Une sanction qui ne porte ni sur une fuite, ni sur une faille La CNIL a sanctionné une société de conseil en informatique d'une amende de 300 000 euros, par une délibération du 21 juillet 2026. Le dossier est intéressant parce qu'il ne concerne aucun incident de sécurité. Il concerne la gestion ordinaire, presque administrative, des demandes d'effacement. Le contrôle date d'avril 2025. Il s'inscrit dans l'action coordonnée menée au niveau européen sur le droit à l'effacement. Les chiffres du dossier En 2024, l'entreprise a reçu 265 demandes d'effacement. Des candidats, pour la plupart. Plus des trois quarts n'ont pas été traitées de manière satisfaisante. Dans le détail : 12 demandes n'ont tout simplement pas été traitées. 166 personnes n'ont jamais été informées des suites données à leur demande. 27 autres l'ont été avec plusieurs mois de retard. Les manquements retenus portent sur les articles 12 et 17 du RGPD. Pour fixer le montant, la CNIL a tenu compte du nombre de personnes concernées, de la méconnaissance de principes essentiels, et de deux rappels à ses obligations adressés précédemment à l'entreprise. Les mesures correctives engagées pendant la procédure ont aussi été prises en compte. Supprimer ne suffit pas C'est le point que beaucoup d'organisations sous-estiment. L'article 12 impose d'informer la personne des mesures prises à la suite de sa demande, dans un délai d'un mois. Une suppression effectuée en silence reste un manquement, même si la donnée a bien disparu. Les données de candidats sont un angle mort classique. Elles circulent entre l'outil de recrutement, les boîtes mail des recruteurs, les CVthèques partagées, parfois les cabinets partenaires. La demande d'effacement arrive chez le recruteur, rarement chez le DPO. Ce qu'il faut mettre en place Un point d'entrée unique pour toutes les demandes de droits, un horodatage systématique de la réception et de la réponse, et un modèle de réponse qui confirme à la personne les mesures prises. Sans ce registre, impossible de prouver le respect du délai d'un mois. Et c'est précisément ce que la CNIL a compté, demande par demande.
