Droit à l’effacement : supprimer les données ne suffit pas
Ce qu’il faut retenir
Dans une délibération du 21 juillet 2026, la CNIL a sanctionné la société EXTIA à hauteur de 300.000 euros pour des manquements dans le traitement de demandes d’effacement de données.
La gestion des demandes d’exercice des droits ne se réduit pas à l’exécution technique d’une suppression de données. Dans une délibération du 21 juillet 2026, la CNIL a sanctionné la société EXTIA à hauteur de 300.000 euros pour des manquements dans le traitement de demandes d’exercice des droits, principalement des demandes d’effacement de données. (1)
Supprimer les données ne suffit pas. En application de l’article 12 du RGPD, toute demande d’effacement doit non seulement être examinée mais également être suivie d’une réponse à la personne concernée. Par ailleurs, conformément au principe de responsabilité, le responsable du traitement doit être en mesure de démontrer le respect de ses obligations au moyen d’une documentation cohérente et d’une traçabilité suffisante.
1. Supprimer les données ne suffit pas : toute demande doit être examinée et recevoir une réponse
1.1 L’affaire EXTIA
En 2024, la CNIL a été saisie de plusieurs plaintes faisant état de difficultés rencontrées dans l’exercice du droit d’accès et du droit à l’effacement. Après avoir adressé deux rappels à la loi à EXTIA, puis reçu de nouvelles plaintes, la CNIL a réalisé un contrôle sur place au siège de la société le 10 avril 2025.
EXTIA, société de conseil informatique, avait reçu, au cours de l’année 2024, 265 demandes d’effacement, émanant principalement d’anciens candidats à l’embauche. Au terme de la procédure, la CNIL a considéré que 204 de ces demandes n’avaient pas été correctement traitées : 12 n’avaient pas été traitées, 166 personnes n’avaient pas été informées des suites données à leur demande et 26 personnes avaient reçu une réponse hors délai.
La société EXTIA faisait valoir que, pour de nombreux candidats, les données avaient été supprimées automatiquement à l’expiration d’un délai de 60 jours. Le droit à l’effacement avait, en pratique, été respecté.
La CNIL considère que l’effacement effectif des données ne dispense pas le responsable du traitement d’informer la personne concernée des suites données à sa demande. L’absence de cette information constitue un manquement à l’article 12 du RGPD.
Par ailleurs, 26 demandes d’effacement avaient reçu une réponse tardive, avec des retards pouvant dépasser cinq à six mois, une demande d’accès ayant reçu une réponse avec plus d’un an de retard. La société expliquait ces délais par une désorganisation temporaire de son service juridique et par la nécessité de privilégier le traitement effectif des demandes.
La CNIL écarte cet argument et rappelle que l’obligation de répondre aux demandes d’exercice des droits dans le délai d’un mois constitue une « obligation autonome », qui ne saurait être compensée par l’effacement automatique des données.
1.2 La suppression automatique des données ne remplace pas le traitement de la demande
Le droit à l’effacement prévu à l’article 17 du RGPD, souvent désigné comme « droit à l’oubli », ne se limite pas à la suppression matérielle des données. La suppression effective ou automatique des données ne dispense pas le responsable du traitement d’examiner la demande, d’y répondre et d’informer la personne concernée dans les délais prévus par le RGPD.
Le RGPD distingue en effet entre l’effacement des données et l’obligation de traiter une demande d’exercice de droits. Un mécanisme automatique de purge des données ne constitue pas, à lui seul, un dispositif de gestion des droits RGPD.
Lorsqu’une personne adresse une demande d’effacement, celle-ci doit entrer dans un processus permettant de l’identifier, de déterminer les traitements et données concernés, de vérifier si les conditions de l’effacement sont réunies puis d’adresser une réponse à la personne.
L’article 12.3 impose ainsi au responsable du traitement de fournir à la personne concernée des informations sur les mesures prises à la suite d’une demande d’exercice de ses droits (droits d’accès, de rectification, d’effacement, de portabilité, …) dans un délai d’un mois à compter de sa réception. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes. Dans ce cas, la personne doit être informée de cette prolongation et de ses motifs dans le délai initial d’un mois.
La CNIL relève que le fait que les données aient effectivement été effacées est sans incidence sur l’obligation d’informer les personnes des suites données à leur demande. En l’espèce, elle constate que 166 personnes ayant formulé une demande d’effacement en 2024 n’avaient reçu aucune information sur les suites qui lui avaient été apportées.
En outre, lorsque le responsable du traitement décide de ne pas donner suite à la demande, la personne concernée doit être informée des motifs de son inaction ainsi que de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.
