Par une délibération du 21 juillet 2026, rendue publique le 9 septembre 2026, la formation restreinte de la CNIL a sanctionné la société EXTIA. La décision vise le traitement des demandes d’effacement émanant de candidats et d’anciens salariés. Elle intéresse toute entreprise qui gère un vivier de CV.
Le contexte
EXTIA, qui emploie environ 2 000 salariés, est spécialisée dans l’informatique et l’ingénierie. Elle recrute des consultants qu’elle affecte à des projets techniques chez ses clients. En 2024, la CNIL a reçu plusieurs plaintes d’anciens salariés et de candidats faisant état de difficultés à exercer leur droit à l’effacement. Après deux rappels à ses obligations, en avril puis en juin 2024, un contrôle sur place a été réalisé en avril 2025. Il répondait à ces plaintes et s’inscrivait dans l’action coordonnée européenne sur le droit à l’effacement, lancée en 2025 par le Comité européen de la protection des données.
Le contrôle a ainsi mis en évidence que sur les 28 322 candidatures reçues par la société en 2024, 265 demandes d’effacement ont été enregistrées, majoritairement présentées par des candidats, dont plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante.
Deux manquements distincts
Le premier porte sur le traitement des demandes elles-mêmes. Douze demandes d’effacement reçues en 2024 n’avaient pas été traitées, en méconnaissance des articles 12 et 17 du RGPD. La CNIL a estimé que ce manquement portait atteinte au droit des personnes de conserver la maîtrise de leurs données.
Le second, particulièrement instructif, concerne l’information des demandeurs. 166 personnes ayant sollicité l’effacement de leurs données en 2024 n’avaient reçu aucune information sur les suites données à leur demande. 26 autres avaient été informées tardivement, hors du délai légal d’un mois, avec des retards atteignant parfois plusieurs mois.
La société a fait valoir qu’un grand nombre de ces demandes concernaient des candidats dont les données avaient été automatiquement supprimées. La CNIL a toutefois écarté cet argument. La suppression automatique ne dispense pas d’informer les candidats des suites apportées à leur demande.
Une obligation autonome d’information
L’article 12, paragraphe 3, du RGPD impose d’informer la personne concernée des mesures prises, dans les meilleurs délais et au plus tard dans le mois suivant la réception de la demande. Une prolongation de deux mois reste possible en cas de complexité ou de volume, à condition d’être notifiée avec ses motifs dans le délai initial d’un mois.
Le paragraphe 4 va plus loin. Lorsque le responsable du traitement ne donne pas suite à la demande, il doit malgré tout informer la personne des motifs de son inaction, de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. L’obligation d’information existe donc indépendamment du sort réservé à la demande.
L’enseignement pour les entreprises
La décision distingue deux obligations que les organisations confondent souvent, celle d’exécuter l’effacement et celle d’en rendre compte à la personne concernée. Une purge automatique paramétrée dans un ATS (Applicant Tracking System) ou une CVthèque satisfait la première sans rien dire de la seconde.
EXTIA a pris des mesures correctives en cours de procédure, en supprimant les données et en informant les personnes, ce qui n’a pas suffi à neutraliser les manquements. La CNIL a infligé une amende de 300 000 €, soit environ 0,15 % du chiffre d’affaires annuel de la société. Pour fixer le montant, la CNIL a retenu le nombre de personnes concernées et le fait que la société avait déjà été rappelée à ses obligations à deux reprises.
En pratique, vérifiez d’abord le paramétrage de vos suppressions automatiques. Si votre outil purge des profils sans déclencher de réponse au demandeur ni conserver de preuve de la démarche, vous êtes dans la configuration sanctionnée ici. La suppression automatique peut satisfaire l’effacement lui-même ; en revanche, lorsqu’une personne présente effectivement une demande d’effacement, il faut encore lui répondre pour l’informer des mesures prises.
Sources : Délibération de la formation restreinte n° SAN-2026-010 du 21 juillet 2026 (CNIL, société EXTIA) ; RGPD, art. 12 ; RGPD, art. 17 ; loi n° 78-17 du 6 janvier 1978 modifiée.