GuiGui's Show

Extia est une entreprise de services du numérique (ESN) d’environ 2 000 salariés. Dans ce cadre-là, elle conduit de nombreux recrutements de personnels pour les placer auprès de ses clients.

Suite à des plaintes, et dans le cadre de l’action coordonnée européenne 2025 (que nous avons lourdement critiqué), la CNIL a contrôlé, en avril 2025, son respect des droits à l’effacement et à l’information pour l’année 2024.

[…]

Cette séance était très confuse, la CNIL se référant visiblement à un premier rapport de sanction, contenant des chiffres différents du deuxième rapport, auquel Extia se référait. Ce faisant, il était très difficile de suivre de quels chiffres et griefs il était question dans chaque propos. Nous avons nous-même eu du mal à suivre et nous espérons vous en restituer une version fidèle.

[…]

La Rapporteure de la CNIL a soulevé les griefs suivants :

• [La CNIL] reprochait initialement à Extia ne de pas avoir traité 145 demande d’effacement, dont 125 émanant de candidats à l’embauche qui n’avaient pas été retenus. Après échanges avec l’entreprise et un second rapport de sanction, ce chiffre aura été ramené à 12.
  
  
• La CNIL aurait rappelé ses obligations à Extia à deux reprises, qui n’a entrepris aucun changement avant réception du rapport de sanction.

[…]

En conséquence, la Rapporteure a proposé que les mesures correctrices soient une amende de 400 000 d’amende et la publicité de la décision.

En défense, l’ESN a soulevé les points suivants :

• Contextualisation : au regard des recommandations de la CNIL indiquant une possible conservation des données de candidature pendant deux ans, le nouveau DPO décide d’informer automatiquement les candidats sur la durée de conservation. Le courriel consigne une durée erronée de conservation de deux ans au lieu des soixante jours réellement mis en œuvre (la bonne information a été délivrée en avril 2026, après le rapport de sanction).
  
  
• Cette information des candidats génère une surcharge de demandes d’exercice de droits (15 fois plus de demandes d’exercice de droits que la moyenne du secteur d’activité), mais les candidats n’ont subi aucun préjudice, au moins pour les demandes de suppression. Les données personnelles avaient en effet été bien supprimées, mais les équipes conformité avaient omis de répondre aux personnes concernées pour les informer de la suppression de leurs données ;
  
  
• L’instruction de la CNIL a été peu qualitative. Aucune investigation réalisée lors du contrôle. Le dossier passe de 145 demandes d’effacement non-traitées à 12, de 166 demandes d’information non-traitées à 37. Le contradictoire n’est intervenu qu’après la remise du rapport de sanction. L’instruction se fait en réalité durant le débat devant la formation restreinte (sur le nombre de demandes non-traitées, sur la nature des différentes demandes d’exercices de droit, etc.), ce qui n’est pas supposé être son rôle. […]

[…]

Pour PURR, ce dossier, qui témoigne d’un emportement et d’une démesure de la CNIL, n’aurait jamais dû être examiné par la formation restreinte au regard des nombreuses autres plaintes bien plus graves dont est saisie la CNIL et qui ne font pourtant même pas l’objet d’une mesure correctrice quelle qu’elle soit.

[…]

Nous constatons également ici une faible qualité de l’instruction, voire son absence totale. Ceci transparaît aussi régulièrement dans nos dossiers. En séance, la CNIL a vanté la célérité de son instruction ; nous la qualifions ici de précipitation.

L’amende requise est disproportionnée en comparaison, par exemple, de celle proposée pour l’Hôpital privé de la Loire (400 000 euros versus 350 000 pour des manquements plus grave) ou de celle imposée à Kaspr (240 000 euros pour un « modèle d’affaires […] repos[ant] sur la violation de dispositions majeures du RGPD »).