TL;DR
Con la deliberazione SAN-2026-010 del 21 luglio 2026, pubblicata il 9 settembre, la CNIL ha sanzionato Extia per 300.000 euro. Su 265 richieste di cancellazione ricevute nel 2024, soprattutto da candidati, 204 non erano state gestite correttamente: 12 mai trattate (artt. 12 e 17), 166 persone mai informate dell'esito, 27 informate oltre il mese. La società sosteneva che molti dati si erano già cancellati in automatico. La CNIL ha risposto che la cancellazione automatica non dispensa dall'informare. Hanno pesato i principi violati, il numero di persone e due richiami precedenti.
Il caso
Extia recluta consulenti informatici e ingegneri che colloca presso le aziende clienti: riceve molte candidature, e quindi molte richieste di cancellazione. Nel 2024 alla CNIL sono arrivati reclami di candidati ed ex dipendenti che non riuscivano a far cancellare i propri dati. Il controllo, ad aprile 2025, è stato svolto anche nell'ambito dell'azione coordinata del Comitato europeo sul diritto alla cancellazione avviata nel 2025: un controllo nato da un'iniziativa europea che si chiude con una sanzione nazionale.
- 265 richieste di cancellazione ricevute nel 2024, in gran parte da candidati.
- 12 mai trattate: violazione degli artt. 12 e 17. Corrette durante il procedimento.
- 166 persone mai informate dell'esito della loro richiesta: violazione dell'art. 12, par. 3.
- 27 persone informate oltre il termine di un mese, con ritardi fino a diversi mesi.
- Due richiami precedenti della CNIL agli stessi obblighi: un fattore che ha pesato sull'importo.
Il dato non c'è più, la risposta è ancora dovuta
La difesa di Extia era che molte richieste riguardavano candidati i cui dati erano già stati cancellati in automatico. La CNIL ha respinto l'argomento: la cancellazione automatica non dispensa dal comunicare alla persona l'esito della sua richiesta entro un mese. Sono due obblighi diversi. Per un numero residuo di casi la CNIL ha accettato le ragioni addotte, per esempio l'impossibilità di identificare chi aveva scritto: ma va dimostrata, caso per caso.
Perché riguarda tutti
La selezione del personale è il terreno tipico: tanti candidati, dati conservati per riaprire posizioni future, richieste che arrivano a un indirizzo generico e si perdono. L'azione coordinata europea del 2025 ha portato le autorità a guardare proprio questo flusso, e i controlli di quella campagna stanno ora producendo decisioni. Il caso mostra anche che i richiami non sono archiviati: tornano nella motivazione della sanzione successiva.
Che cosa controllare adesso
- Ogni richiesta registrata con la data di ricezione: il mese decorre da lì, non da quando la si legge.
- Una risposta scritta a ogni richiesta, anche quando i dati sono già stati cancellati o non ci sono mai stati.
- La proroga di due mesi solo per richieste complesse o numerose, comunicata all'interessato entro il primo mese con i motivi.
- Un canale per i candidati che arrivi davvero a chi gestisce le richieste, non solo all'ufficio selezione.
- Le cancellazioni automatiche documentate: quale sistema, con quale regola, e quando.
Nella piattaforma
Nella sezione Richieste degli interessati di DPO Workspace ogni pratica ha la data di ricezione, la scadenza del mese con l'eventuale proroga e la data della risposta inviata. Conviene aprirla anche per le richieste di cancellazione già soddisfatte da sole: la pratica si chiude solo quando c'è la risposta alla persona, ed è quella data che un'autorità chiede.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
