La formation restreinte de la CNIL a examiné le 2 juillet 2026 le dossier d’un cabinet de conseil informatique de plus de 2 000 salariés, accusé d’avoir laissé sans réponse 145 demandes d’effacement de candidats. La rapporteure a proposé une amende de 450 000 euros, selon l’analyse publiée par le cabinet MDP-Data qui a suivi la séance.
L’affaire illustre l’attention croissante des autorités européennes pour l’article 17 du RGPD, le droit à l’effacement, souvent négligé par les employeurs qui conservent des candidatures. La décision finale, encore attendue, dira si la CNIL suit la sévérité réclamée par sa rapporteure.
Ce que reproche la rapporteure
D’après le compte rendu de MDP-Data, l’entreprise aurait reçu au cours de l’année 2024 quelque 145 demandes d’effacement restées sans suite, un manquement mis au jour lors d’un contrôle sur place mené par la CNIL en avril 2025. Au manquement à l’article 17 s’ajoute, selon la rapporteure, une violation de l’article 12 : l’absence d’information claire des candidats sur leurs droits, avec des retards de plusieurs mois relevés dans seize cas.
La rapporteure a également pointé une communication trompeuse. Un courrier automatique annonçait aux candidats une conservation des CV pendant deux ans, alors que la suppression intervenait en réalité au bout de soixante jours, hors 147 dossiers spécifiques. L’entreprise n’aurait engagé de mesures correctrices qu’à réception du rapport de sanction, malgré deux avertissements antérieurs de la CNIL.
La défense de l’entreprise
Le cabinet a contesté le montant, jugé disproportionné. Les 145 demandes non traitées représenteraient moins de 0,16 % des quelque 100 000 candidatures reçues chaque année, sans avantage économique identifié ni violation de données constatée, a plaidé la société selon MDP-Data.
Un point a particulièrement retenu l’attention lors de la séance : aucun délégué à la protection des données n’a été mentionné dans la présentation de l’entreprise, alors que l’article 37 du RGPD peut rendre sa désignation obligatoire pour les traitements à grande échelle. L’entreprise aurait par ailleurs eu du mal à fournir des chiffres précis et à décrire ses procédures internes.
Un angle mort européen
Le dossier s’inscrit dans une séquence plus large. La CNIL a publié un bilan des contrôles menés dans le cadre de l’action coordonnée européenne consacrée au droit à l’effacement, pilotée par le Comité européen de la protection des données (CEPD). Dans ce cadre, les autorités nationales ont examiné la manière dont les organisations reçoivent et traitent les demandes des personnes concernées.
Le CEPD rappelle que ce droit permet à toute personne d’obtenir la suppression de ses données lorsqu’elles ne sont plus nécessaires. Selon la synthèse de l’autorité française, les principales difficultés observées tiennent à l’identification des demandes, aux délais de réponse et à l’absence de procédures formalisées, autant de faiblesses que la formation restreinte a retrouvées dans le cas du cabinet de conseil.
Ce que la décision pourrait signifier
Si la CNIL confirmait une amende proche des 450 000 euros réclamés, elle enverrait un signal aux employeurs qui accumulent des candidatures sans procédure d’effacement. La sanction viserait non pas une fuite de données spectaculaire, mais un défaut d’organisation dans le traitement des droits, un terrain sur lequel les contrôleurs se montrent de plus en plus exigeants.
Le montant proposé resterait toutefois modeste au regard du plafond du RGPD, fixé à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. À titre de comparaison, la CNIL avait cumulé 487 millions d’euros d’amendes en 2025, tirées par des dossiers cookies et sécurité de grande ampleur. La formation restreinte devrait rendre sa décision définitive dans les semaines suivant la séance, selon le calendrier avancé par MDP-Data.
