La CNIL a sanctionné fin juillet la société de conseil en ingénierie informatique EXTIA à hauteur de 300 000 euros. En cause : un traitement défaillant des demandes d’effacement de données, majoritairement formulées par d’anciens candidats à l’embauche, et un défaut d’information récurrent envers les personnes concernées.
Trois quarts des demandes d’effacement mal traitées
Tout part de plaintes déposées en 2024 par d’anciens salariés et candidats d’EXTIA, société spécialisée dans le recrutement de consultants informatiques et ingénierie détachés chez ses clients. Ces plaintes portaient sur l’exercice difficile du droit à l’effacement, prévu à l’article 17 du RGPD. La CNIL a ouvert une instruction, en lien avec l’action coordonnée européenne sur le droit à l’effacement lancée en 2025 par le Comité européen de la protection des données, et mené un contrôle d’EXTIA en avril 2025.
Sur les 265 demandes d’effacement reçues par la société en 2024, plus des trois quarts n’ont pas été traitées, ou l’ont été de façon insatisfaisante. La CNIL a identifié 12 demandes d’effacement purement et simplement laissées sans suite, considérant que ce manquement avait porté atteinte au droit des personnes concernées de garder la maîtrise de leurs données. Elle a toutefois relevé qu’EXTIA avait, en cours de procédure, supprimé les données litigieuses et informé les personnes des suites données à leur demande.
Un défaut d’information touchant près de 200 personnes
Second manquement retenu : le non-respect de l’obligation d’informer les personnes des suites réservées à leur demande d’effacement. 166 personnes ayant sollicité l’effacement de leurs données en 2024 n’ont jamais reçu de réponse. 27 autres ont été informées hors délai, avec des retards allant jusqu’à plusieurs mois, alors que la loi impose un délai d’un mois.
Une société rappelée à l’ordre à deux reprises
Le montant de l’amende de 300 000 euros tient compte de plusieurs facteurs : la méconnaissance de principes essentiels du RGPD en matière de droits des personnes, le nombre de personnes concernées par les manquements, mais aussi le fait qu’EXTIA avait déjà été rappelée à ses obligations à deux reprises par le passé. L’amende ne sanctionne donc pas uniquement un incident isolé, mais aussi la persistance de pratiques déjà signalées.
