Extia est une entreprise de services du numérique (ESN) d’environ 2 000 salariés. Dans ce cadre-là, elle conduit de nombreux recrutements de personnels pour les placer auprès de ses clients.
Suite à des plaintes, et dans le cadre de l’action coordonnée européenne 2025 (que nous avons lourdement critiqué), la CNIL a contrôlé, en avril 2025, son respect des droits à l’effacement et à l’information pour l’année 2024.
Le 2 juillet 2026, la formation restreinte, l’organe de sanction de la CNIL, s’est penchée sur cette entité. PURR a assisté à la séance.
Note :
-
Cette séance était très confuse, la CNIL se référant visiblement à un premier rapport de sanction, contenant des chiffres différents du deuxième rapport, auquel Extia se référait. Ce faisant, il était très difficile de suivre de quels chiffres et griefs il était question dans chaque propos. Nous avons nous-même eu du mal à suivre et nous espérons vous en restituer une version fidèle.
-
La procédure devant la formation restreinte est essentiellement écrite. Ne sont abordés en audience publique que les points principaux du dossier et en particulier ceux soumis à débat. Notre position dans cet article n’est donc fondée que sur ce qui a pu être exprimé durant l’audience. Le contenu réel du rapport de sanction est peut-être plus vaste.
La Rapporteure de la CNIL a soulevé les griefs suivants :
-
Elle reprochait initialement à Extia ne de pas avoir traité 145 demande d’effacement, dont 125 émanant de candidats à l’embauche qui n’avaient pas été retenus. Après échanges avec l’entreprise et un second rapport de sanction, ce chiffre aura été ramené à 12.
-
Les candidats ont été informés d’une conservation de leurs données indiquée par erreur comme étant de deux ans. La suppression était en réalité automatique au bout de soixante jours, mais cette suppression semblait ignorée du Délégué à la protection des données à caractère personnel (DPO), récemment recruté ;
-
Cette information a généré une vague de demande d’exercice de droit d’un volume sans précédent que les équipes d’Extia ont eu du mal à gérer ;
-
La CNIL considère ici un manquement grave aux principes fondamentaux du RGPD puisque des demandes n’ont pas été traitées ;
-
La CNIL aurait rappelé ses obligations à Extia à deux reprises, qui n’a entrepris aucun changement avant réception du rapport de sanction.
En conséquence, la Rapporteure a proposé que les mesures correctrices soient une amende de 400 000 d’amende et la publicité de la décision.
En défense, l’ESN a soulevé les points suivants :
-
Contextualisation : au regard des recommandations de la CNIL indiquant une possible conservation des données de candidature pendant deux ans, le nouveau DPO décide d’informer automatiquement les candidats sur la durée de conservation. Le courriel consigne une durée erronée de conservation de deux ans au lieu des soixante jours réellement mis en œuvre (la bonne information a été délivrée en avril 2026, après le rapport de sanction).
-
Cette information des candidats génère une surcharge de demandes d’exercice de droits (15 fois plus de demandes d’exercice de droits que la moyenne du secteur d’activité), mais les candidats n’ont subi aucun préjudice, au moins pour les demandes de suppression. Les données personnelles avaient en effet été bien supprimées, mais les équipes conformité avaient omis de répondre aux personnes concernées pour les informer de la suppression de leurs données ;
-
L’instruction de la CNIL a été peu qualitative. Aucune investigation réalisée lors du contrôle. Le dossier passe de 145 demandes d’effacement non-traitées à 12, de 166 demandes d’information non-traitées à 37. Le contradictoire n’est intervenu qu’après la remise du rapport de sanction. L’instruction se fait en réalité durant le débat devant la formation restreinte (sur le nombre de demandes non-traitées, sur la nature des différentes demandes d’exercices de droit, etc.), ce qui n’est pas supposé être son rôle. Le rapport initial est daté du 12 mars 2026 alors que la Rapporteure a été nommée seulement le 4 ;
-
Le montant de l’amende est excessif au regard de la grille théorique du CEPD (Comité européen à la protection des données) et des autres décisions de sanction de la CNIL. La saisine de la formation restreinte ne se justifie pas.
Pour PURR, ce dossier, qui témoigne d’un emportement et d’une démesure de la CNIL, n’aurait jamais dû être examiné par la formation restreinte au regard des nombreuses autres plaintes bien plus graves dont est saisie la CNIL et qui ne font pourtant même pas l’objet d’une mesure correctrice quelle qu’elle soit.
Les faits sont en pratique extrêmement mineurs (une quinzaine de cas sur plusieurs centaines de milliers de candidatures), ont été causés par un courriel d’information, appréciable et bien trop rarement constaté en pratique, qui a entraîné malgré lui une surcharge de travail très importante. Les violations au RGPD sont en réalité quasiment inexistants et n’auraient probablement pas fait l’objet de poursuites, y compris par nos membres, une fois la situation réellement comprise.
Le fait qu’un rapporteur ait été désigné, que le collège de la formation restreinte se soit réuni, est ici totalement incompréhensible et correspond à une perte de temps et de moyens extrêmement dommageable au regard de l’absence de traitement d’autres plaintes bien plus graves et critiques.
La CNIL semble avoir voulu faire un exemple ou s’être enferrée dans une volonté de sanction à tout prix, alors même que le dossier, déjà risible à l’origine, se dégonflait au fur et à mesure des échanges avec le responsable de traitement (Extia).
Nous constatons également ici une faible qualité de l’instruction, voire son absence totale. Ceci transparaît aussi régulièrement dans nos dossiers. En séance, la CNIL a vanté la célérité de son instruction ; nous la qualifions ici de précipitation.
L’amende requise est disproportionnée en comparaison, par exemple, de celle proposée pour l’Hôpital privé de la Loire (400 000 euros versus 350 000 pour des manquements plus grave) ou de celle imposée à Kaspr (240 000 euros pour un « modèle d’affaires […] repos[ant] sur la violation de dispositions majeures du RGPD »).
Ce cas est l’exemple parfait que notre Association milite pour une application juste du RGPD, et non dissuasive à tout prix comme le sous-entend régulièrement la CNIL. En pareil cas, nous n’aurions probalement souhaité aucune sanction une fois informé de la situation. Un simple rappel à la loi, que la CNIL est pourtant habituellement très encline à émettre, y compris pour des cas pourtant extrêmes, nous aurait presque déjà paru disproportionné.