Sanction CNIL de 300 000 € pour non-respect du droit à l’effacement des données personnelles

Contexte de la sanction

Spécialisée dans les métiers de l’informatique et de l’ingénierie, la société EXTIA a fait l’objet d’un contrôle par la CNIL en avril 2025. Ce contrôle faisait suite à plusieurs plaintes déposées par d’anciens salariés ou candidats, relatives à des difficultés rencontrées dans l’exercice de leur droit à l’effacement des données personnelles, également appelé « droit à l’oubli ».

Manquements identifiés et sanction

La formation restreinte de la CNIL a sanctionné EXTIA pour deux types de manquements majeurs au RGPD :

• Traitement insuffisant des demandes d’effacement : sur les 265 demandes reçues en 2024, plus des trois quarts n’ont pas été traitées ou l’ont été de manière non conforme. Douze demandes n’ont pas été prises en compte, portant atteinte aux droits des personnes concernées. La société a cependant régularisé la situation en cours de procédure en supprimant les données et en informant les personnes concernées.
• Défaut d’information des personnes sur les suites données à leurs demandes : 166 personnes n’ont pas été informées des suites apportées à leur demande d’effacement, et 27 autres ont reçu cette information avec un retard dépassant le délai légal d’un mois. La société a contesté la gravité du manquement, arguant que certaines données avaient été automatiquement supprimées, mais la CNIL a rappelé que cette suppression ne dispensait pas de l’obligation d’information. Des raisons valables (impossibilité d’identification, par exemple) ont été retenues pour un nombre résiduel de cas.

La sanction de 300 000 euros a été prononcée en tenant compte de la méconnaissance de principes fondamentaux du RGPD, du nombre élevé de personnes concernées et du fait que la société avait déjà fait l’objet de rappels à l’ordre.

Source : CNIL