Sanction, 21 juillet 2026

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mme Isabelle LATOURNARIE-WILLEMS, MM. Didier KLING et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2025-054C du 8 avril 2025 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société EXTIA ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 4 mars 2026 ;

Vu le rapport de Mme Sophie LAMBREMON, commissaire rapporteure, du 12 mars 2026, signifié à la société EXTIA le 13 mars 2026 ;

Vu les observations écrites versées par la société EXTIA le 13 avril 2026 ;

Vu la réponse de la rapporteure notifiée à la société EXTIA le 7 mai 2026 ;

Vu les nouvelles observations écrites versées par la société EXTIA le 8 juin 2026 ;

Vu la clôture de l’instruction notifiée à la société EXTIA le 15 juin 2026 ;

Vu le courrier du président de la formation restreinte du 15 juin 2026, informant la société que le dossier était inscrit à l’ordre du jour de la formation restreinte du 2 juillet 2026 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 2 juillet 2026 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 2 juillet 2026 :

- Mme Sophie LAMBREMON, commissaire, entendue en son rapport ;

En qualité de représentants de la société EXTIA :

- […]

La société EXTIA ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCEDURE

1. La société EXTIA (ci-après " la société ") est une société par actions simplifiée créée en 2007, dont le siège social est situé 1, avenue de la Cristallerie à Sèvres (92310). Il s’agit d’une société de conseil spécialisée dans les métiers de l’informatique et de l’ingénierie, qui compte une vingtaine d’établissements en France. La société employait 2 000 salariés en 2025, dont 1 600 à 1 700 consultants.

2. L’activité de la société repose sur l’affectation de consultants à des projets techniques, numériques et/ou d’ingénierie auprès de ses entreprises clientes. Le recrutement de consultants par la société intervient soit par la voie classique, c’est-à-dire lorsqu’un candidat répond à une offre d’emploi publiée sur le site internet de la société ou sur des sites internet spécialisés sur lesquels la société diffuse ses offres (" recherche passive "), soit par une prise de contact directe, à l’initiative de la société, avec des candidats proposant leur curriculum vitae sur des sites web spécialisés (" recherche active ").

3. En 2024, la société EXTIA a réalisé un chiffre d’affaires de […], pour un résultat net de […]. En 2023, son chiffre d’affaires s’est élevé à […], pour un résultat net de […]. Sur son site internet, la société annonce des chiffres d’affaires bien supérieurs pour les années 2023 […], 2024 et 2025 […].

4. L’attention de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été attirée sur les traitements mis en œuvre par la société à la suite de deux plaintes reçues les 16 avril et 17 juin 2024, faisant état des difficultés rencontrées par leurs auteurs dans l’exercice de leur droit d’accès et de leur droit à l’effacement. A la suite de ces plaintes, deux rappels à la loi ont été adressés par la CNIL à la société les 19 avril et 20 juin 2024, destinés à lui rappeler ses obligations en matière de traitement des demandes d’exercice de droits dont elle est destinataire. En l’absence de réponse satisfaisante de la société à ces demandes, la CNIL a été saisie de deux nouvelles plaintes, les 3 juin et 7 novembre 2024.

5. Le 10 avril 2025, une délégation de la CNIL a réalisé un contrôle sur place au siège de la société EXTIA, afin de vérifier la conformité des traitements mis en œuvre au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " RGPD ") et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée "). Le procès-verbal dressé à l’issue de ce contrôle a été notifié à la société à deux reprises, les 11 avril et 25 avril 2025, en raison d’une erreur matérielle s’étant glissée dans le procès-verbal initial.

6. La société a communiqué à la délégation des éléments complémentaires les 30 avril et 12 mai 2025.

7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 4 mars 2026, désigné Mme Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

8. Le 12 mars 2026, à l’issue de son instruction, la rapporteure a fait signifier à la société un rapport détaillant les manquements aux articles 12, 13 et 17 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses traitements avec les dispositions susvisées, assortie d’une astreinte. Elle proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

9. Le 13 avril 2026, la société a produit des observations en réponse au rapport de sanction.

10. La rapporteure a répondu à ces observations le 7 mai 2026.

11. Le 8 juin 2026, la société a produit de nouvelles observations en réponse.

12. Par courrier notifié le 15 juin 2026, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après, " le décret du 29 mai 2019 "), informé la société que l’instruction était close.

13. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 2 juillet 2026.

14. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur les traitements en cause et la qualité de responsable de traitement de la société EXTIA

15. En droit, l’article 4, point 7, du RGPD définit le responsable de traitement comme " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ".

16. En l’espèce, la formation restreinte relève que les traitements en cause dans la présente procédure ont trait à la gestion des ressources humaines et concernent, d’une part, les données des candidats et, d’autre part, les données des salariés de la société. Il ressort en effet de l’instruction que la société recrute des consultants pour réaliser ses prestations de conseil en informatique et en ingénierie, et que leur recrutement intervient soit via leur candidature à une offre d’emploi publiée sur internet, soit à l’initiative de la société qui contacte directement un profil potentiellement pertinent.

