En effet, sur les 265 demandes d’effacement reçues par la société en 2024, qui émanaient majoritairement de candidats et, ponctuellement, d’anciens salariés, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante.
[…]
La formation restreinte a relevé que 12 demandes d’effacement reçues par la société en 2024 n’avaient pas été traitées. Elle a estimé que ce manquement avait porté atteinte aux droits de ces personnes, y compris à celui de conserver la maîtrise de leurs données.
[…]
La formation restreinte a considéré que la société avait manqué à son obligation d’informer les personnes ayant demandé l’’effacement de leurs données.
Elle a relevé que 166 personnes ayant fait une demande d’effacement en 2024 n’avaient pas été informées des suites apportées à celle-ci. 27 autres personnes avaient reçu tardivement cette information (hors du délai légal d’un mois), avec des retards pouvant atteindre plusieurs mois.
Si la société a contesté la gravité du manquement, en affirmant qu’un grand nombre de ces demandes concernaient des candidats dont les données avaient été automatiquement supprimées, la formation restreinte a rappelé que cette suppression automatique ne dispensait pas la société d’informer ces candidats des suites apportées à leur demandes.
La semaine dernière, une amende de 500 000 € a été prononcée par la CNIL contre quatre cliniques pour des défauts de sécurité ayant facilité une exfiltration de données de 500 000 patients. À présent, une amende de 300 000 € est prononcée pour une gestion peu sérieuse des demandes de suppression des données de 200 personnes.
L’écart entre ces sanctions est faible au regard du nombre de personnes concernées (200 contre 500 000) et des conséquences des manquements (les données liées à une candidature contre des données de santé).
Les manquements de la société EXTIA ne méritaient pas une telle sanction et la CNIL a probablement mieux à faire, compte tenu du contexte actuel, que de recourir à sa formation restreinte pour un tel cas. La procédure simplifiée avec une amende de 20 000 € aurait été plus justifiée.
Je suis mitigé…
D'un côté, les DPO qui ne répondent pas à des demandes RGPD, c'est très fréquent, très pénible, et l'article 83(5)b du RGPD prévoit le plus haut montant d'amende pour ce type de manquements, donc envoyer un signal pour calmer le jeu est une bonne idée.
D'un autre côté, comme PURR ou eWatchers (supra), je pense que la CNIL se décrédibilise (si c'est encore possible 😑️) en ne prescrivant pas des mesures correctrices proportionnées au sein d'une échelle des sanctions cohérente : 500 k€ pour un hôpital ou 240 k€ pour « tout le modèle d’affaires de la société [Kaspr] repose sur la violation de dispositions majeures du RGPD », cela n'a que peu de sens si une absence de réponse à quelques centaines de demandes RGPD coûte 300 k€.