TL;DR
Decyzją SAN-2026-010 z 21 lipca 2026 r., opublikowaną 9 września, CNIL nałożyła na Extia karę 300 000 euro. Z 265 żądań usunięcia otrzymanych w 2024 r., głównie od kandydatów, 204 nie zostały prawidłowo obsłużone: 12 nigdy nie rozpatrzono (art. 12 i 17), 166 osób nigdy nie poinformowano o wyniku, 27 poinformowano po terminie miesiąca. Spółka twierdziła, że wiele danych zostało już usuniętych automatycznie. CNIL odpowiedziała, że automatyczne usunięcie nie zwalnia z obowiązku informacji. Na wysokość kary wpłynęły naruszone zasady, liczba osób i dwa wcześniejsze upomnienia.
Sprawa
Extia rekrutuje konsultantów IT i inżynierów, których kieruje do firm klientów: otrzymuje wiele aplikacji, a więc i wiele żądań usunięcia. W 2024 r. do CNIL trafiły skargi kandydatów i byłych pracowników, którzy nie mogli doprowadzić do usunięcia swoich danych. Kontrola w kwietniu 2025 r. była też częścią skoordynowanej akcji Europejskiej Rady Ochrony Danych w sprawie prawa do usunięcia, rozpoczętej w 2025 r.: kontrola zrodzona z inicjatywy europejskiej kończy się krajową karą.
- 265 żądań usunięcia otrzymanych w 2024 r., głównie od kandydatów.
- 12 nigdy nierozpatrzonych: naruszenie art. 12 i 17. Naprawione w toku postępowania.
- 166 osób nigdy niepoinformowanych o wyniku żądania: naruszenie art. 12 ust. 3.
- 27 osób poinformowanych po upływie miesiąca, z opóźnieniami sięgającymi kilku miesięcy.
- Dwa wcześniejsze upomnienia CNIL dotyczące tych samych obowiązków: czynnik, który wpłynął na kwotę.
Danych już nie ma, odpowiedź nadal się należy
Obrona Extia polegała na tym, że wiele żądań dotyczyło kandydatów, których dane zostały już usunięte automatycznie. CNIL odrzuciła ten argument: automatyczne usunięcie nie zwalnia z obowiązku poinformowania osoby o wyniku jej żądania w ciągu miesiąca. To dwa różne obowiązki. W resztkowej liczbie przypadków CNIL przyjęła podane powody, na przykład niemożność zidentyfikowania autora wiadomości: ale trzeba to wykazać w każdym przypadku osobno.
Dlaczego dotyczy to wszystkich
Rekrutacja to typowy obszar: wielu kandydatów, dane przechowywane na przyszłe rekrutacje, żądania trafiające na ogólny adres i ginące. Europejska skoordynowana akcja z 2025 r. skłoniła organy do przyjrzenia się właśnie temu przepływowi, a kontrole z tej kampanii przynoszą teraz decyzje. Sprawa pokazuje też, że upomnienia nie trafiają do archiwum: wracają w uzasadnieniu kolejnej kary.
Co sprawdzić teraz
- Każde żądanie zarejestrowane z datą wpływu: miesiąc biegnie od niej, a nie od chwili przeczytania.
- Pisemna odpowiedź na każde żądanie, także gdy dane zostały już usunięte lub nigdy ich nie było.
- Przedłużenie o dwa miesiące tylko przy żądaniach złożonych lub licznych, przekazane osobie w pierwszym miesiącu z uzasadnieniem.
- Kanał dla kandydatów, który naprawdę dociera do osoby obsługującej żądania, a nie tylko do działu rekrutacji.
- Udokumentowane usuwanie automatyczne: jaki system, jaka reguła i kiedy.
W platformie
W sekcji Żądania osób, których dane dotyczą, w DPO Workspace każda sprawa ma datę wpływu, termin miesiąca z ewentualnym przedłużeniem i datę wysłanej odpowiedzi. Warto ją założyć także dla żądań usunięcia już spełnionych automatycznie: sprawa zamyka się dopiero po odpowiedzi udzielonej osobie, a to właśnie tej daty żąda organ.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