17. La société EXTIA a expliqué dans ses observations en défense que la procédure de recrutement des consultants comporte plusieurs étapes, au cours desquelles les candidats sont classés en différentes catégories (" candidats spontanés non présélectionnés ", " candidats spontanés présélectionnés ", " candidats qualifiés ", " candidats qualifiés non retenus ", " candidats qualifiés retenus "). Dans un premier temps, la société effectue une présélection des candidatures spontanées qu’elle reçoit. La société déclare que l’ensemble des données relatives à des candidatures spontanées, que les candidats soient ou non présélectionnés, sont stockées dans une base de données intitulée " BDD Candidats spontanés " au sein de la solution […], éditée par la société, et sont supprimées automatiquement à l’issue d’un délai de 60 jours à compter du dépôt de la candidature. Dans un deuxième temps, les données relatives aux candidatures spontanées qui ont été présélectionnées sont transférées vers une base de données distincte, la " BDD Candidats qualifiés ", au sein de laquelle elles rejoignent les données des candidats éventuellement issus d’une " recherche active " faite par la société. A cette étape, une " fiche candidat " est créée pour chaque candidat qualifié. Dans un troisième temps, les candidats qualifiés pour la deuxième phase entrent dans un processus de recrutement à l’issue duquel ils sont ou non retenus. La société déclare que les données des candidats qualifiés non retenus sont conservées par défaut dans la " BDD Candidats qualifiés " durant deux ans à compter de leur dernière interaction avec la société. Enfin, les candidats retenus deviennent salariés de la société et leurs données sont transférées vers une nouvelle base de données.

18. S’agissant de la responsabilité de traitement, la formation restreinte relève que la société EXTIA a indiqué à la délégation, lors du contrôle sur place du 10 avril 2025, être responsable des traitements de données à caractère personnel mis en œuvre dans le cadre du recrutement de ses salariés. Au demeurant, le registre des activités de traitement de la société la désigne comme responsable des traitements de ressources humaines, lesquels recouvrent en particulier les traitements de gestion administrative du personnel, des rémunérations, du recrutement et de la communication. Enfin, la société a indiqué être à l’origine de la conception, du développement, de l’administration et du maintien de l’outil […], qui permet la digitalisation des processus internes et, en particulier, la gestion des candidatures.

19. La formation restreinte considère que compte tenu de ces éléments, la société doit être regardée comme étant responsable des traitements de ressources humaines en cause dans la présente procédure, lesquels impliquent en particulier le traitement des données à caractère personnel des candidats et des salariés, à des fins de recrutement et de gestion du personnel.

B. Sur les éléments de preuve sur lesquels reposent les manquements relevés dans le rapport

20. La société reproche à la rapporteure d’avoir mené une instruction qu’elle qualifie " d’expéditive ", alors que des échanges complémentaires auraient selon elle dû avoir lieu avant l’établissement du rapport de sanction, pour garantir la bonne compréhension des traitements mis en œuvre. Elle fait notamment valoir qu’il ne saurait lui être reproché de n’avoir pas spontanément communiqué des éléments qui ne lui avaient pas été demandés au stade des investigations, s’agissant en particulier des étapes de la procédure de recrutement et de la durée de conservation de 60 jours qu’elle déclare appliquer aux données des candidats " non présélectionnés ".

21. En outre, la société estime que la rapporteure s’est à tort fondée sur un tableau de suivi interne des demandes d’exercice des droits pour en déduire l’existence de manquements, à partir de certaines mentions ou absences de mentions y figurant. Selon la société, ce tableau constituait un simple outil interne, qui n’avait pas vocation à revêtir une valeur probante. Elle précise que celui-ci n’était de surcroît pas entièrement fiable dans un contexte de désorganisation temporaire de l’équipe juridique et de la réception d’un nombre de demandes d’effacement exceptionnellement élevé consécutivement à l’envoi, aux candidats non présélectionnés, d’une information mentionnant par erreur une durée de conservation de leurs données de deux ans, alors que la durée effectivement appliquée était selon elle de 60 jours.

22. La formation restreinte relève, tout d’abord, que la phase de contrôle a permis à la délégation de contrôle de recueillir, selon les termes du procès-verbal de contrôle sur place, " l’ensemble des dossiers individuels de demandes d’exercice du droit à l’effacement reçues par la société en 2024 ainsi que les réponses qui y ont été apportées " ainsi que le tableau interne de suivi des demandes d’effacement tenu par la société. Ces dossiers et ce tableau sur lesquels la rapporteure se fonde dans le cadre de son rapport de sanction, de même que leur fiabilité, ont pu être discutés ultérieurement et plusieurs précisions concernant les traitements en cause ont pu être apportées par la société dans le cadre des échanges contradictoires. L’ensemble de ces précisions ont été prises en compte par la rapporteure dans sa réponse et par la formation restreinte, qui dispose de l’entièreté du dossier pour statuer.

23. Ensuite, s’agissant plus particulièrement du fait que la société a mentionné pour la première fois, au stade de ses écritures, l’information selon laquelle la durée de conservation appliquée aux données de candidats non présélectionnés serait de 60 jours, et non de deux ans, la formation restreinte relève qu'il s'agit d'un élément factuel, qui ressort de l'examen du dossier. Compte tenu de ce que cette durée de conservation n’avait pas été mentionnée lors du contrôle sur place, centré sur le traitement des demandes d’effacement par la société, et de ce qu’elle ne ressortait en outre d’aucun document interne à la société, la rapporteure a pu légitimement interroger la société sur l’origine et l’application effective de cette durée de conservation et a, plus généralement, demandé à la société d’étayer ses déclarations, ainsi qu’elle est habilitée à le faire en application de l’article 39, alinéa 2, du décret du 29 mai 2019, qui dispose que la rapporteure peut " solliciter du mis en cause la communication de toute pièce ou information qu’il estime utile ".

