ESN : EXTIA sanctionnée de 300 000 € pour des demandes d'effacement ignorées (21 juillet 2026)

Une amende administrative, même lorsque les CV sont purgés automatiquement. Le 21 juillet 2026, la formation restreinte de la CNIL a infligé 300 000 euros à EXTIA, société de conseil en informatique et ingénierie. La plupart des demandes d'effacement reçues en 2024, venues presque toutes d'anciens candidats, n'avaient pas été traitées correctement. Le RGPD oblige à informer la personne des suites données à sa demande dans un délai d'un mois, refus compris, et la CNIL a jugé que la suppression automatique ne dispensait pas de cette réponse.

La délibération du 21 juillet 2026 retient deux manquements : le défaut de traitement des demandes d'effacement (articles 12 et 17 du RGPD) et le défaut d'information sur les suites données (article 12). Un troisième grief, relatif à l'information des salariés sur la durée de conservation de leurs données (article 13), a été abandonné par la rapporteure. Sur 265 demandes d'effacement reçues en 2024, la formation restreinte relève :

• 12 demandes jamais traitées ;
• 166 personnes jamais informées des suites données ;
• 26 demandes d'effacement traitées hors délai, avec des retards pouvant atteindre plus de cinq à six mois, ainsi qu'une demande d'accès traitée plus d'un an après (le communiqué de la CNIL évoque 27 personnes informées hors délai).

Le délai applicable est fixé par le RGPD :

« Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. »
Règlement (UE) 2016/679 (RGPD), article 12, paragraphe 3

La société soutenait que les données des candidats avaient été supprimées automatiquement. La formation restreinte a répondu, selon le communiqué de la CNIL, que « cette suppression automatique ne dispensait pas la société d'informer ces candidats » ; la délibération qualifie l'obligation de réponse aux demandes d'exercice des droits d'« obligation autonome », qui ne saurait être compensée par l'effacement automatique des données. Pour fixer le montant, elle retient la gravité et la durée des manquements, le nombre de personnes concernées, la négligence de la société, déjà destinataire de deux rappels à la loi en 2024, sa situation financière et le caractère dissuasif et proportionné de l'amende. La coopération, jugée ordinaire, n'a pas été retenue comme circonstance atténuante ; la mise en conformité est prise en compte mais n'efface pas les manquements passés. Aucune injonction n'a été prononcée.

Le profil d'EXTIA est courant dans le secteur : 2 000 salariés en 2025, dont 1 600 à 1 700 consultants, et un recrutement continu qui alimente une base de candidats. Selon les déclarations de la société rapportées dans la délibération, les candidatures spontanées étaient supprimées automatiquement 60 jours après leur dépôt (la rapporteure jugeait cette affirmation non étayée), et les candidats qualifiés non retenus étaient conservés par défaut deux ans dans une « BDD Candidats qualifiés ». Purger ne suffit pas : il faut répondre, et pouvoir prouver qu'on a répondu. Trois situations de terrain :

• Le candidat qui écrit à un recruteur. Exemple : une demande reçue le 3 mars dans la messagerie d'un chargé de recrutement appelle une réponse au plus tard le 3 avril. Une prolongation de deux mois reste possible, compte tenu de la complexité et du nombre de demandes, mais elle doit être annoncée, motifs à l'appui, dans ce premier mois (article 12, paragraphe 3). À l'échelle d'EXTIA, 265 demandes d'effacement en 2024 représentent environ 22 échéances par mois, chacune avec sa trace écrite.
• Le CV transmis aux clients. Le dossier de compétences envoyé pour une mission a des destinataires. L'article 19 impose de leur notifier l'effacement, sauf si cette communication se révèle impossible ou exige des efforts disproportionnés : effacer le profil dans votre seul logiciel de recrutement ne règle pas tout.
• L'ancien consultant. Un salarié parti peut demander l'effacement, mais l'article 17, paragraphe 3, écarte ce droit pour les données qu'une obligation légale impose de conserver ou qui servent à la constatation, à l'exercice ou à la défense de droits en justice. Le refus, total ou partiel, doit alors être motivé dans le mois, avec la mention de la possibilité de saisir la CNIL et de former un recours juridictionnel (article 12, paragraphe 4).

Dernier point relevé dans le dossier : selon la société, le courriel automatique adressé aux candidats non présélectionnés mentionnait par erreur une conservation de leurs données pendant deux ans. Vos messages types doivent décrire ce que fait réellement votre système.

Une demande d'effacement ignorée n'est pas une fuite de données, et c'est précisément le piège. Le risque ne naît pas d'une attaque mais d'une procédure : plainte, contrôle sur place, rapport, observations écrites, séance devant la formation restreinte, puis publication d'une décision qui identifie la société pendant deux ans. Chaque étape mobilise la direction et le délégué à la protection des données, et justifie de se faire assister. S'y ajoutent les réclamations des personnes auprès de la CNIL (article 77 du RGPD) et les demandes de réparation d'un dommage matériel ou moral (article 82).

Côté assurance, rien ne doit être présumé pour l'amende elle-même. L'enjeu porte sur les frais de défense et d'accompagnement face à la CNIL et sur les réclamations des personnes concernées, un volet qui relève de l'assurance cyber lorsque le contrat le prévoit. À vérifier dans vos conditions : la garantie joue-t-elle sur un manquement au RGPD sans incident de sécurité ? Les procédures devant une autorité de contrôle sont-elles visées, et à partir de quel acte ? Les risques propres au consultant qui intervient dans le système d'information d'un client relèvent d'un autre schéma : voir la fiche métier ESN / SSII.

• Recenser les points d'entrée. Adresse dédiée, formulaire, recruteurs, managers, plateformes d'emploi : le délai court à compter de la réception de la demande, aucune ne doit dormir dans une boîte individuelle.
• Tenir un registre daté. Pour chaque demande : date de réception, échéance à un mois, décision, date et preuve de la réponse. EXTIA tenait un tableau interne de suivi des demandes, dont la fiabilité a été discutée pendant la procédure : un registre n'a de valeur que s'il est complet et daté.
• Répondre même après la purge. Confirmez l'effacement par écrit, y compris pour un CV déjà supprimé automatiquement.
• Prévenir les destinataires. Notifiez l'effacement aux clients et partenaires qui ont reçu le dossier de compétences (article 19).
• Motiver les refus. Préparez un modèle pour les anciens salariés : données effacées, données conservées et leur fondement, voies de réclamation et de recours.
• Traiter les signaux faibles. Toute plainte ou tout courrier de la CNIL sur l'exercice des droits est une alerte à traiter sans attendre.
• Relire le contrat cyber. Voir la section précédente, avant qu'une plainte n'arrive.