Le 21 juillet 2026, la CNIL a sanctionné une société spécialisée dans les métiers de l’informatique et de l’ingénierie, qui recrute des consultants qu’elle affecte à divers projets techniques auprès de ses entreprises clientes, d’une amende de 300 000 euros pour divers manquements relatifs au respect des droits des personnes, notamment du droit à l’effacement des données personnelles (« droit à l’oubli »).
En 2024, la CNIL a reçu plusieurs plaintes d’anciens salariés ou candidats, relatives aux difficultés rencontrées dans l’exercice de leur droit à l’effacement ou « droit à l’oubli » (article 17 du règlement général sur la protection des données).
En vue d’instruire ces plaintes, et dans le cadre également de l’action coordonnée (CEF) « droit à l’effacement » lancée à l’initiative du Comité européen de la protection des données en 2025, un contrôle de la société a été réalisé en avril 2025. Il a mis en évidence des manquements à plusieurs obligations prévues par le RGPD en matière de transparence et de respect des droits des personnes.
En effet, sur les 265 demandes d’effacement reçues par la société en 2024, qui émanaient majoritairement de candidats et, ponctuellement, d’anciens salariés, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante.
Anciens candidats
La société se défend en expliquant que pour une majorité d’entre elles, concernant des candidatures spontanées n’ayant pas été retenues, la procédure interne prévoyait un effacement automatique des données au bout de 60 jours. Elle admet cependant avoir manqué à son obligation d’informer les personnes concernées.
La Cnil retient finalement que douze demandes d’effacement reçues en 2024 n’ont pas été traitées, ce qui caractérise, avec l’absence d’information qui en a découlé, un manquement aux dispositions des articles 12 et 17 du RGPD. Elle note toutefois les diligences de la société, les seules données conservées à l’issue de l’intervention de la Cnil étant celles d’anciens salariés conservées pour des raisons légales, et celles de personnes ayant présenté une nouvelle candidature.
Obligation autonome d’information des personnes
En ce qui concerne l’obligation d’information, la Cnil note que « sur les 265 personnes ayant formé une demande d’effacement en 2024, 166 n’ont pas été informées des suites apportées à leur demande ».
Les justifications apportées par la société ‑ le fait qu’une grande partie des données aient été effacées automatiquement ou les motifs légaux de les conserver pour d’anciens salariés ‑ ne dispensaient pas la société d’informer les personnes de la suite donnée à leur demande. Ces faits constituent un manquement à l’article 12 du RGPD. La Cnil note que la société a informé courant 2026 toutes les personnes dont elle avait encore les coordonnées.
Enfin, le contrôle de la Cnil fait apparaître que pour 26 personnes ayant fait des demandes d’effacement, l’information prescrite par l’article 12 du RGPD a été apportée au‑delà du délai légal d’un mois, avec des retards pouvant atteindre cinq ou six mois. Or il s’agit, rappelle la Cnil, d’une « obligation autonome », ne pouvant être compensée par l’effacement automatique des données. Le manquement est caractérisé.
Principe de transparence
Pour déterminer la sanction infligée à la société, la Cnil souligne que « le respect du droit à l’effacement et du principe de transparence est primordial pour permettre aux personnes de conserver la maîtrise de leurs données ». Il s’agit de garantir que leurs données « ne sont pas conservées plus longtemps que nécessaire et, en tout état de cause » de les informer, lorsqu’elles « formulent une demande en ce sens », du « traitement qui leur est réservé ».
Dans cette affaire, « ce sont au total 204 demandes d’effacement qui n’ont pas été correctement traitées sur la seule année 2024 », et pour la plupart, le manquement à l’obligation d’information est caractérisé.
Négligence de la société
La Cnil note que les manquements ont persisté dans la durée, que la société a fait preuve de négligence : elle a « reconnu avoir tardé à réagir face à une situation qui avait pourtant déjà donné lieu à deux rappels à la loi de la part de la Cnil en 2024 ».
La Commission estime que la société n’a pas été spécialement coopérative. Tout en « tenant compte de ce que la société a, à ce jour, adopté des mesures permettant d’assurer sa mise en conformité », elle « relève que ces actions font suite, pour l’essentiel, à l’engagement d’une procédure de sanction ». Elles « n’exonèrent pas la société de sa responsabilité pour les faits passés ».
Une sanction financière de 300 000 euros est donc justifiée, assortie d’une mesure de publicité compte tenu du nombre très important de personnes concernées par les manquements.
Délibération SAN-2026-010 du 21 juillet 2026 : Legifrance