TL;DR
Met besluit SAN-2026-010 van 21 juli 2026, gepubliceerd op 9 september, heeft de CNIL Extia een boete van 300.000 euro opgelegd. Van 265 wisverzoeken in 2024, vooral van sollicitanten, waren er 204 niet goed afgehandeld: 12 nooit behandeld (art. 12 en 17), 166 mensen nooit over de uitkomst geïnformeerd, 27 na de termijn van een maand. Het bedrijf voerde aan dat veel gegevens al automatisch waren gewist. De CNIL antwoordde dat automatisch wissen niet ontslaat van de informatieplicht. Meegewogen: de geschonden beginselen, het aantal betrokkenen en twee eerdere aanmaningen.
De zaak
Extia werft IT-consultants en ingenieurs die het bij klantbedrijven plaatst: het ontvangt veel sollicitaties, en dus veel wisverzoeken. In 2024 kreeg de CNIL klachten van sollicitanten en oud-medewerkers die hun gegevens niet gewist kregen. De controle in april 2025 maakte ook deel uit van de gecoördineerde actie van het Europees Comité voor gegevensbescherming over het recht op wissing, gestart in 2025: een controle die uit een Europees initiatief voortkomt en met een nationale boete eindigt.
- 265 wisverzoeken in 2024, grotendeels van sollicitanten.
- 12 nooit behandeld: schending van art. 12 en 17. Tijdens de procedure hersteld.
- 166 mensen nooit geïnformeerd over de uitkomst van hun verzoek: schending van art. 12, lid 3.
- 27 mensen na de termijn van een maand geïnformeerd, met vertragingen tot enkele maanden.
- Twee eerdere aanmaningen van de CNIL over dezelfde verplichtingen: een factor die meewoog in de hoogte.
De gegevens zijn weg, het antwoord blijft verschuldigd
Extia verweerde zich met het argument dat veel verzoeken sollicitanten betroffen van wie de gegevens al automatisch waren gewist. De CNIL wees dat af: automatisch wissen ontslaat niet van de plicht de persoon binnen een maand de uitkomst van zijn verzoek mee te delen. Het zijn twee verschillende verplichtingen. Voor een resterend aantal gevallen aanvaardde de CNIL de aangevoerde redenen, bijvoorbeeld dat de afzender niet te identificeren was: maar dat moet per geval worden aangetoond.
Waarom het iedereen aangaat
Werving is het typische terrein: veel sollicitanten, gegevens bewaard voor toekomstige vacatures, verzoeken die op een algemeen adres binnenkomen en verloren gaan. De gecoördineerde Europese actie van 2025 liet de toezichthouders juist naar deze stroom kijken, en de controles uit die campagne leiden nu tot besluiten. De zaak toont ook dat aanmaningen niet worden opgeborgen: ze komen terug in de motivering van de volgende boete.
Wat nu te controleren
- Elk verzoek geregistreerd met de datum van ontvangst: de maand loopt vanaf dan, niet vanaf het moment van lezen.
- Een schriftelijk antwoord op elk verzoek, ook als de gegevens al gewist zijn of nooit aanwezig waren.
- De verlenging met twee maanden alleen bij complexe of talrijke verzoeken, binnen de eerste maand met redenen gemeld.
- Een kanaal voor sollicitanten dat echt aankomt bij wie verzoeken behandelt, niet alleen bij recruitment.
- Automatische verwijderingen gedocumenteerd: welk systeem, welke regel, wanneer.
In het platform
In de sectie Verzoeken van betrokkenen van DPO Workspace heeft elk dossier de datum van ontvangst, de termijn van een maand met eventuele verlenging en de datum van het verzonden antwoord. Het loont om een dossier te openen ook voor wisverzoeken die al automatisch zijn ingewilligd: het dossier sluit pas als de persoon antwoord heeft gekregen, en dat is de datum waar een toezichthouder naar vraagt.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