24. La formation restreinte relève en tout état de cause qu’à la suite des échanges écrits intervenus entre la société et la rapporteure, dans le respect du principe du contradictoire, la société a reconnu, lors de la séance devant la formation restreinte, que les pièces sur lesquelles la rapporteure formule ses propositions de manquements n’étaient pas contestées.

25. La formation restreinte considère dès lors que le grief tiré de ce que la réponse de la rapporteure aurait eu vocation à pallier les insuffisances de l’instruction, de même que les critiques relatives au poids accordé au tableau de suivi interne des demandes d’effacement tenu par la société doivent être écartés.

C. Sur les manquements aux droits des personnes

26. En droit, l’article 15, paragraphe 1 du RGPD prévoit que " la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que les informations suivantes :

a) les finalités du traitement ;

b) les catégories de données à caractère personnel concernées ;

c) les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées, en particulier les destinataires qui sont établis dans des pays tiers ou les organisations internationales ;

d) lorsque cela est possible, la durée de conservation des données à caractère personnel envisagée ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;

e) l'existence du droit de demander au responsable du traitement la rectification ou l'effacement de données à caractère personnel, ou une limitation du traitement des données à caractère personnel relatives à la personne concernée, ou du droit de s'opposer à ce traitement ;

f) le droit d'introduire une réclamation auprès d'une autorité de contrôle ;

g) lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ;

h) l'existence d'une prise de décision automatisée, y compris un profilage, visée à l'article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l'importance et les conséquences prévues de ce traitement pour la personne concernée ".

Il est prévu au paragraphe 3 du même article que " le responsable du traitement fournit une copie des données à caractère personnel faisant l'objet d'un traitement ".

27. Aux termes de l’article 17 du RGPD :

" 1. La personne concernée a le droit d’obtenir du responsable de traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable de traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

a) les données personnelles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;

b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l’article 6, paragraphe 1, point a) (…) et il n’existe pas d’autre fondement juridique au traitement ;

c) la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 1, et il n’existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 […] ".

28. Aux termes de l’article 12 du RGPD :

" 3. Le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d'une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d'un mois à compter de la réception de la demande. Au besoin, ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Le responsable du traitement informe la personne concernée de cette prolongation et des motifs du report dans un délai d'un mois à compter de la réception de la demande. Lorsque la personne concernée présente sa demande sous une forme électronique, les informations sont fournies par voie électronique lorsque cela est possible, à moins que la personne concernée ne demande qu'il en soit autrement.

4. Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d'un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel. […] ".

29. En l’espèce, il ressort de l’instruction que la société a formalisé une procédure interne de gestion des plaintes et des demandes d’exercice des droits, aux termes de laquelle elle indique que les demandes émanant de candidats sont systématiquement satisfaites, tandis que les demandes des anciens salariés, qui représentent une proportion marginale des demandes reçues, sont examinées au regard des obligations légales de la société, d’éventuels motifs légitimes qu’elle pourrait avoir à conserver leurs données ou dans l’éventualité d’un litige.

30. Il ressort également des éléments du dossier qu’en 2024, la société a reçu 28 322 candidatures et a été destinataire de 265 demandes d’effacement, émanant presque exclusivement d’anciens candidats.

1. Sur le manquement relatif au traitement des demandes d’effacement (articles 12 et 17 du RGPD)

En droit, l’article 17 du RGPD définit les conditions d’exercice du droit à l’effacement. Qu’il soit fait droit ou non, totalement ou partiellement, à une demande d’effacement, l’article 12 du RGPD prévoit que le responsable du traitement informe la personne concernée des mesures prises à la suite de sa demande.

31. La rapporteure relève qu’en 2024, la société a été destinataire de 265 demandes d’effacement. Or, elle note qu’il ressort des éléments recueillis lors des investigations que 145 de ces demandes d’effacement n’ont pas été traitées, alors même qu’elles contenaient les informations suffisantes pour identifier la personne concernée et, le cas échéant, procéder à l’effacement de ses données.

32. En défense, la société fait valoir, dans le cadre de ses secondes observations, que seules 12 demandes (contre les 7 avancées dans un premier temps par la société dans le cadre de ses premières observations) sur les 145 visées dans le rapport n’auraient pas été satisfaites. A cet égard, elle souligne, premièrement, que 125 demandes concernaient des candidats non présélectionnés, dont les données étaient automatiquement effacées à l’issue d’un délai de 60 jours suivant leur réception. Elle conclut que ces 125 demandes étaient sans objet au regard du droit à l’effacement, celui-ci étant déjà respecté compte tenu du délai de suppression susmentionné. La société précise qu’au stade de la présélection, un courriel automatique était envoyé à cette catégorie de candidats, les informant du rejet de leur candidature et que ce courrier mentionnait par erreur, la conservation de leurs données pour une durée de 2 ans, alors même que la durée de conservation qui leur était réellement appliquée était de 60 jours. Deuxièmement, la société fait valoir que 8 demandes relevaient de situations particulières : 2 personnes n’ont pas pu être identifiées, 4 personnes sont d’anciens salariés dont certaines données étaient légalement conservées, la demande d’une personne est devenue sans objet car elle a été traitée avant le contrôle sur place et une demande s’apparentait davantage à une observation qu’à une demande d’effacement. D’une manière générale, la société souligne avoir priorisé le traitement effectif des demandes d’effacement à la communication auprès des personnes, dans un contexte opérationnel de désorganisation de son service juridique, auquel s’est ajouté un afflux de demandes lié à l’envoi du courriel d’information erroné aux candidats non présélectionnés. La société souligne que dans l’écrasante majorité des cas visés par le présent manquement, seule l’information des personnes faisait défaut et non l’absence effective d’effacement des données. Elle affirme quoiqu’il en soit avoir remédié à l’erreur de communication alléguée depuis le mois de février 2025, en fournissant une information adéquate aux candidats spontanés non présélectionnés.

