TL;DR
Genom beslut SAN-2026-010 av den 21 juli 2026, publicerat den 9 september, påförde CNIL Extia en sanktionsavgift på 300 000 euro. Av 265 raderingsbegäranden under 2024, mest från arbetssökande, hade 204 inte hanterats korrekt: 12 aldrig hanterade (art. 12 och 17), 166 personer aldrig informerade om utfallet, 27 informerade efter månadsfristen. Bolaget hävdade att mycket redan hade raderats automatiskt. CNIL svarade att automatisk radering inte befriar från att informera. Vikt lades vid de principer som åsidosatts, antalet personer och två tidigare påminnelser.
Fallet
Extia rekryterar IT-konsulter och ingenjörer som placeras hos kundföretag: bolaget får många ansökningar och därför många raderingsbegäranden. Under 2024 fick CNIL klagomål från sökande och tidigare anställda som inte fick sina uppgifter raderade. Tillsynen i april 2025 ingick också i Europeiska dataskyddsstyrelsens samordnade åtgärd om rätten till radering som inleddes 2025: en tillsyn som föddes ur ett europeiskt initiativ och slutar med en nationell sanktion.
- 265 raderingsbegäranden under 2024, mest från arbetssökande.
- 12 aldrig hanterade: överträdelse av art. 12 och 17. Åtgärdat under förfarandet.
- 166 personer aldrig informerade om utfallet av sin begäran: överträdelse av art. 12.3.
- 27 personer informerade efter månadsfristen, med förseningar på upp till flera månader.
- Två tidigare påminnelser från CNIL om samma skyldigheter: en faktor som påverkade beloppet.
Uppgifterna är borta, svaret är fortfarande skyldigt
Extias försvar var att många begäranden gällde sökande vars uppgifter redan hade raderats automatiskt. CNIL avvisade argumentet: automatisk radering befriar inte från att meddela personen utfallet av sin begäran inom en månad. Det är två olika skyldigheter. För ett litet antal fall godtog CNIL de skäl som angavs, till exempel att avsändaren inte gick att identifiera: men det måste visas, fall för fall.
Varför det angår alla
Rekrytering är det typiska området: många sökande, uppgifter som sparas för framtida tjänster, begäranden som kommer till en allmän adress och försvinner. Den samordnade europeiska åtgärden 2025 fick myndigheterna att granska just detta flöde, och tillsynerna från den kampanjen leder nu till beslut. Fallet visar också att påminnelser inte arkiveras: de återkommer i motiveringen till nästa sanktion.
Vad du bör kontrollera nu
- Varje begäran registrerad med mottagningsdatum: månaden räknas därifrån, inte från när någon läser den.
- Ett skriftligt svar på varje begäran, även när uppgifterna redan raderats eller aldrig funnits.
- Förlängning med två månader bara för komplicerade eller många begäranden, meddelad inom den första månaden med skäl.
- En kanal för sökande som verkligen når den som hanterar begäranden, inte bara rekryteringen.
- Automatiska raderingar dokumenterade: vilket system, vilken regel och när.
I plattformen
I avsnittet Begäranden från registrerade i DPO Workspace har varje ärende mottagningsdatum, månadsfristen med eventuell förlängning och datum för skickat svar. Det lönar sig att öppna ett ärende även för raderingsbegäranden som redan uppfyllts automatiskt: ärendet stängs först när personen fått svar, och det är det datumet en myndighet frågar efter.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
