La CNIL inflige une amende de 300 000 EUR à EXTIA pour des manquements dans l'exercice des droits des personnes concernées
Amende: EUR 300,000
La CNIL a infligé une amende de 300 000 EUR à EXTIA le 21 juillet 2026 pour de multiples manquements dans le traitement des demandes d'effacement des personnes concernées. Cette décision fait suite à un audit réalisé en avril 2025, qui a identifié des violations des obligations du RGPD concernant la transparence et les droits individuels.
La formation restreinte de la CNIL a constaté que 12 demandes d'effacement reçues par EXTIA n'avaient pas été traitées, ce qui a porté atteinte au contrôle des personnes sur leurs données. De plus, 166 personnes ayant soumis une demande d'effacement n'ont pas été informées des suites données, en violation de l'Article 12 du RGPD. 27 autres personnes ont reçu des informations tardivement, au-delà du délai légal d'un mois, avec des retards s'étendant à plusieurs mois. L'amende a pris en compte la violation de principes essentiels relatifs aux droits individuels, le nombre de personnes concernées, et le fait qu'EXTIA avait reçu deux rappels préalables de ses obligations. L'enquête a débuté suite à de multiples plaintes d'anciens employés ou candidats concernant des difficultés à exercer leur droit à l'effacement, et s'inscrivait dans le cadre d'une action du Cadre de Coopération en matière d'Application (Coordinated Enforcement Framework) sur le « Droit à l'effacement » lancée par le CEPD en 2025.
Les organisations rencontrent fréquemment des difficultés opérationnelles pour répondre aux demandes d'exercice des droits des personnes concernées, comme en témoignent les 265 demandes d'effacement reçues par EXTIA en un an.
Titre original: Non respect des droits des personnes : sanction de 300 000 euros à l’encontre de la société EXTIA
Amende administrative de la CNIL
- Qui cela engage
- Toutes les organisations traitant des données personnelles en France sont légalement tenues par le RGPD de répondre aux demandes des personnes concernées.
- Ce qui a changé
- La décision de la CNIL clarifie que le défaut de traitement des demandes d'effacement et d'information des personnes concernées sur les suites données constitue une violation des Articles 12 et 17 du RGPD.
- Ce qu'il faut vérifier
- Les organisations devraient revoir leurs processus de traitement des demandes d'effacement des personnes concernées, en veillant notamment à un traitement et une communication des résultats en temps voulu, comme l'exige l'Article 12 du RGPD.
- Ce que cela ne signifie pas
- Cette décision n'implique pas que toutes les demandes des personnes concernées doivent aboutir à l'effacement des données ; elle concerne le traitement et la communication appropriés de la demande elle-même.
À transmettre à votre équipe
La CNIL a infligé une amende de 300 000 EUR à EXTIA pour ne pas avoir traité les demandes d'effacement des personnes concernées et informé les individus des suites données, soulignant l'importance pour toutes les organisations de se conformer aux Articles 12 et 17 du RGPD.