33. Dans sa réponse, la rapporteure relève que la société n’étaye ses déclarations d’aucune pièce ni précision, en particulier concernant l’origine de la durée de conservation de 60 jours qu’elle ne mentionne pour la première fois qu’en réponse au rapport de sanction. Elle n’étaye pas plus la suppression effective des données des candidats non présélectionnés visés par le manquement. Elle considère toutefois, à supposer que cette durée de conservation ait réellement été appliquée par la société aux données des candidats non présélectionnés, que, d’une part, le manquement demeure constitué pour une partie des demandes et que, d’autre part, s’agissant des demandes restantes, la suppression automatique des données à l’issue d’un délai de 60 jours ne dispensait pas la société d’informer les personnes concernées des suites apportées à leur demande, ce qu’elle n’a pas fait.

34. La formation restreinte note tout d’abord que, si la société conteste le nombre de demandes retenu dans le rapport, le manquement relatif à l’absence de traitement des demandes d’effacement est établi pour 12 des demandes formées auprès d’elle en 2024, au regard de l’analyse des dossiers individuels de demande d’effacement, confirmée par le décompte fourni par la société elle-même dans le cadre de ses dernières observations.

35. S’agissant ensuite des 125 demandes qui, selon la société, auraient en pratique été satisfaites, en vertu d’une suppression automatique intervenue à l’issue d’un délai de 60 jours à compter de la réception de la candidature, la rapporteure a souligné que la société avait fait état de l’existence de cette durée de conservation seulement au stade de ses observations en réponse au rapport de sanction, qu’elle n’était pas formalisée dans un document interne de la société relatif à la gouvernance des données personnelles, et que le courriel adressé aux candidats non présélectionnés mentionnait non pas une durée de conservation de 60 jours, mais une durée de 2 ans.

36. La formation restreinte prend acte des déclarations de la société qui considère que les éléments du dossier ne permettent pas de caractériser l'existence d’un manquement à l’article 17 du RGPD s’agissant de ces 125 personnes. Le manquement allégué par la rapporteure en matière d’information des personnes sera examiné ci-dessous, au point 2.

37. S’agissant enfin des 8 personnes qui relèveraient, selon la société, de situations particulières, la formation restreinte prend acte de ce que des circonstances spécifiques ont rendu certaines de ces demandes matériellement impossibles à traiter ou sans objet. En revanche, la société ne peut utilement invoquer la qualité d’ancien salarié de 4 de ces personnes pour justifier l’absence de traitement de leur demande d’effacement sans apporter les motifs précis pour lesquels cette demande d’effacement n’aurait pas été acceptée. Par ailleurs, indépendamment de la légitimité que pouvait avoir la société à conserver leurs données au titre des prescriptions légales, la formation restreinte examinera au point 2 ci-dessous si ces faits caractérisent, comme le soutient la rapporteure, un manquement à l’information des personnes.

38. Dès lors, la formation restreinte considère que l’absence de traitement de 12 demandes d’effacement reçues en 2024, et l’absence d’information qui en a découlé, caractérisent un manquement aux dispositions des articles 12 et 17 du RGPD.

39. La formation restreinte note toutefois que, dans ses dernières observations, la société démontre que les données de toutes les personnes initialement visées dans le rapport par ce manquement ne sont plus présentes en base de données, excepté pour un nombre très réduit d’entre elles, pour lesquelles la société a justifié conserver les données au motif qu’elles concernaient d’anciens salariés ou des personnes ayant présenté une nouvelle candidature.

40. Ainsi, si le manquement demeure caractérisé pour le passé, le prononcé d’une injonction, tel que proposé par la rapporteure, n’apparait plus opportun.

2. Sur l’absence d’information des personnes concernées des suites apportées à leur demande d’effacement (article 12 du RGPD)

41. En droit, il ressort des dispositions de l’article 12, paragraphes 3 et 4 du RGPD que, quelles que soient les suites données à une demande d’exercice des droits, le responsable de traitement doit informer la personne concernée de ces suites, soit en lui confirmant avoir fait droit à sa demande, soit en lui indiquant les motifs de son inaction et en lui rappelant la possibilité qu’il a d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.

42. La rapporteure relève que 37 personnes ayant formé une demande d’effacement auprès de la société en 2024 n’avaient, à la date du contrôle, pas été informées des suites apportées à leur demande.

43. En défense, la société fait valoir que la majeure partie des 37 demandes d’effacement en cause (la société avançant le chiffre de 19 dans le cadre de ses premières observations, puis le chiffre de 22 dans le cadre de ses secondes observations) concernaient des candidats non présélectionnés, dont les données avaient été automatiquement supprimées à l’issue d’un délai de 60 jours suivant la réception de leur candidature. Ainsi, seules 15 demandes concernaient des candidats ayant effectivement poursuivi le processus de recrutement auprès de la société.

