Le droit à l’effacement (RGPD) a été la thématique prioritaire 2025 du cadre d’application coordonné entre la CNIL et le CEPD. La séance restreinte du 2 juillet 2026, dont le compte rendu a été publié le 10 juillet par l’AFCDP, en offre une illustration concrète : un cabinet de conseil IT de plus de 2 000 salariés pourrait être condamné à une amende de 450 000 € pour des manquements qui auraient pu être évités avec une organisation basique de traitement des droits.
Droit à l’effacement et RGPD : les manquements reprochés à la société
Le dossier présenté par le rapporteur de la CNIL porte sur cinq manquements distincts, tous liés à la gestion des données de candidats — un rappel utile que les obligations sur les durées de conservation en recrutement ne sont pas qu’une recommandation théorique :
- Art. 17 RGPD — 145 demandes d’effacement reçues et non traitées. Ces demandes ont été identifiées lors d’un contrôle sur place réalisé en avril 2025 sur le traitement des demandes reçues en 2024. Elles étaient restées sans traitement malgré leur réception.
- Art. 12 RGPD — Défaut et retard d’information. Aucune information sur le droit à l’effacement n’était communiquée aux candidats. Dans 16 cas, l’information a été transmise avec plusieurs mois de retard.
- Désinformation active. Le service juridique de la société avait mis en place une lettre automatisée indiquant un délai de conservation des CV de 2 ans. La réalité était une destruction après 60 jours — à l’exception de 147 dossiers spécifiques. Les candidats recevaient donc une information inexacte sur le traitement de leurs données.
- Mise en conformité tardive. La société n’a agi qu’à la réception du rapport de sanction, malgré deux rappels à l’ordre préalables de la CNIL.
- Difficultés à produire les éléments. L’entreprise a eu du mal à réunir les chiffres définitifs et à décrire ses propres processus internes lors de la procédure.
Ce que la défense a mis en avant — et ses limites
L’entreprise, représentée par un cabinet d’avocat externe, a contesté plusieurs points :
- Le recours à la procédure ordinaire plutôt que simplifiée.
- Le refus du huis clos.
- Le montant de l’amende, jugé disproportionné : les 145 demandes non traitées représentent moins de 0,16 % des 100 000 candidatures annuelles de la société, sans avantage économique identifié et sans fuite de données.
- La publicité de la décision, contestée en l’absence de fraude ou d’enrichissement.
Ces arguments classiques de défense ont été examinés par la formation restreinte. Un commissaire a demandé le chiffre d’affaires 2025 pour apprécier la proportionnalité de l’amende. Le délibéré n’était pas attendu avant fin juillet 2026 : à la date de publication de cet article, la sanction n’est pas encore prononcée — les montants évoqués ici sont ceux sollicités par le rapporteur, non un montant définitif.
Le signal le plus fort : l’absence de DPO
L’observation la plus marquante du compte rendu est celle-ci : aucun DPO n’a été mentionné dans la présentation de la société lors de la séance. Pour un cabinet de conseil IT de plus de 2 000 collaborateurs, la désignation d’un DPO est très probablement obligatoire au titre de l’article 37 du RGPD (traitement à grande échelle dans le cadre de l’activité principale). L’absence de DPO visible dans la gestion du dossier est un facteur aggravant implicite.
Check-list opérationnelle : éviter ce type de sanction
- Mettre en place un canal unique de réception des demandes d’exercice de droits, tracé et horodaté, avec accusé de réception automatique.
- Vérifier la cohérence entre les durées de conservation affichées et les durées réelles. Une divergence entre ce que vous dites faire et ce que vous faites réellement est la forme la plus grave de manquement à la transparence.
- Ne pas attendre la mise en demeure pour agir. La CNIL a envoyé deux rappels à l’ordre avant ce dossier. Chaque rappel non suivi d’effet est un facteur aggravant documenté dans le dossier de sanction.
- Désigner un DPO si vous traitez des données personnelles à grande échelle dans le cadre de votre activité principale. Vérifier si votre organisation entre dans les critères de l’article 37 RGPD.
- Documenter votre processus de traitement des droits pour pouvoir le présenter clairement lors d’un contrôle CNIL.
Votre processus de traitement du droit à l’effacement est-il en ordre ? Faisons le point ensemble !
FAQ — Droit à l’effacement RGPD et séance restreinte CNIL
Qu’est-ce que le droit à l’effacement RGPD (article 17) ?
L’article 17 du RGPD reconnaît aux personnes concernées le droit d’obtenir l’effacement de leurs données personnelles dans plusieurs cas : données plus nécessaires à la finalité, retrait du consentement, opposition fondée, données illicitement traitées. L’organisation dispose d’un mois pour répondre, prolongeable de deux mois pour les demandes complexes.
Le droit à l’effacement est-il absolu ?
Non. L’article 17.3 RGPD prévoit des exceptions : obligation légale de conservation (comptabilité, litiges en cours), intérêt public, liberté d’expression et d’information. Ces exceptions doivent être documentées et proportionnées. En matière de recrutement, elles permettent par exemple de conserver des données le temps d’un recours potentiel d’un candidat, mais pas indéfiniment.
Quand le droit à l’effacement est-il obligatoire en matière de recrutement ?
La CNIL recommande de conserver les données des candidats non retenus pendant deux ans maximum après le dernier contact. Passé ce délai, ou dès que le candidat exerce son droit à l’effacement sans qu’une exception ne s’applique, les données doivent être supprimées. Une politique de conservation claire et documentée est indispensable.
Quelles sont les conséquences si l’entreprise ne répond pas à une demande d’effacement ?
Toute absence de réponse dans le délai légal constitue une violation du RGPD. La personne peut saisir la CNIL, qui peut alors contrôler l’organisation et engager une procédure de sanction. La CNIL peut aussi se saisir d’office (comme dans cette affaire, suite à un contrôle sur place). Les sanctions peuvent aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
Un DPO aurait-il évité cette situation ?
Difficile à affirmer avec certitude, mais un DPO aurait eu pour mission de mettre en place et surveiller exactement le type de processus qui a fait défaut : canal de réception des demandes, suivi des délais, cohérence entre politique affichée et pratique réelle, et alerte interne en cas de dysfonctionnement. Son absence visible dans ce dossier est un signal fort.
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
La séance restreinte CNIL du 2 juillet 2026 illustre comment des manquements organisationnels basiques sur le droit à l’effacement RGPD peuvent conduire à une sanction potentielle de 450 000 € : 145 demandes non traitées, une lettre automatisée trompeuse sur les durées de conservation, aucun DPO visible. Le délibéré est attendu fin juillet 2026. La leçon pratique est claire : le traitement des droits doit être un processus tracé, testé et cohérent avec les politiques affichées.
Sources
- Séance restreinte CNIL du 2 juillet 2026 — CR AFCDP par Guylaine Bulot Pancrate et Philippe Lumineau, 10 juillet 2026
- Les droits pour maîtriser vos données personnelles — CNIL
- Article 17 RGPD — Droit à l’effacement — CNIL
- Droit à l’effacement : bilan des contrôles CNIL — action coordonnée européenne 2025
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