1.3 La conservation de certaines données doit pouvoir être justifiée
Une demande d’effacement ne conduit pas nécessairement à supprimer immédiatement et intégralement toutes les données relatives à une personne. Le RGPD prévoit plusieurs exceptions au droit à l’effacement et certaines obligations légales (comptables, fiscales) peuvent imposer de conserver certaines catégories de données pendant une durée déterminée.
Dans cette affaire, EXTIA invoquait la qualité d’anciens salariés de certaines personnes et l’existence d’obligations de conservation de certaines données.
La formation restreinte admet qu’une conservation puisse être légitime, mais considère que la seule qualité d’ancien salarié ne permet pas de laisser la demande sans traitement. L’entreprise doit être en mesure d’expliquer les motifs justifiant la conservation des données concernées.
La réponse à une demande d’effacement doit donc être individualisée : certaines données peuvent être supprimées tandis que d’autres sont conservées sur un fondement juridique identifié, lequel doit pouvoir être expliqué à la personne.
2. Le principe de responsabilité implique de pouvoir démontrer la conformité au RGPD
Cette décision rappelle que la gestion des droits prévus par le RGPD constitue un processus de conformité à part entière entrant dans le principe de responsabilité (« accountability ») du responsable du traitement. Celui-ci doit non seulement respecter les règles applicables, mais également être en mesure d’en démontrer le respect, en application de l’article 5.2 du RGPD.
La présence d’un outil de suppression automatique de données, d’une équipe chargée de la protection des données ou même d’une procédure interne ne suffit pas si la procédure mise en place ne permet pas de traiter effectivement chaque demande et d’en rapporter la preuve.
2.1 Mettre en place une procédure de gestion des droits comprenant action technique et réponse à la demande
La gestion des droits des personnes fait partie de la conformité au RGPD. En conséquence, les entreprises doivent mettre en place une procédure complète de gestion des droits intégrant, d’une part les opération à effectuer sur les données (effacement de tout ou partie des données), et d’autre part l’examen de la demande et la réponse à la personne concernée. Un processus de traitement des demandes de suppression des données pourrait ainsi supprimer des données conformément à une politique de durée de conservation, tout en laissant l’entreprise en situation de non-conformité si la demande reçue n’est ni enregistrée, ni examinée, ni suivie d’une réponse.
La procédure de gestion des droits se décomposerait en sept étapes, à savoir, pour chaque demande :
1. son enregistrement et sa date de réception ;
2. l’identification de la personne et des traitements concernés ;
3. la transmission aux équipes devant intervenir dans le traitement de la demande ;
4. l’analyse de la demande et des éventuelles exceptions applicables ;
5. l’exécution des opérations nécessaires sur les données ;
6. l’envoi d’une réponse à la personne dans le délai requis ;
7. la conservation d’éléments permettant de démontrer le traitement de la demande.
2.2 Documenter les pratiques appliquées
La délibération concernant la société EXTIA rappelle l'importance de la documentation dans la démonstration de la conformité.
Au cours de la procédure, EXTIA a indiqué qu’une durée de conservation de 60 jours était appliquée aux données de certains candidats. La CNIL relève cependant que cette durée n’avait pas été mentionnée lors du contrôle et qu’elle ne ressortait d’aucun document interne relatif à la gouvernance des données personnelles.
En pratique, il est nécessaire d’assurer la cohérence entre d’une part les durées de conservation, les procédures d’effacement, le traitement des demandes et les décisions prises en cas d’exception et d’autre part les outils, les procédures internes et l’information fournie aux personnes.
2.3 Ne pas attendre un contrôle pour corriger les procédures en place
La société EXTIA avait adopté plusieurs mesures correctrices au cours de la procédure. Même si la CNIL n’a pas prononcé l’injonction initialement envisagée, ces mesures correctrices n’ont toutefois pas fait disparaître la responsabilité de la société liée aux manquements antérieurs.
Dans son évaluation de la sanction, la formation restreinte relève en particulier que plus des trois quarts des demandes d’effacement reçues en 2024 n’avaient pas été traitées ou l’avaient été de manière insatisfaisante. Elle tient également compte des deux rappels à la loi adressés auparavant à la société et relève une « particulière négligence » compte tenu du nombre de personnes concernées et du caractère répété des manquements.
La décision montre ainsi qu’une mise en conformité intervenue après l’ouverture d’une procédure de sanction peut conduire la CNIL à limiter certaines mesures correctrices, sans pour autant ignorer les manquements passés ni exclure le prononcé d’une sanction financière.
* * * * * * * * * * *
(1) CNIL, Délibération de la formation restreinte n°SAN – 2026-010 du 21 juillet 2026 concernant la société EXTIA
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
Septembre 2026