44. Dans sa réponse, la rapporteure relevait par ailleurs, s’agissant des demandes d’effacement initialement incluses dans son rapport pour le manquement aux articles 12 et 17 du RGPD examiné supra, qu’à supposer qu’une durée de conservation de 60 jours ait réellement été appliquée de manière automatique aux données des candidats non présélectionnés, la suppression des données des personnes concernées ne dispensait pas la société d’informer ces dernières des suites apportées à leur demande, ce qu’elle n’a pas fait.

45. La formation restreinte rappelle que, comme indiqué précédemment, le fait que les données aient effectivement été effacées est sans incidence sur le fait que la société se devait d’informer les personnes concernées des suites données à leur demande, qu’il y ait été fait droit ou non, ce qu’elle reconnait ne pas avoir fait.

46. S’agissant du volume de personnes concernées par ce manquement, la formation restreinte relève que sur les 265 personnes ayant formé une demande d’effacement en 2024, 166 n’ont pas été informées des suites apportées à leur demande. En effet, aux 37 personnes initialement visées dans le rapport de sanction, s’ajoutent 129 personnes ayant formulé une demande d’effacement au sujet desquelles la société a déclaré, pour 125 d’entre elles, que les données avaient été supprimées à l’issue d’un délai de 60 jours après leur réception et, pour 4 d’entre elles, que certaines données devaient être conservées en application des prescriptions légales et à raison de leur qualité d’ancien salarié. La formation restreinte relève que la société a transmis à la délégation de contrôle l’intégralité des dossiers individuels de demandes d’effacement formées en 2024 ainsi que, le cas échéant, " les réponses qui y ont été apportées ". Or, il ressort de l’examen du dossier individuel de ces 166 personnes qu’aucun de ces dossiers ne contenait de courriel par lequel la société les aurait tenues informées des suites apportées à leur demande, ce que la société ne conteste pas.

47. La formation restreinte relève, au regard de ces éléments, que c’est donc un total de 166 personnes ayant formulé une demande d’effacement en 2024 qui n’ont pas été tenues informées des suites apportées à leur demande dans les délais.

48. La formation restreinte considère que ces faits constituent un manquement à l’article 12 du RGPD.

49. Dans ses dernières observations, la société justifie avoir informé, lorsqu’elle disposait encore des données pour ce faire, l’ensemble des personnes concernées par ce manquement des suites apportées à leur demande. Cette information est intervenue, pour l’immense majorité de ces personnes, par l’envoi d’un courriel le 14 avril 2026, les autres personnes concernées ayant été informées, également par courriel, peu avant ou peu après cette date. Pour les 12 personnes pour lesquelles cette information n’a pas pu être faite, la société a exposé des raisons valables ; en particulier la suppression des données de contact de la personne concernée, l’échec d’envoi du message (boîte de réception pleine ou adresse introuvable) ou encore l’impossibilité d’identifier la personne concernée. Partant, si le manquement reste constitué pour le passé, le prononcé d’une injonction sur ce point n’apparait plus nécessaire.

3. Sur le caractère tardif des réponses communiquées aux personnes concernées s’agissant des suites apportées à leur demande d’exercice des droits (article 12 du RGPD)

50. En droit, conformément à l’article 12, paragraphes 3 et 4 du RGPD, le responsable de traitement est tenu d’apporter une réponse aux demandes d’exercice de droits qui lui sont adressées dans un délai d’un mois. En cas de prolongation de ce délai dans les conditions prévues au paragraphe 3, de même que dans les cas où il n’est pas fait droit à la demande de la personne concernée, cette dernière reçoit une information adaptée à sa situation, dans un délai d’un mois à compter de la réception de sa demande.

51. La rapporteure relève que la société a répondu à au moins 27 demandes d’effacement ainsi qu’à une demande d’accès lui ayant été adressées au cours de l’année 2024, avec des retards pouvant atteindre plusieurs mois.

52. En défense, la société souligne que 10 de ces demandes d’effacement concernaient des candidats non présélectionnés, dont les données avaient été automatiquement supprimées à l’issue d’un délai de 60 jours suivant le dépôt de leur candidature. Ainsi, si elle admet que l’information de ces personnes est bien intervenue tardivement, la société considère que le droit à l’effacement était en pratique déjà respecté pour près d’un tiers d’entre elles. Elle fait en outre valoir que l’une de ces demandes, datée de 2025, serait extérieure au périmètre temporel des faits reprochés dans le rapport, lequel vise les demandes reçues en 2024. La société explique ces retards par le contexte opérationnel difficile auquel elle a été confrontée en 2024, marquée par une désorganisation temporaire de son service juridique, dont a découlé une nécessité de prioriser le traitement des demandes sur l’information des personnes.

53. La formation restreinte prend acte de ce que la demande d’effacement datée de 2025 ne figure pas parmi les 265 demandes d’effacement communiquées à la CNIL à l’issue du contrôle et que les pièces du dossier démontrent qu’il y a en tout état de cause été fait droit.

54. Elle relève ensuite que la société ne conteste pas le manquement et qu’il ne ressort pas des éléments du dossier que celle-ci aurait informé les auteurs de ces demandes de difficultés qui auraient justifié une prolongation du délai d’un mois fixé à l’article 12, paragraphe 3 du RGPD. Partant, la société aurait dû informer ces personnes des suites apportées dans le délai d’un mois prévu à cette disposition.

