées, par exemple l'impossibilité d'identifier l'auteur : mais il faut le démontrer, au cas par cas.
Pourquoi cela concerne tout le monde
Le recrutement est le terrain typique : beaucoup de candidats, des données conservées pour de futurs postes, des demandes qui arrivent à une adresse générique et se perdent. L'action coordonnée européenne de 2025 a conduit les autorités à regarder précisément ce flux, et les contrôles de cette campagne produisent maintenant des décisions. Le dossier montre aussi que les rappels ne sont pas classés : ils reviennent dans la motivation de la sanction suivante.
Ce qu'il faut vérifier maintenant
- Chaque demande enregistrée avec sa date de réception : le mois court à partir de là, non à partir de sa lecture.
- Une réponse écrite à chaque demande, même lorsque les données ont déjà été effacées ou n'ont jamais été détenues.
- La prolongation de deux mois seulement pour des demandes complexes ou nombreuses, notifiée dans le premier mois avec les motifs.
- Un canal pour les candidats qui parvienne réellement à qui traite les demandes, pas seulement au service recrutement.
- Les suppressions automatiques documentées : quel système, quelle règle, et quand.
Dans la plateforme
Dans la section Demandes des personnes de DPO Workspace, chaque dossier comporte la date de réception, le délai d'un mois avec l'éventuelle prolongation et la date de la réponse envoyée. Il vaut la peine d'ouvrir un dossier même pour les demandes d'effacement déjà satisfaites automatiquement : le dossier ne se clôt que lorsque la personne a reçu sa réponse, et c'est cette date qu'une autorité demande.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
