La Commission Nationale de l'Informatique et des Libertés (CNIL) a sanctionné la société EXTIA pour avoir manqué à ses obligations en matière de gestion des demandes de droit à l'effacement, soulignant que la suppression effective des données ne dispense pas le responsable de traitement d'informer formellement les personnes concernées des suites données à leur démarche.

Faits et contexte

L'autorité française de protection des données (CNIL) a publié une décision de sanction à l'encontre de la société EXTIA, comprenant le prononcé d'une amende de 300 000 €, pour des manquements en lien avec le respect des droits des personnes, et plus particulièrement le droit à l'effacement.

L'affaire trouve son origine dans plusieurs plaintes d'anciens salariés et de candidats relatives à leurs difficultés à exercer leur droit à l'effacement, instruites dans le cadre d'une action coordonnée du Comité européen de la protection des données (CEPD).

Motifs de la décision

• Obligation de traiter les demandes d'effacement (article 17 du RGPD) : L'autorité a constaté que sur 265 demandes reçues en 2024, 12 n'avaient fait l'objet d'aucun traitement. Elle a estimé que cette inaction portait atteinte au droit fondamental des personnes de conserver la maîtrise de leurs données personnelles. La régularisation effectuée par la société en cours de procédure n'a pas effacé le manquement initial.
• Obligation d'information et de transparence sur les suites données à une demande (article 12 du RGPD) : La formation restreinte a relevé que 166 personnes n'avaient reçu aucune information sur le traitement de leur demande et que 27 autres l'avaient reçue hors du délai légal d'un mois. L'autorité a formellement rejeté l'argument de la société selon lequel la suppression automatique des données de certains candidats la dispensait de cette obligation, rappelant que chaque demandeur doit être explicitement informé des suites apportées à sa démarche.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 300 000 € à la société EXTIA.

Enseignements

Cette décision rappelle que :

• La suppression effective des données, y compris par un processus automatique, ne dispense pas le responsable du traitement de son obligation d'informer formellement la personne concernée des suites données à sa demande d'effacement dans les délais prévus.
• Le défaut de traitement d'une demande d'exercice de droit et le manquement à l'obligation d'informer la personne des suites données constituent deux violations distinctes du RGPD, pouvant être sanctionnées cumulativement.
• Des avertissements antérieurs et le nombre élevé de personnes concernées par un manquement aux droits des personnes sont des facteurs pris en compte pour déterminer le montant de la sanction.