55. Or, la formation restreinte note qu’il ressort des dossiers individuels de demandes d’exercice des droits, comme des indications du tableau de suivi des demandes d’effacement, que ce sont donc 26 demandes d’effacement (et non 27 - compte tenu de ce qui est mentionné au paragraphe 53 ci-dessus) qui ont donné lieu à une information des personnes avec des retards pouvant atteindre plus de cinq à six mois. En outre, une demande d’accès aux données reçue par la société en 2024 a donné lieu à l’information de la personne concernée des suites qui y avaient été apportées, avec plus d’un an de retard.

56. La formation restreinte rappelle que l’obligation de réponse aux demandes d’exercice des droits reçues par un responsable de traitement dans un délai d’un mois à compter de leur réception constitue une obligation autonome, qui ne saurait être compensée par l’effacement automatique des données. Partant, le fait que les données de 10 des 26 personnes concernées aient été effacées 60 jours après leur réception, selon ce qu’indique la société, ne dispensait pas cette dernière d’apporter une réponse à ces demandes, ce qu’elle a fait tardivement pour l’intégralité de ces 26 demandes.

57. La formation restreinte considère que ces faits constituent un manquement à l’article 12 du RGPD, dans la mesure où 26 personnes ayant formulé une demande d’effacement et une personne ayant formulé une demande d’accès ont été informées des mesures prises à la suite de leur demande hors du délai d’un mois prévu par cet article.

D. Sur le manquement à l’obligation de transparence et d’information à l’égard des salariés

58. En droit, l’article 13, paragraphe 1, du RGPD impose au responsable de traitement de fournir à la personne concernée, au moment où les données sont collectées auprès d’elle, différentes informations relatives notamment à son identité et à ses coordonnées, aux finalités du traitement mis en œuvre, à sa base juridique, aux destinataires ou aux catégories de destinataires des données ou encore au fait que le responsable de traitement a l’intention d’effectuer un transfert de données vers un pays tiers.

59. L’article 13, paragraphe 2, du RGPD impose en outre, pour garantir un traitement équitable et transparent des données personnelles, d’informer les personnes de la durée de conservation des données, de l’existence des droits dont elles bénéficient, de l’existence du droit de retirer son consentement à tout moment et de celui d’introduire une réclamation auprès d’une autorité de contrôle.

60. Dans son rapport, la rapporteure relevait que l’information fournie aux nouveaux salariés de la société dans l’" attestation sur les traitements des données personnelles " qui leur est remise concernant le traitement de leurs données, notamment à des fins de gestion du personnel, ne contenait pas de mention relative à la durée de conservation des données. Au regard de la documentation et des explications fournies par la société en défense, la rapporteure, dans sa réponse et lors de la séance, a indiqué abandonner ce manquement.

61. La formation restreinte constate dès lors que le manquement n’est plus soutenu par la rapporteure et qu’il n’est en tout état de cause pas caractérisé.

III. SUR LES MESURES CORRECTRICES

62. L’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;

[…]

7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".

L’article 83 du RGPD, tel que visé par l’article 20, paragraphe IV, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.

63. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publiques les mesures qu’elle prend ".

A. Sur le prononcé d’une amende administrative et son montant

64. La formation restreinte rappelle qu’il convient d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant.

1. Sur le prononcé d’une amende administrative

65. La rapporteure propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements constitués aux articles 12 et 17 du RGPD.

66. En défense, la société fait valoir que la gravité des manquements est limitée, puisqu’une majorité des demandes d’effacement identifiées par la rapporteure comme n’ayant pas été traitées, en méconnaissance de l’article 17 du RGPD, concernait des personnes dont les données avaient déjà été supprimées à l’issue d’un délai de 60 jours. Elle estime que cette circonstance doit être prise en compte et que les manquements subsistants au titre de l’article 12 du RGPD concernent essentiellement l’absence ou l’insuffisance d’information adressée aux personnes concernées quant aux suites apportées à leur demande. Par ailleurs, la société souligne sa coopération avec les services de la CNIL tout au long de la procédure, le fait que la durée des manquements est limitée à l’année 2024, de même que sa proactivité à mettre en œuvre des mesures correctives.

67. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation ait été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.

68. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’article 83, paragraphe 2, a) du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée ou de la finalité des traitements concernés ainsi que du nombre de personnes concernées.

69. La formation restreinte relève, tout d’abord, que les manquements aux articles 12 et 17 du RGPD entrent dans les prévisions de l’article 83, paragraphe 5 du RGPD et sont ainsi susceptibles d’être sanctionnés par l’amende la plus élevée prévue par le législateur européen, soit 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % de son chiffre d’affaires, prévision qui témoigne à elle seule de la gravité des violations en cause.

70. La formation restreinte souligne que les manquements commis par la société relèvent des principes fondamentaux de la protection des données à caractère personnel et portent atteinte aux droits des personnes. Elle souligne que le respect du droit à l’effacement et du principe de transparence sont primordiaux pour permettre aux personnes de conserver la maîtrise de leurs données, en leur garantissant que celles-ci ne sont pas conservées plus longtemps que nécessaire et, en tout état de cause, en les informant du traitement qui leur est réservé, lorsque les personnes formulent une demande en ce sens.

