CNIL : 300 000 € d'amende contre EXTIA pour violations du droit à l'effacement

Le 21 juillet 2026, la formation restreinte de la CNIL — l'organe chargé de prononcer les sanctions — a condamné la société EXTIA à une amende de 300 000 euros. Cette décision fait suite à plusieurs manquements relatifs au respect des droits des personnes, et plus particulièrement au droit à l'effacement des données personnelles, prévu à l'article 17 du RGPD.

Qui est EXTIA et pourquoi est-elle concernée ?

EXTIA est une société spécialisée dans les métiers de l'informatique et de l'ingénierie. Elle recrute des consultants qu'elle affecte à des projets techniques auprès de ses entreprises clientes. De par cette activité, elle collecte et conserve des volumes significatifs de données personnelles — notamment celles de candidats et d'anciens salariés — ce qui la soumet pleinement aux obligations du RGPD.

Des plaintes reçues dès 2024

En 2024, la CNIL a reçu plusieurs plaintes émanant d'anciens salariés et de candidats d'EXTIA, qui faisaient état de difficultés à exercer leur droit à l'effacement. Ces signalements ont conduit à l'ouverture d'une instruction, renforcée par le cadre de l'action coordonnée européenne sur le droit à l'effacement, lancée en 2025 à l'initiative du Comité européen de la protection des données.

Un contrôle d'EXTIA a été réalisé en avril 2025, révélant des manquements à plusieurs obligations du RGPD en matière de transparence et de respect des droits.

Des chiffres éloquents : plus des trois quarts des demandes non traitées

Sur les 265 demandes d'effacement reçues par EXTIA en 2024 — émanant majoritairement de candidats, et ponctuellement d'anciens salariés — plus des trois quarts n'avaient pas été traitées ou ne l'avaient pas été de manière satisfaisante.

La formation restreinte a notamment relevé que 12 demandes n'avaient fait l'objet d'aucun traitement, portant directement atteinte au droit de ces personnes à conserver la maîtrise de leurs données. Elle a également constaté un manquement à l'obligation d'informer les personnes des suites apportées à leur demande, telle que prévue à l'article 12 du RGPD.