Droit à l’effacement : la CNIL inflige 300 000 euros à EXTIA

15/9/26

Le 21 juillet 2026, la formation restreinte de la CNIL a infligé une amende de 300 000 euros à EXTIA pour des manquements aux articles 12 et 17 du RGPD. Sur les 265 demandes d’effacement reçues par l’entreprise en 2024, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante. La CNIL a publié son communiqué le 9 septembre 2026, l’EDPB l’a relayé le 11.

Ce que la CNIL reproche à EXTIA

EXTIA, spécialisée dans les métiers de l’informatique et de l’ingénierie, recrute des consultants qu’elle affecte à des projets techniques chez ses entreprises clientes. En 2024, la CNIL a reçu plusieurs plaintes d’anciens salariés ou de candidats sur les difficultés rencontrées à faire valoir leur droit à l’effacement. Pour instruire ces plaintes, et dans le cadre de l’action coordonnée (CEF) « droit à l’effacement » lancée en 2025 à l’initiative du Comité européen de la protection des données, un contrôle a été mené en avril 2025.

Deux manquements ont été retenus. Le premier porte sur le traitement des demandes elles-mêmes : 12 demandes d’effacement reçues en 2024 n’avaient pas été traitées, ce que la formation restreinte a analysé comme une atteinte aux droits de ces personnes, « y compris à celui de conserver la maîtrise de leurs données ». Le second est plus massif : 166 personnes ayant demandé l’effacement de leurs données en 2024 n’avaient pas été informées des suites données à leur demande, et 27 autres l’avaient été hors du délai légal d’un mois, avec des retards pouvant atteindre plusieurs mois.

La société a contesté la gravité de ce second grief : un grand nombre de ces demandes émanaient de candidats dont les données étaient de toute façon supprimées automatiquement. La formation restreinte a écarté l’argument, cette suppression automatique ne dispensant pas la société d’informer les candidats des suites données à leur demande. Elle a en revanche admis des raisons valables pour un nombre résiduel de cas, par exemple l’impossibilité d’identifier la personne concernée.

Pourquoi le montant atteint 300 000 euros

La CNIL énonce elle-même les trois facteurs qui fondent le quantum : la méconnaissance de principes essentiels en matière de droits des personnes, le nombre de personnes concernées, et le fait que la société avait déjà été rappelée à ses obligations à deux reprises. À l’inverse, deux éléments ont joué en faveur de l’entreprise, tous deux intervenus en cours de procédure : elle a supprimé les données en cause, et informé les personnes des suites apportées à leur demande.

Juridiquement, rien d’inédit. L’article 17 du RGPD ouvre le droit à l’effacement ; l’article 12 impose le délai d’un mois et, surtout, l’obligation d’informer la personne des suites données à sa demande. C’est cette seconde obligation, la moins spectaculaire, qui concentre ici l’essentiel des personnes lésées : 12 demandes non traitées d’un côté, 166 personnes non informées et 27 informées trop tard de l’autre. La CNIL avait déjà retenu le non-respect des droits parmi les motifs de ses 23 sanctions prononcées en procédure simplifiée depuis janvier 2026. La délibération n° SAN-2026-010 est publiée sur les sites de la CNIL et de Légifrance, et ne nommera plus la société au bout de deux ans.

Ce que ça change pour les organisations

Savoir produire le décompte. Le contrôle a établi quatre chiffres : 265 demandes reçues, 12 non traitées, 166 personnes non informées, 27 informées en retard. Un DPO qui ne sait pas les sortir pour l’année écoulée ne démontre sa conformité ni devant la CNIL, ni devant un client qui l’audite.
Distinguer « traiter » et « répondre ». Supprimer la donnée ne clôt pas la demande : tant que la personne n’a pas été informée des suites, dans le délai d’un mois et y compris en cas de refus, l’article 12 n’est pas satisfait. Vingt-sept personnes ont bien été informées ici, mais trop tard, et le manquement est constitué malgré la réponse. Notre guide sur la manière de faciliter l’exercice des droits détaille le circuit à outiller.
Traiter les candidats comme des personnes concernées à part entière. Les demandes visées émanaient majoritairement de candidats, pas de clients. Viviers de recrutement et ATS sont des traitements comme les autres : voir nos 11 pratiques à adopter en recrutement.
Ne pas compter sur la purge automatique. Une politique de conservation qui supprime les candidatures au terme d’un délai ne répond à personne : l’argument a été explicitement écarté.
Traiter un rappel à ses obligations comme un compte à rebours. Deux rappels figurent ici parmi les facteurs du quantum.

Ce que Leto en pense

Ce dossier ne sanctionne ni une durée de conservation exotique ni un transfert hors UE mal ficelé. Il sanctionne un circuit de traitement des demandes qui n’était pas outillé : des demandes reçues au fil de l’eau, sans accusé systématique ni trace de la réponse. C’est la panne la plus banale que nous voyons chez les DPO d’ETI, et elle ne se voit dans aucun audit tant que personne ne se plaint. La leçon tient en une phrase : un registre des demandes d’exercice de droits, horodaté et exhaustif, vaut mieux qu’une procédure écrite que personne ne mesure. Pour voir comment Leto industrialise ce suivi, une démo suffit.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité.
100% gratuite.

Je télécharge

Discutons ensemble — et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo