← Tous les articles

consultant

RGPD: 300 K€ de la CNIL contre EXTIA pour l’effacement

La CNIL sanctionne EXTIA de 300 000 € pour des manquements aux articles 12 et 17 RGPD sur le droit à l’effacement et l’information dans le délai d’un mois.

Par Expertise Luxgap 24/09/2026

CNIL sanctionne EXTIA: 300 K€ pour non‑respect du droit à l’effacement

Le 21 juillet 2026, la CNIL a infligé 300 000 € à EXTIA pour des manquements aux articles 12 et 17 RGPD sur le traitement des demandes d’effacement de candidats et d’anciens salariés. Enseignement clé: la réponse dans un mois et l’information des suites ne sont pas négociables. Source CNIL.

L’affaire

EXTIA, société de conseil en ingénierie, a fait l’objet de contrôles dans le cadre de l’action coordonnée 2025 du Comité européen (EDPB) sur le droit à l’effacement. La CNIL relève que, sur 265 demandes reçues en 2024, plus des trois quarts n’ont pas été traitées correctement et 166 personnes n’ont pas été informées des suites, certaines au‑delà du délai légal d’un mois (article 12 RGPD). La formation restreinte sanctionne plusieurs manquements: non‑traitement de demandes (articles 12 et 17), défaut d’information sur les suites (article 12), et retards répétés malgré des rappels antérieurs. Décision: amende de 300 000 €, avec référence officielle à la délibération SAN‑2026‑010 publiée sur Légifrance. CNIL, 9 sept. 2026 ; Légifrance – SAN‑2026‑010.

Contexte européen: l’EDPB a lancé le 5 mars 2025 une action CEF dédiée au droit à l’effacement (article 17), visant à agréger les constats nationaux et à déclencher des suites ciblées. EDPB, 5 mars 2025.

Le raisonnement juridique

  • Base: articles 12 et 17 RGPD. L’article 12 impose des modalités claires: information « concise, transparente, compréhensible » et réponse « sans retard indu et au plus tard dans un délai d’un mois » aux demandes visées aux articles 15 à 22; en cas d’inaction, obligation d’informer la personne des motifs et de ses voies de recours. L’article 17 consacre le droit à l’effacement, sauf exceptions (obligation légale de conservation, exercice/défense de droits en justice, etc.). RGPD sur EUR‑Lex, art. 12 et 17 — voir aussi notre page références RGPD utiles.
  • Interprétation de la CNIL: le responsable doit non seulement effacer quand les conditions sont réunies, mais aussi prouver la gestion effective des demandes (traçabilité des flux et des réponses, y compris lorsque l’effacement est automatisé). Une suppression « automatique » ne dispense pas d’informer individuellement des suites apportées dans le délai d’un mois (article 12, §3‑4). CNIL – EXTIA.
  • Position EDPB: le CEF 2025 rappelle que l’article 17 est l’un des droits les plus exercés; l’exigence clé est la mise en place de canaux et de procédures effectives, avec mesure des délais, gestion des exceptions et notification aux destinataires (article 19 RGPD). EDPB – CEF 2025.
  • Référentiel luxembourgeois: la CNPD souligne les mêmes exigences: délai d’un mois pour répondre, obligation d’informer et de motiver tout refus, articulation avec les exceptions légales et obligation de notifier l’effacement aux destinataires (articles 12, 17 et 19). CNPD – Chapitre III RGPD; CNPD – Droit à l’effacement.

