EXTIA – Sanction de 300 000 € de la CNIL pour des dysfonctionnements dans la suppression des données de 200 candidats

La société EXTIA, société française de conseil dans l’informatique et l’ingénierie employant 2 000 salariés, a été sanctionnée par la CNIL d’une amende administrative de 300 000 € pour des manquements au Règlement Général sur la Protection des Données (RGPD) en rapport avec les demandes de suppression de données personnelles des candidats.

Lorsqu’un candidat postulait de manière spontanée auprès de la société EXTIA, les données relatives à la candidature étaient stockées dans une base de données temporaire, puis étaient soit supprimées au bout d’un délai de 60 jours, soit transférées dans une autre base de données lorsque la candidature était présélectionnée.

Plusieurs dysfonctionnements ont été relevés par la CNIL en rapport avec ce traitement de données :

• la société envoyait un courriel aux candidats non présélectionnés mentionnant la suppression de leurs données au bout de 2 ans, et non 60 jours, comme cela a ensuite été finalement avancé par la société.
• la société n’informait pas systématiquement les candidats des suites données à leur demande de suppression de données, même lorsque les données du candidat étaient effectivement supprimées.

La CNIL a finalement retenu plusieurs manquements :

• un manquement à l’obligation de supprimer les données^[1], en « l’absence de traitement de 12 demandes d’effacement reçues en 2024 » ;
• un manquement à l’obligation d’informations aux personnes^[2] ayant demandé la suppression de leurs données, car « sur les 265 personnes ayant formé une demande d’effacement en 2024, 166 n’ont pas été informées des suites apportées à leur demande ».

La Commission a justifié cette sanction et la publicité de la sanction en raison du « nombre important de personnes concernées par les manquements relevés en matière d’exercice du droit à l’effacement » :

« En effet, même après stabilisation définitive par la société du nombre de demandes ayant fait l’objet d’un effacement à l’issue d’un délai de 60 jours, ce sont au total 204 demandes d’effacement qui n’ont pas été correctement traitées sur la seule année 2024, soit parce que ces demandes n’ont pas été traitées (12), soit parce que les personnes concernées n’ont pas été tenues informées des suites apportées à leur demande (166) ou l’ont été hors délai (26). Au total, ce sont donc plus des trois quarts des demandes d’exercice du droit à l’effacement reçues en 2024 qui n’ont pas été traitées ou ne l’ont pas été de manière satisfaisante par la société EXTIA. »

Lors de l’instruction, la société EXTIA s’est mise en conformité, puisqu’elle a « mis en place, depuis décembre 2024, une nouvelle organisation destinée à permettre d’apporter une réponse aux demandes d’exercice des droits dans les délais imposés par le RGPD ».

La sanction de 300 000 € représente 0,15% du chiffre d’affaires de la société.