Le 21 juillet 2026, la Commission nationale de l’informatique et des libertés (CNIL) a infligé une amende de 300 000 euros à la société EXTIA pour plusieurs manquements au règlement général sur la protection des données (RGPD), principalement en matière de respect du droit à l’effacement des données personnelles (« droit à l’oubli »). EXTIA est une entreprise française spécialisée dans les métiers de l’informatique et de l’ingénierie, qui recrute des consultants et les affecte à des projets techniques pour des entreprises clientes.
En 2024, la CNIL a reçu plusieurs plaintes d’anciens salariés ou de candidats d’EXTIA concernant des difficultés à exercer leur droit à l’effacement, prévu à l’article 17 du RGPD. Dans le cadre du traitement de ces plaintes, et de l’action coordonnée européenne « droit à l’effacement » (CEF) lancée en 2025 par le Comité européen de la protection des données, la CNIL a réalisé un contrôle d’EXTIA en avril 2025. Ce contrôle a mis en évidence des manquements aux obligations de transparence et de respect des droits des personnes.
Sur 265 demandes d’effacement reçues par l’entreprise en 2024, émanant majoritairement de candidats et, ponctuellement, d’anciens salariés, plus des trois quarts n’avaient pas été traitées ou l’avaient été de manière insatisfaisante. La formation restreinte de la CNIL, organe chargé de prononcer les sanctions, a relevé en particulier que 12 demandes d’effacement n’avaient pas été traitées, portant atteinte au droit des personnes de conserver la maîtrise de leurs données. Elle a toutefois constaté qu’EXTIA avait pris des mesures en cours de procédure pour supprimer les données concernées et informer les personnes de la suite donnée à leur demande.
La CNIL a également retenu un manquement à l’obligation d’information des personnes sur le traitement de leur demande d’effacement, au titre de l’article 12 du RGPD. En 2024, 166 personnes n’avaient pas été informées des suites apportées à leur demande, et 27 autres ne l’avaient été qu’au-delà du délai légal.
Le montant de la sanction tient compte de la gravité des manquements, du nombre de personnes concernées et du fait qu’EXTIA avait déjà été rappelée à ses obligations à deux reprises. Cette décision illustre l’attention portée par les autorités de protection des données, en France et au niveau européen, au respect effectif des droits des personnes dans le cadre des relations de travail, du recrutement et de la gestion des candidatures. (contenu résumé par l’IA)Lire la Suite