TL;DR
Med vedtak SAN-2026-010 av 21. juli 2026, publisert 9. september, ila CNIL Extia en bot på 300 000 euro. Av 265 slettekrav mottatt i 2024, for det meste fra søkere, var 204 ikke riktig behandlet: 12 aldri behandlet (art. 12 og 17), 166 personer aldri informert om utfallet, 27 informert etter fristen på én måned. Selskapet hevdet at mange opplysninger allerede var slettet automatisk. CNIL svarte at automatisk sletting ikke fritar fra å informere. Det ble lagt vekt på prinsippene som var brutt, antallet personer og to tidligere påminnelser.
Saken
Extia rekrutterer IT-konsulenter og ingeniører som plasseres hos kundebedrifter: selskapet får mange søknader, og dermed mange slettekrav. I 2024 fikk CNIL klager fra søkere og tidligere ansatte som ikke fikk slettet opplysningene sine. Tilsynet i april 2025 var også del av Personvernrådets koordinerte aksjon om retten til sletting, startet i 2025: et tilsyn som springer ut av et europeisk initiativ og ender med en nasjonal bot.
- 265 slettekrav mottatt i 2024, for det meste fra søkere.
- 12 aldri behandlet: brudd på art. 12 og 17. Rettet under saksbehandlingen.
- 166 personer aldri informert om utfallet av kravet: brudd på art. 12 nr. 3.
- 27 personer informert etter fristen på én måned, med forsinkelser på opptil flere måneder.
- To tidligere påminnelser fra CNIL om de samme pliktene: en faktor som påvirket beløpet.
Opplysningene er borte, svaret skyldes fortsatt
Extia forsvarte seg med at mange krav gjaldt søkere hvis opplysninger allerede var slettet automatisk. CNIL avviste argumentet: automatisk sletting fritar ikke fra å gi personen beskjed om utfallet av kravet innen én måned. Det er to forskjellige plikter. For et lite antall saker godtok CNIL begrunnelsen som ble gitt, for eksempel at avsenderen ikke kunne identifiseres: men det må dokumenteres, sak for sak.
Hvorfor det angår alle
Rekruttering er det typiske området: mange søkere, opplysninger som lagres for fremtidige stillinger, krav som kommer til en generell adresse og blir borte. Den koordinerte europeiske aksjonen i 2025 fikk tilsynsmyndighetene til å se nettopp på denne flyten, og tilsynene fra den kampanjen gir nå vedtak. Saken viser også at påminnelser ikke legges i en skuff: de dukker opp igjen i begrunnelsen for neste bot.
Hva du bør sjekke nå
- Hvert krav registrert med mottaksdato: måneden løper derfra, ikke fra når noen leser det.
- Et skriftlig svar på hvert krav, også når opplysningene allerede er slettet eller aldri har vært lagret.
- Forlengelse med to måneder bare for kompliserte eller mange krav, meddelt innen første måned med begrunnelse.
- En kanal for søkere som faktisk når den som behandler kravene, ikke bare rekrutteringen.
- Automatisk sletting dokumentert: hvilket system, hvilken regel, og når.
I plattformen
I delen Henvendelser fra registrerte i DPO Workspace har hver sak mottaksdato, fristen på én måned med eventuell forlengelse og datoen for svaret som ble sendt. Det lønner seg å opprette en sak også for slettekrav som allerede er oppfylt automatisk: saken lukkes først når personen har fått svar, og det er den datoen en tilsynsmyndighet spør etter.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