71. La formation restreinte souhaite insister sur le nombre important de personnes concernées par les manquements relevés en matière d’exercice du droit à l’effacement. En effet, même après stabilisation définitive par la société du nombre de demandes ayant fait l’objet d’un effacement à l’issue d’un délai de 60 jours, ce sont au total 204 demandes d’effacement qui n’ont pas été correctement traitées sur la seule année 2024, soit parce que ces demandes n’ont pas été traitées (12), soit parce que les personnes concernées n’ont pas été tenues informées des suites apportées à leur demande (166) ou l’ont été hors délai (26). Au total, ce sont donc plus des trois quarts des demandes d’exercice du droit à l’effacement reçues en 2024 qui n’ont pas été traitées ou ne l’ont pas été de manière satisfaisante par la société EXTIA.

72. La formation restreinte considère que le fait que l’essentiel des données dont les personnes ont demandé l’effacement avaient, en pratique, déjà été supprimées est sans incidence sur l’existence de manquements, dont seul le périmètre varie en partie. En effet, d’une part, pour la quasi-totalité de ces demandes (à savoir 129 sur 133), un manquement à l’information des personnes demeure caractérisé. D’autre part, la formation restreinte entend souligner que la suppression automatique des données de 125 candidats non présélectionnés à l’issue d’un délai de 60 jours, avancée par la société pour tenter de minimiser sa responsabilité, ne saurait masquer la circonstance qu’aucune de ces 125 demandes n’a été à proprement parler examinée par la société au moment de sa réception.

73. Enfin, ainsi que l’a relevé la rapporteure, les manquements à l’obligation de répondre aux demandes d’exercice des droits se sont inscrits dans la durée. En effet, la société avait déjà fait l’objet de deux rappels à la loi de la CNIL aux mois d’avril et de juin 2024 afin de lui rappeler ses obligations en matière de traitement des demandes d’exercice des droits. Pourtant, à la date du contrôle sur place, le 10 avril 2025, plus des trois quarts des demandes d’exercice des droits reçues en 2024 n’avaient pas été traitées correctement, voire pas traitées du tout. Cette situation perdurait, à tout le moins en ce qui concerne l’absence d’information des personnes concernant les suites apportées à leur demande, à la date d’envoi du rapport de sanction, le 12 mars 2026.

74. D’une manière générale, la formation restreinte relève que, si la société affirme avoir mis en place, depuis décembre 2024, une nouvelle organisation destinée à permettre d’apporter une réponse aux demandes d’exercice des droits dans les délais imposés par le RGPD, cette mesure n’avait pas démontré son efficacité au jour du contrôle. Elle note au demeurant que les personnes ayant formé une demande d’effacement en 2024 et identifiées par la rapporteure comme n’ayant pas été informées des suites apportées à leur demande, ne l’ont été, pour l’immense majorité d’entre-elles, qu’après la notification du rapport de sanction.

75. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.

76. La formation restreinte souligne que le nombre de personnes concernées par les manquements aux demandes d’exercice des droits révèle une particulière négligence de la part de la société. Elle rappelle en effet que ce sont plus de 200 demandes qui ont matérialisé des manquements au RGPD, que ce soit en raison de leur traitement tardif, de l’absence d’information des personnes concernées ou d’une absence totale de traitement.

77. Or, comme cela a été indiqué, la société avait déjà été rappelée à la loi par deux fois au sujet des obligations qui lui incombent en matière de respect des demandes d’exercice des droits. Lors de la séance devant la formation restreinte, la société a reconnu avoir tardé à réagir face à une situation qui avait pourtant déjà donné lieu à deux rappels à la loi de la part de la CNIL en 2024.

78. Ces faits témoignent d’une négligence certaine dans le respect des règles relatives à la protection des données. Cette négligence est d’autant plus caractérisée que la société dispose des ressources nécessaires, telles que l’existence d’une équipe interne et d’une procédure, dédiées à la gestion des demandes d’exercice de droits qui lui parviennent de la part de candidats et, plus ponctuellement, d’anciens salariés.

79. En troisième lieu, s’agissant de la coopération particulière dont la société indique avoir fait preuve avec la CNIL, la formation restreinte relève que la société a fourni tardivement des informations essentielles aux investigations menées – celles-ci ayant été données au stade de ses observations en défense, en vue de contester les manquements relevés dans le rapport – et que certaines de ces informations étaient insuffisamment étayées. A cet égard, la formation restreinte rappelle, ainsi que l’a relevé la rapporteure, que l’article 5, paragraphe 2 du RGPD pose un principe de responsabilité du responsable de traitement en vertu duquel ce dernier doit être en mesure de démontrer qu’il respecte le principe de transparence, lequel inclut notamment l’information des personnes concernées relative aux modalités d’exercice de leurs droits (considérant 39 du RGPD). Elle relève également que les chiffres avancés par la société ont varié entre ses premières et ses secondes observations, cette évolution permettant de douter de la minutie avec laquelle la société a vérifié, à la réception du rapport de sanction, le sort qui avait été réservé aux demandes concernées par les manquements relevés dans le rapport. La formation restreinte souligne par ailleurs que c’est dans le cadre de ses observations du 8 juin 2026 que la société démontre avoir adopté certaines mesures de mise en conformité, tel l’envoi de courriels électroniques informant les personnes concernées par le manquement à l’information des suites apportées à leur demande, formée en 2024.

