Droit à l'effacement des candidats : la sanction de 300 000 € d'EXTIA rappelle qu'il faut répondre, même si le CV a été supprimé

Imaginez le message : un ancien candidat demande l'effacement de ses données. Le service RH pense que son CV a été supprimé automatiquement de l'outil de recrutement (ATS), et ne répond pas. 

C'est précisément ce comportement que la CNIL à sanctionné : 300 000 euros d'amende pour la société EXTIA. Pour les dirigeants, DRH et responsables du recrutement, la leçon est simple : le RGPD demande de faire, mais aussi d'informer la personne de ce qui a été fait.

L'essentiel

•      Sanction : 300 000 euros, prononcés par la CNIL le 21 juillet 2026 et rendus publics le 9 septembre 2026.

•      Motif principal : des demandes d'effacement de candidats et d'anciens salariés non traitées, ou traitées sans réponse à la personne.

•      Le point qui compte pour vous : supprimer les données, même automatiquement, ne dispense pas de répondre à la personne, dans le délai d'un mois.

Ce que la CNIL a reproché à EXTIA

EXTIA est une société de services informatiques qui recrute des consultants pour les affecter chez ses clients. Après des plaintes de candidats et d'anciens salariés, la CNIL l'a contrôlée en avril 2025, dans le cadre d'une action coordonnée des autorités européennes sur le droit à l'effacement. Le contrôle a porté sur les demandes reçues en 2024 :

•      265 demandes d'effacement reçues, émanant majoritairement de candidats ;

•      plus des trois quarts non traitées, ou traitées de façon insatisfaisante ;

•      12 demandes jamais traitées ;

•      166 personnes jamais informées des suites données à leur demande ;

•      27 réponses tardives, hors du délai d'un mois, avec des retards allant jusqu'à plusieurs mois.

La société a régularisé la situation en cours de procédure, ce que la CNIL a relevé. Elle a néanmoins été sanctionnée, en tenant compte du nombre de personnes concernées et du fait qu'elle avait déjà été rappelée à ses obligations à deux reprises.

Pourquoi la suppression automatique ne suffit pas

EXTIA soutenait qu'un grand nombre de demandes concernaient des candidats dont les données avaient été supprimées automatiquement. La CNIL n'a pas retenu cet argument : la suppression automatique ne dispense pas d'informer la personne des suites données à sa demande.

Le raisonnement est le même pour toute entreprise : le candidat ne voit pas votre ATS. Sans réponse de votre part, il n'a aucun moyen de savoir si sa demande a été prise en compte, et vous n'avez aucun moyen de prouver que vous l'avez traitée.

5 réflexes à mettre en place

1. Identifier la demande, d'où qu'elle vienne

Une demande peut arriver sur une adresse générique, à un recruteur, à un manager ou via un réseau social professionnel. Tous ceux qui sont en contact avec des candidats doivent savoir la reconnaître et la faire remonter.

2. Vérifier toutes les données concernées

CV, échanges de mails, notes d'entretien, évaluations, compte candidat, ATS, sous-traitants : la suppression d'un CV ne signifie pas que tout a disparu.

3. Raisonner donnée par donnée

Le droit à l'effacement n'est pas absolu. Certaines données peuvent devoir être conservées, par exemple pour respecter une obligation légale ou pour défendre vos droits. Ce qui n'a pas de raison d'être conservé doit être effacé.

4. Respecter le délai d'un mois

Répondre ne veut pas dire accepter : un refus total ou partiel est possible, mais il doit être expliqué à la personne.

5. Répondre systématiquement

Même si le CV a déjà été supprimé automatiquement, écrivez au candidat pour lui confirmer ce qui a été fait. Prévoyez un modèle de réponse pour que ce soit rapide.

Le petit audit à faire dès cette semaine

•      Qui reçoit aujourd'hui les demandes RGPD des candidats ?

•      Comment sont-elles enregistrées, et par qui sont-elles traitées ?

•      Comment vérifiez-vous que la suppression est effective dans tous vos outils ?

•      Disposez-vous d'un modèle de réponse au candidat ?

Et une dernière question, moins confortable : si la CNIL vous demandait demain de lui présenter vos demandes d'effacement des 12 derniers mois, pourriez-vous démontrer qu'elles ont toutes été traitées dans les délais ?

Ce n'est pas un sujet réservé au délégué à la protection des données (DPO). Il engage les RH, le recrutement, la DSI et la direction, car c'est l'organisation de toute l'entreprise qui est en cause.

Questions fréquentes

Dois-je répondre à un candidat dont le CV a été supprimé automatiquement ?

Oui. La CNIL a jugé, dans l'affaire EXTIA, que la suppression automatique ne dispense pas d'informer la personne des suites données à sa demande.

De quel délai dispose-t-on pour répondre ?

Un mois. Dans certains cas complexes ou lorsque les demandes sont très nombreuses, le délai peut être prolongé, à condition d'en informer la personne dans le mois.

Peut-on refuser d'effacer les données d'un candidat ?

Oui, si une exception s'applique, par exemple une obligation légale de conservation ou la défense de droits en justice. Le refus doit être expliqué à la personne, avec la possibilité de saisir la CNIL.

Une demande envoyée à un recruteur ou à une adresse générique compte-t-elle ?

Oui. Le délai court dès que l'entreprise reçoit la demande, quel que soit le canal. D'où l'importance de sensibiliser toutes les personnes en contact avec les candidats.

Que faut-il effacer exactement ?

Toutes les données de la personne qui n'ont plus de raison d'être conservées : CV, échanges, évaluations, compte candidat, données présentes dans l'ATS et chez vos prestataires.

Besoin d'un accompagnement ?

Le cabinet L'ABC Avocats, à Brest, accompagne les dirigeants et les équipes RH dans la sécurisation de leurs pratiques de recrutement : procédure de traitement des demandes des candidats, modèles de réponse, sensibilisation des équipes (organisme de formation certifié Qualiopi), en lien avec votre DPO.

Contactez-nous pour vérifier que vos demandes d'effacement seraient défendables devant la CNIL.  

Sources

•      CNIL, « Non-respect des droits des personnes : sanction de 300 000 euros à l'encontre de la société EXTIA », 9 septembre 2026

•      Délibération de la formation restreinte n° SAN-2026-010 du 21 juillet 2026 concernant la société EXTIA (Légifrance)

•      CNIL, « Le droit à l'effacement : supprimer vos données en ligne »