EXTIA sanctionnée à hauteur de 300 000 euros pour non-respect du droit à l’effacement des données personnelles

La Commission nationale de l’informatique et des libertés (ci-après « la Cnil ») a infligé une amende de 300 000 euros à l’entreprise EXTIA pour plusieurs manquements au Règlement général sur la protection des données (ci-après le « RGPD »). Ces manquements sont notamment liés au traitement de demandes d’effacement de données personnelles formulées principalement par d’anciens candidats ainsi qu’au défaut d’information des personnes sur les suites apportées à leurs demandes.

I / Plusieurs demandes d’effacement insuffisamment traitées

EXTIA est une société spécialisée dans le conseil dans les domaines de l’informatique et de l’ingénierie. Dans le cadre de ses recrutements, elle collecte notamment les curriculum vitae et différentes données personnelles de candidats.

En 2024, la société a reçu 265 demandes d’effacement, émanant presque exclusivement d’anciens candidats. Parmi ces demandes, 12 n’ont pas été traitées. Par ailleurs, 166 personnes n’ont pas été informées des suites apportées à leur demande et 26 autres ont reçu une réponse après l’expiration du délai d’un mois prévu par le RGPD.

EXTIA faisait notamment valoir que les données de certains candidats non présélectionnés étaient automatiquement supprimées à l’issue d’un délai de 60 jours suivant leur réception. Toutefois, la Cnil a rappelé que la suppression effective des données ne dispensait pas l’entreprise d’informer les personnes concernées des suites données à leur demande.

Une demande d’accès aux données reçue en 2024 a également donné lieu à une réponse avec plus d’un an de retard.

Ces défaillances dans le traitement des demandes et dans l’information des personnes concernées caractérisent des manquements aux articles 12 et 17 du RGPD.

II / Une sanction intervenant après plusieurs rappels à la loi

En 2024, la Cnil a reçu plusieurs plaintes faisant état de difficultés rencontrées dans l’exercice des droits d’accès et d’effacement auprès d’EXTIA. Deux rappels à la loi ont été adressés à la société les 19 avril et 20 juin 2024 afin de lui rappeler ses obligations en matière de traitement des demandes d’exercice de droits.

En l’absence de réponse satisfaisante, la Cnil a été saisie de nouvelles plaintes. Un contrôle sur place a alors été réalisé le 10 avril 2025 au siège d’EXTIA, également dans le cadre de l’action coordonnée européenne (« Coordinated Enforcement Framework » ou « CEF ») consacrée au droit à l’effacement, lancée à l’initiative du Comité européen de la protection des données (ci-après « le CEPD »).

Ce contrôle a mis en évidence plusieurs manquements aux obligations prévues par le RGPD en matière de respect des droits des personnes.

L’article 12 du RGPD impose notamment au responsable du traitement de faciliter l’exercice des droits des personnes concernées et de les informer des mesures prises à la suite de leur demande dans les meilleurs délais et, en principe, dans un délai d’un mois à compter de sa réception. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie, à condition d’en informer la personne concernée dans le délai initial d’un mois.

Or, certaines personnes ont reçu une réponse à leur demande d’effacement avec plus de cinq à six mois de retard. Une demande d’accès a, quant à elle, reçu une réponse avec plus d’un an de retard. La Cnil a constaté qu’EXTIA n’avait pas informé les personnes concernées de difficultés susceptibles de justifier une prolongation du délai.

L’article 17 du RGPD consacre, pour sa part, le droit à l’effacement des données personnelles. Une personne peut notamment obtenir l’effacement de ses données lorsqu’elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, lorsqu’elle retire son consentement et qu’il n’existe pas d’autre fondement juridique au traitement, lorsqu’elle s’oppose au traitement dans les conditions prévues par le RGPD, lorsque les données ont fait l’objet d’un traitement illicite ou encore lorsque leur effacement est nécessaire au respect d’une obligation légale.

La Cnil a ainsi retenu que 12 demandes d’effacement formulées en 2024 n’avaient pas été traitées par EXTIA.

III / Les enseignements de cette sanction

Cette décision rappelle tout d’abord que le délai prévu par l’article 12 du RGPD constitue une obligation autonome. Le fait que des données soient supprimées automatiquement ne dispense donc pas le responsable du traitement de répondre à la personne ayant exercé son droit et de l’informer des suites apportées à sa demande.

EXTIA faisait notamment valoir que les données de nombreux candidats non présélectionnés étaient automatiquement supprimées au terme d’un délai de 60 jours. La Cnil a toutefois relevé que cette durée de conservation n’avait pas été formalisée dans un document interne relatif à la gouvernance des données personnelles et que les candidats avaient, au contraire, été informés par erreur d’une durée de conservation de deux ans.

Au total, la formation restreinte a relevé que 204 demandes d’effacement reçues en 2024 n’avaient pas été correctement traitées : 12 n’avaient pas été traitées, 166 personnes n’avaient pas été informées des suites apportées à leur demande et 27 l’avaient été hors délai.

La Cnil a finalement prononcé à l’encontre d’EXTIA une amende administrative de 300 000 euros pour les manquements aux articles 12 et 17 du RGPD et a décidé de rendre publique sa délibération sur les sites de la Cnil et de Légifrance. La décision ne permettra toutefois plus d’identifier nommément la société à l’issue d’un délai de deux ans suivant sa publication. 

Cette décision met ainsi en lumière l’importance, pour les entreprises, de formaliser leurs procédures de gestion des demandes d’exercice de droits, de documenter les durées de conservation effectivement appliquées et de ne pas se reposer uniquement sur des mécanismes automatisés de suppression des données.

Elle rappelle surtout que l’effacement des données et l’information de la personne concernée constituent deux exigences distinctes : supprimer effectivement les données ne dispense pas de répondre à la personne qui en a demandé l’effacement.

LOCK-T,

avec la participation de Assia Ozmanyan, stagiaire