80. Partant, la formation restreinte considère que la société n’a pas fait preuve d’une particulière coopération avec la CNIL qui justifierait d’être prise en compte au titre des circonstances atténuantes, étant rappelé qu’en application de l’article 31 du RGPD, le responsable de traitement " [coopère] avec l’autorité de contrôle, à la demande de celle-ci, dans l’exécution de ses missions ". A cet égard, les lignes directrices 04/2022 du Comité européen de la protection des données sur le calcul des amendes administratives au titre du RGPD rappellent que le responsable de traitement " est soumis à une obligation de coopération générale en vertu de l’article 31 du RGPD (…). Il convient donc de considérer que le devoir ordinaire de coopération est obligatoire et que ce facteur doit donc être réputé neutre (et non considéré comme un facteur atténuant) " (point 96).

81. Enfin, tout en tenant compte de ce que la société a, à ce jour, adopté des mesures permettant d’assurer sa mise en conformité, la formation restreinte relève que ces actions font suite, pour l’essentiel, à l’engagement d’une procédure de sanction et, qu’en tout état de cause, elles n’exonèrent pas la société de sa responsabilité pour les faits passés.

82. L’ensemble de ces éléments justifie qu’une sanction financière soit prononcée.

83. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 12 et 17 du RGPD.

2. Sur le montant de l’amende administrative

84. En défense, la société sollicite la réduction substantielle du montant de l’amende proposée compte tenu, notamment, de l’abandon du manquement à l’article 13 du RGPD, de " l’évolution importante du grief fondé sur l’article 17 du RGPD ", de sa coopération avec les services de la CNIL et de sa proactivité pour adopter des mesures correctives, ainsi que de la réalité de son bénéfice pour l’année 2024.

85. La formation restreinte relève que les manquements relatifs aux articles 12 et 17 du RGPD sont des manquements à des principes fondamentaux du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu.

86. Elle rappelle ensuite que la situation financière de la société doit également être prise en compte. Elle relève à cet égard que le chiffre d’affaires de la société EXTIA s’élevait à […] pour un résultat net de […] en 2024, à […] pour un résultat net de […] en 2023 et que son chiffre d’affaires provisoire pour l’exercice 2025 s’élève à […]. La formation restreinte note que la société annonce des chiffres d’affaires bien supérieurs sur son site internet pour les années 2023 […], 2024 et 2025 […]. Interrogée sur ce point lors de la séance devant la formation restreinte, la société a précisé que les chiffres d’affaires annoncés sur son site internet correspondaient au chiffre d’affaires mondial réalisé par EXTIA, et que ceux annoncés dans les bilans communiqués à la CNIL correspondaient au chiffre d’affaires réalisé par EXTIA en France. Elle rappelle enfin que les amendes administratives doivent être dissuasives et proportionnées.

87. Ainsi, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte considère qu’une amende administrative d’un montant de trois cent mille (300 000) euros pour sanctionner les manquements aux articles 12 et 17 du RGPD apparaît dissuasive et proportionnée.

B. Sur le prononcé d’une injonction

88. Dans son rapport, la rapporteure proposait à la formation restreinte de prononcer à l’encontre de la société une injonction de mettre en conformité les traitements en cause avec les dispositions des articles 12, 13 et 17 du RGPD, assortie d’une astreinte.

89. Dans ses dernières observations, la société produit des justificatifs démontrant que les données des personnes concernées par les manquements ont été supprimées et que celles-ci ont été informées des suites apportées à leur demande, lorsque cela était matériellement possible.

90. Dans le courrier informant la société de la clôture de l’instruction, puis lors de la séance du 2 juillet 2026, la rapporteure a précisé que, compte tenu des mesures qu’EXTIA justifie avoir mises en œuvre, elle estime qu’il n’y a plus lieu de solliciter le prononcé d’une injonction en lien avec les articles 12 et 17 du RGPD. En outre, la rapporteure ayant confirmé l’abandon du manquement à l’article 13 du RGPD dans le cadre de la réponse rapporteure et lors de la séance, et celui-ci n’étant pas constitué, il n’y a pas lieu au prononcé d’une injonction au titre de l’article 13 du RGPD.

91. Compte tenu des éléments développés ci-avant et de la mise en conformité de la société s’agissant des manquements relevés, la formation restreinte considère qu’il n’y a pas lieu au prononcé d’une injonction.

C. Sur la publicité de la sanction

92. En défense, la société soutient que la publication de la décision serait disproportionnée, en particulier au regard de sa coopération dans le cadre de la procédure, du fait que la plupart des demandes d’effacement étaient en réalité sans objet compte tenu de la suppression des données déjà intervenue, ainsi que des mesures de remédiation qu’elle a mises en œuvre. Elle fait valoir qu’une telle publication est susceptible de porter une atteinte grave à sa réputation, ainsi qu’à la relation de confiance nouée avec ses clients et partenaires, sur laquelle repose son modèle économique.

93. La formation restreinte relève que les manquements constatés concernent un nombre très important de personnes proportionnellement au nombre de demandes d’effacement reçues en 2024, et que la suppression automatique des données de certains candidats n’a pas modifié la volumétrie des personnes concernées par des manquements à l’exercice des droits. La formation restreinte rappelle également, ainsi que l’a relevé la rapporteure, que la société avait déjà été rappelée à la loi par la CNIL sans en tirer les conséquences qui s’imposaient.

94. Au regard de ces éléments, la formation restreinte considère qu’une mesure de publicité se justifie. Elle estime que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

- prononcer à l’encontre de la société EXTIA, une amende administrative d’un montant de trois cent mille (300 000) euros pour les manquements constitués aux articles 12 et 17 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.

Le Président

Philippe-Pierre CABOURDIN

Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.