Droit à l'effacement : la CNIL sanctionne EXTIA de 300 000 euros

Introduction

Le droit à l’effacement figure parmi les droits les plus exercés au titre du RGPD, en particulier par les candidats à un emploi et les anciens salariés. La CNIL l’a placé au cœur d’une action coordonnée européenne en 2025. Sa formation restreinte a prononcé, le 21 juillet 2026, une amende de 300 000 euros contre la société EXTIA, publiée le 9 septembre 2026.

Les faits

EXTIA est une société spécialisée dans les métiers de l’informatique et de l’ingénierie, qui recrute des consultants affectés à des projets techniques chez ses clients. La CNIL a été saisie en 2024 de plaintes d’anciens salariés et de candidats relatives au droit à l’effacement. Un contrôle a été réalisé en avril 2025, dans le cadre de l’action coordonnée lancée par le Comité européen de la protection des données.

Sur 265 demandes d’effacement reçues en 2024, émanant majoritairement de candidats, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante.

Les manquements retenus

Le premier manquement concerne le traitement des demandes, au regard des articles 12 et 17 du RGPD. Douze demandes d’effacement n’avaient pas été traitées, ce qui a privé les personnes de la maîtrise de leurs données.

Le second concerne l’information sur les suites données aux demandes, au regard de l’article 12. 166 personnes n’avaient pas été informées des suites de leur demande, et 27 l’avaient été au-delà du délai légal d’un mois, avec des retards pouvant atteindre plusieurs mois. La société faisait valoir que les données de nombreux candidats avaient été supprimées automatiquement. La formation restreinte a répondu que cette suppression ne la dispensait pas d’informer ces personnes.

Le montant de la sanction

Pour fixer l’amende, la CNIL a tenu compte de la « méconnaissance de principes essentiels en matière de droits des personnes », du nombre de personnes concernées, et du fait que la société avait déjà été rappelée à ses obligations à deux reprises. Les régularisations intervenues en cours de procédure, suppression des données et information des personnes, n’ont pas fait obstacle à la sanction.

En pratique

Toute entreprise qui recrute doit disposer d’une procédure écrite de traitement des demandes d’effacement : réception, vérification de l’identité, suppression, puis réponse à la personne dans le délai d’un mois.

La réponse est une obligation distincte de la suppression. Même lorsque les données ont déjà été effacées par une règle de conservation automatique, la personne doit être informée. Un registre des demandes permet de prouver le respect des délais en cas de contrôle.

En résumé

• La CNIL a infligé 300 000 euros d’amende à EXTIA (délibération du 21 juillet 2026, publiée le 9 septembre 2026).
• Manquements : demandes d’effacement non traitées et personnes non informées des suites dans le délai d’un mois (articles 12 et 17 du RGPD).
• La suppression automatique des données ne dispense pas de répondre.
• La régularisation en cours de procédure n’a pas évité la sanction.