La CNIL sanctionne EXTIA de 300 000 euros pour plusieurs manquements dans la gestion des demandes d’exercice des droits.
- 300 000 €
- Articles 12 et 17 du RGPD
- Droit à l’effacement
Le 21 juillet 2026, la formation restreinte de la CNIL a prononcé une amende de 300 000 euros à l’encontre de la société EXTIA pour des manquements relatifs à la gestion des demandes d’exercice des droits. La décision, rendue publique le 9 septembre 2026, porte principalement sur le droit à l’effacement et les obligations d’information qui l’accompagnent.
Elle rappelle un principe essentiel : la suppression effective des données ne suffit pas à clôturer une demande d’effacement. Le responsable du traitement doit également informer la personne des suites données à sa demande, dans les délais prévus par le RGPD.
01 — Des difficultés dans la gestion des demandes d’effacement
EXTIA, société de conseil spécialisée dans l’informatique et l’ingénierie, traite un volume important de données dans le cadre de ses activités de recrutement.
En 2024, plusieurs plaintes ont été adressées à la CNIL par des candidats et anciens salariés rencontrant des difficultés dans l’exercice de leurs droits. La société avait déjà fait l’objet de deux rappels à la loi, en avril et juin 2024, concernant la gestion de ces demandes. Un contrôle sur place a ensuite été réalisé en avril 2025.
Sur cette seule année, EXTIA avait reçu 265 demandes d’effacement, émanant presque exclusivement d’anciens candidats.
02 — Les manquements retenus par la CNIL
12 demandes d’effacement non traitées
La rapporteure avait initialement identifié 145 demandes qui n’auraient pas été traitées. EXTIA contestait cette analyse en faisant notamment valoir que les données de 125 candidats non présélectionnés étaient automatiquement supprimées après 60 jours.
Après examen des éléments du dossier, la formation restreinte retient finalement 12 demandes d’effacement effectivement non traitées et caractérise, à ce titre, un manquement aux articles 12 et 17 du RGPD.
166 personnes non informées des suites données à leur demande
La suppression automatique invoquée par EXTIA ne réglait toutefois pas la question de l’information des personnes. La CNIL rappelle que le responsable du traitement doit informer la personne des mesures prises à la suite de sa demande, même lorsque les données ont effectivement été effacées.
En l’espèce, 166 personnes n’avaient pas été informées des suites données à leur demande d’effacement. La formation restreinte retient donc un manquement distinct à l’article 12 du RGPD.
Des réponses adressées plusieurs mois après les demandes
L’article 12 du RGPD impose en principe une réponse dans un délai d’un mois à compter de la réception de la demande.
Or, 26 demandes d’effacement avaient donné lieu à une information tardive, avec des retards pouvant dépasser cinq à six mois. Une demande d’accès avait également fait l’objet d’une réponse avec plus d’un an de retard.
Le respect du délai de réponse constitue une obligation autonome : l’effacement effectif des données ne compense pas une réponse tardive.
03 — Pourquoi une amende de 300 000 euros ?
Pour déterminer la sanction, la CNIL tient notamment compte de la nature des droits concernés, du nombre de personnes affectées et de la persistance des difficultés.
Au total, la formation restreinte relève que 204 demandes d’effacement sur les 265 reçues en 2024 n’avaient pas été correctement traitées, soit parce qu’elles n’avaient pas été traitées, soit parce que les personnes n’avaient pas été informées des suites données ou l’avaient été tardivement.
Elle souligne également qu’EXTIA avait déjà fait l’objet de deux rappels à la loi et disposait pourtant d’une équipe et d’une procédure internes dédiées à la gestion des demandes d’exercice des droits. Dans ce contexte, elle retient une « particulière négligence ».
Les mesures de mise en conformité adoptées en cours de procédure ont néanmoins été prises en compte : la formation restreinte a estimé qu’il n’était plus nécessaire de prononcer l’injonction initialement envisagée. L’amende de 300 000 euros demeure prononcée pour les manquements passés aux articles 12 et 17 du RGPD.
04 — Ce qu’il faut retenir
1. Supprimer les données ne suffit pas
Même lorsque les données ont effectivement été effacées, la personne doit être informée des suites données à sa demande.
2. Le délai d’un mois doit être suivi comme une échéance propre
Une organisation doit pouvoir identifier la date de réception de chaque demande, son échéance et la date de la réponse adressée.
3. Une procédure écrite ne garantit pas, à elle seule, la conformité
Le responsable du traitement doit pouvoir démontrer son fonctionnement effectif : centralisation des demandes, attribution des responsabilités, suivi des délais et traçabilité des réponses.
4. La mise en conformité tardive reste utile, mais n’efface pas les manquements passés
Dans cette affaire, les mesures correctrices ont permis d’écarter l’injonction, sans empêcher le prononcé de l’amende.
La décision EXTIA rappelle ainsi que la gestion des droits des personnes doit être envisagée comme un processus opérationnel à part entière, et non comme la seule réalisation technique de l’action demandée.
Votre procédure de gestion des droits est-elle suffisamment robuste ?
Le cabinet accompagne entreprises et acteurs publics dans l’audit et la structuration de leurs procédures d’exercice des droits, ainsi que dans le traitement de demandes complexes et les relations avec la CNIL.