Ce que ça change concrètement

Pour des dirigeants, DPO et CISO au Luxembourg (et frontaliers), l’affaire EXTIA confirme:

  • Un « process droits » est un contrôle de base: registre des demandes, horodatage, SLA d’un mois, modèles de réponse, motifs de refus (articles 12(5), 17(3), 21), traçabilité des effacements et notification aux destinataires (article 19). Si besoin d’appui opérationnel, un mandat DPO structuré aide à industrialiser le dispositif.
  • Les fonctions RH et recrutement sont à haut risque: CRMs candidats, plateformes d’évaluation et ATS contiennent des données multiples (CV, évaluations, historique). Les effacements « techniques » (purges planifiées) doivent être reliés à des réponses juridiques individuelles dans les délais. L’absence de bridge entre outillage et front juridique expose à sanction.
  • Les exceptions ne dispensent pas d’écrire: si une obligation légale impose la conservation (ex.: droit du travail, prescription), la réponse à la personne doit expliquer, avec articles précis et catégories non effaçables, pourquoi la demande n’aboutit pas entièrement. La CNPD le rappelle expressément. CNPD – Obligation d’informer sur les durées.
  • L’industrialisation cross‑border est attendue: groupes actifs en FR/LU/BE/DE doivent harmoniser leurs canaux de demandes (portail, e‑mail dédié, formulaires), leurs playbooks (identification, vérification, exceptions), et leurs intégrations techniques (API d’effacement auprès des sous‑traitants), conformément à l’article 28 (démontrer l’exécution et permettre l’audit). CNIL – Sous‑traitant (art. 28) — point d’attention pour les acteurs au Luxembourg soumis à la CNPD.

Exemples concrets (RH et commercial B2B)

  • Candidat demande « suppression totale »: si des pièces paie doivent être conservées pour obligations sociales, répondez sous un mois en expliquant les bases légales et les catégories conservées; limitez le traitement (article 18) dans l’intervalle et notifiez les destinataires (article 19). Base: articles 12, 17, 18, 19 RGPD; lignes CNPD. CNPD – Chapitre III.
  • Prospect B2B exerce son droit: si l’intérêt légitime marketing direct est invoqué, documentez le refus partiel (liste d’opposition) et effacez le superflu; attention à la cohérence avec les lignes EDPB sur l’article 6(1)(f) et la transparence. EDPB – Digest intérêt légitime.

Pièges fréquents

  1. Confondre « suppression automatique » et « réponse légale »: une purge planifiée ne remplace pas la réponse individuelle et motivée dans le mois (article 12(3)‑(4)). C’est un point central de la sanction EXTIA. CNIL – EXTIA.
  2. Oublier les destinataires: l’article 19 impose de communiquer l’effacement/rectification/limitation à chaque destinataire, sauf impossibilité ou efforts disproportionnés dûment justifiés. EUR‑Lex – art. 19.
  3. Ne pas gérer les identités: absence de procédure d’identification et de vérification adaptée au risque (ex.: demandes depuis adresses personnelles) entraîne soit refus injustifié, soit divulgation. Tenez une matrice de preuves raisonnables proportionnées (article 12(6)).
  4. Ignorer les exceptions… sans les documenter: invoquer « obligation légale » ou « défense en justice » sans référencer le texte et sans limiter le traitement (article 18) est sanctionnable. CNPD – Durées et information.
  5. Sous‑traitants non alignés: l’effacement chez le responsable n’est pas synchronisé chez les sous‑traitants; l’article 28 exige des clauses, preuves d’exécution et droit d’audit. CNIL – Sous‑traitant (art. 28).

Sources officielles

Points d’attention Luxembourg: la CNPD partage l’exigence de réponse dans un mois et la rigueur documentaire. Pour les entités transfrontalières (LU/FR/BE/DE), l’alignement process + technique (workflows, API d’effacement chez les prestataires, preuves) est désormais attendu par les régulateurs, et l’affaire EXTIA illustre le risque financier et réputationnel d’un dispositif « droits » non industrialisé.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.

expertise reglementaire rgpd cnil droit-a-l-effacement cnpd conformite
NEWSLETTER LUXGAP

Recevez nos analyses des qu'elles sortent.

Articles d'expertise RGPD, NIS 2, IA, et invitations aux webinaires + formations gratuites Luxgap. 1 a 2 emails par semaine maximum, desabonnement en un clic.

Vos données ne sont jamais partagées. Conformité RGPD garantie (logique : on est DPO).

Une question sur ce sujet ?

Notre équipe répond généralement sous 24 h ouvrées. Configurez votre devis ou écrivez-nous.

Configurer mon devis →