Non-respect des droits des personnes : sanction de 300 000 euros à l’encontre de la société EXTIA
09 septembre 2026
Le 21 juillet 2026, la CNIL a sanctionné la société EXTIA d’une amende de 300 000 euros pour divers manquements relatifs au respect des droits des personnes, notamment du droit à l’effacement des données personnelles (« droit à l’oubli »).
Le contexte
La société EXTIA, spécialisée dans les métiers de l’informatique et de l’ingénierie, recrute des consultants qu’elle affecte à divers projets techniques auprès de ses entreprises clientes.
En 2024, la CNIL a reçu plusieurs plaintes d’anciens salariés ou candidats, relatives aux difficultés rencontrées dans l’exercice de leur droit à l’effacement ou « droit à l’oubli » (article 17 du règlement général sur la protection des données). En vue d’instruire ces plaintes, et dans le cadre également de l’action coordonnée (CEF) « droit à l’effacement » lancée à l’initiative du Comité européen de la protection des données en 2025, un contrôle de la société EXTIA a été réalisé en avril 2025. Il a mis en évidence des manquements à plusieurs obligations prévues par le RGPD en matière de transparence et de respect des droits des personnes.
En effet, sur les 265 demandes d’effacement reçues par la société en 2024, qui émanaient majoritairement de candidats et, ponctuellement, d’anciens salariés, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante.
En conséquence, la – organe de la CNIL chargé de prononcer les sanctions – a sanctionné la société EXTIA d’une amende de 300 000 euros, tenant compte de la méconnaissance de principes essentiels en matière de droits des personnes, du nombre de personnes concernées et du fait que la société avait déjà été rappelée à ses obligations à deux reprises.
Les manquements sanctionnés
Un manquement relatif au traitement des demandes d’effacement (articles 12 et 17 du RGPD)
La formation restreinte a relevé que 12 demandes d’effacement reçues par la société en 2024 n’avaient pas été traitées. Elle a estimé que ce manquement avait porté atteinte aux droits de ces personnes, y compris à celui de conserver la maîtrise de leurs données.
La formation restreinte a en revanche noté que la société avait pris des mesures en cours de procédure pour remédier au manquement, en supprimant les données en cause et en informant les personnes des suites apportées à leur demande.
Un manquement à l’obligation d’informer les personnes des suites apportées à leur demande d’effacement (article 12 du RGPD)
La formation restreinte a considéré que la société avait manqué à son obligation d’informer les personnes ayant demandé l’’effacement de leurs données.
Elle a relevé que 166 personnes ayant fait une demande d’effacement en 2024 n’avaient pas été informées des suites apportées à celle-ci. 27 autres personnes avaient reçu tardivement cette information (hors du délai légal d’un mois), avec des retards pouvant atteindre plusieurs mois.
Si la société a contesté la gravité du manquement, en affirmant qu’un grand nombre de ces demandes concernaient des candidats dont les données avaient été automatiquement supprimées, la formation restreinte a rappelé que cette suppression automatique ne dispensait pas la société d’informer ces candidats des suites apportées à leur demandes.
La formation restreinte a toutefois noté qu’au cours de la procédure, la société avait informé les personnes des suites apportées à leur demande. Pour un nombre résiduel de demandes, elle a estimé que la société avait exposé des raisons valables expliquant les raisons pour lesquelles l’information n’avait pu être faite (impossibilité d’identifier la personne concernée par exemple).
