TL;DR
Com a deliberação SAN-2026-010, de 21 de julho de 2026, publicada a 9 de setembro, a CNIL aplicou à Extia uma coima de 300 000 euros. De 265 pedidos de apagamento recebidos em 2024, sobretudo de candidatos, 204 não tinham sido tratados corretamente: 12 nunca tratados (arts. 12.º e 17.º), 166 pessoas nunca informadas do resultado, 27 informadas depois do prazo de um mês. A empresa alegou que muitos dados já tinham sido apagados automaticamente. A CNIL respondeu que o apagamento automático não dispensa de informar. Pesaram os princípios violados, o número de pessoas e duas advertências anteriores.
O caso
A Extia recruta consultores informáticos e engenheiros que coloca em empresas clientes: recebe muitas candidaturas e, portanto, muitos pedidos de apagamento. Em 2024 a CNIL recebeu queixas de candidatos e ex-trabalhadores que não conseguiam ver os seus dados apagados. A inspeção de abril de 2025 realizou-se também no âmbito da ação coordenada do Comité Europeu para a Proteção de Dados sobre o direito ao apagamento, lançada em 2025: um controlo nascido de uma iniciativa europeia que termina numa coima nacional.
- 265 pedidos de apagamento recebidos em 2024, na maioria de candidatos.
- 12 nunca tratados: violação dos arts. 12.º e 17.º. Corrigida durante o procedimento.
- 166 pessoas nunca informadas do resultado do seu pedido: violação do art. 12.º, n.º 3.
- 27 pessoas informadas depois do prazo de um mês, com atrasos de vários meses.
- Duas advertências anteriores da CNIL sobre as mesmas obrigações: um fator que pesou no montante.
O dado já não existe, a resposta continua devida
A defesa da Extia foi que muitos pedidos diziam respeito a candidatos cujos dados já tinham sido apagados automaticamente. A CNIL rejeitou o argumento: o apagamento automático não dispensa de comunicar à pessoa o resultado do seu pedido no prazo de um mês. São duas obrigações diferentes. Para um número residual de casos a CNIL aceitou as razões apresentadas, por exemplo a impossibilidade de identificar quem escreveu: mas isso tem de ser demonstrado, caso a caso.
Porque diz respeito a todos
O recrutamento é o terreno típico: muitos candidatos, dados conservados para futuras vagas, pedidos que chegam a um endereço genérico e se perdem. A ação coordenada europeia de 2025 levou as autoridades a olhar precisamente para este fluxo, e as inspeções dessa campanha estão agora a produzir decisões. O caso mostra também que as advertências não ficam arquivadas: voltam na fundamentação da coima seguinte.
O que verificar agora
- Cada pedido registado com a data de receção: o mês conta a partir daí, não de quando alguém o lê.
- Uma resposta escrita a cada pedido, mesmo quando os dados já foram apagados ou nunca existiram.
- A prorrogação de dois meses só para pedidos complexos ou numerosos, comunicada ao titular no primeiro mês com os motivos.
- Um canal para candidatos que chegue de facto a quem trata os pedidos, não só ao recrutamento.
- Os apagamentos automáticos documentados: que sistema, com que regra e quando.
Na plataforma
Na secção Pedidos dos titulares do DPO Workspace cada processo tem a data de receção, o prazo de um mês com a eventual prorrogação e a data da resposta enviada. Vale a pena abri-lo também para pedidos de apagamento já satisfeitos automaticamente: o processo só fecha quando a pessoa recebeu resposta, e é essa a data que uma autoridade pede.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
