[{"@context":"https:\/\/schema.org\/","@type":"BlogPosting","@id":"https:\/\/mdp-data.com\/droit-effacement-rgpd-seance-restreinte-cnil-juillet-2026\/#BlogPosting","mainEntityOfPage":"https:\/\/mdp-data.com\/droit-effacement-rgpd-seance-restreinte-cnil-juillet-2026\/","headline":"Droit \u00e0 l’effacement et RGPD : les le\u00e7ons de la CNIL","name":"Droit \u00e0 l’effacement et RGPD : les le\u00e7ons de la CNIL","description":"Le 2 juillet 2026, la CNIL a tenu une s\u00e9ance restreinte contre un cabinet de conseil IT de plus de 2 000 salari\u00e9s. Le dossier est \u00e9difiant : 145 demandes d'effacement non trait\u00e9es, des lettres automatiques trompeuses sur la dur\u00e9e de conservation des CV, et aucun DPO mentionn\u00e9 dans la d\u00e9fense. D\u00e9cryptage et check-list op\u00e9rationnelle.","datePublished":"2026-07-23","dateModified":"2026-07-22","author":{"@type":"Person","@id":"https:\/\/mdp-data.com\/author\/mdpdata\/#Person","name":"Christophe SAINT-PIERRE","url":"https:\/\/mdp-data.com\/author\/mdpdata\/","identifier":5,"image":{"@type":"ImageObject","@id":"https:\/\/secure.gravatar.com\/avatar\/dda2b7fb6ebd7d829cda1b55f29137a792e548278c72cf22d119baca5d18707f?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/dda2b7fb6ebd7d829cda1b55f29137a792e548278c72cf22d119baca5d18707f?s=96&d=mm&r=g","height":96,"width":96}},"publisher":{"@type":"Organization","name":"MDP DATA PROTECTION","logo":{"@type":"ImageObject","@id":"https:\/\/mdp-data.com\/wp-content\/uploads\/2025\/12\/2025-MDP-Logo.webp","url":"https:\/\/mdp-data.com\/wp-content\/uploads\/2025\/12\/2025-MDP-Logo.webp","width":600,"height":60}},"image":{"@type":"ImageObject","@id":"https:\/\/mdp-data.com\/wp-content\/uploads\/2026\/07\/droit_effacement_rgpd_demandes_non_traitees_sanction_cnil.jpg","url":"https:\/\/mdp-data.com\/wp-content\/uploads\/2026\/07\/droit_effacement_rgpd_demandes_non_traitees_sanction_cnil.jpg","height":1080,"width":1920},"url":"https:\/\/mdp-data.com\/droit-effacement-rgpd-seance-restreinte-cnil-juillet-2026\/","about":["RGPD"],"wordCount":1625,"keywords":["CNIL","Conformit\u00e9 RGPD","Droit \u00e0 l'effacement","RGPD","Sanctions RGPD"],"articleBody":"Le droit \u00e0 l’effacement (RGPD) a \u00e9t\u00e9 la th\u00e9matique prioritaire 2025 du cadre d’application coordonn\u00e9 entre la CNIL et le CEPD. La s\u00e9ance restreinte du 2 juillet 2026, dont le compte rendu a \u00e9t\u00e9 publi\u00e9 le 10 juillet par l’AFCDP, en offre une illustration concr\u00e8te : un cabinet de conseil IT de plus de 2 000 salari\u00e9s pourrait \u00eatre condamn\u00e9 \u00e0 une amende de 450 000 \u20ac pour des manquements qui auraient pu \u00eatre \u00e9vit\u00e9s avec une organisation basique de traitement des droits.SommaireToggleDroit \u00e0 l’effacement et RGPD : les manquements reproch\u00e9s \u00e0 la soci\u00e9t\u00e9Ce que la d\u00e9fense a mis en avant \u2014 et ses limitesCheck-list op\u00e9rationnelle : \u00e9viter ce type de sanctionFAQ \u2014 Droit \u00e0 l’effacement RGPD et s\u00e9ance restreinte CNILEn r\u00e9sum\u00e9SourcesPour aller plus loinLes solutions MDP Data ProtectionNotre M\u00e9thode : le Continuous Compliance Operating System – CCOS\u00c0 propos de l’auteurDroit \u00e0 l’effacement et RGPD : les manquements reproch\u00e9s \u00e0 la soci\u00e9t\u00e9Le dossier pr\u00e9sent\u00e9 par le rapporteur de la CNIL porte sur cinq manquements distincts, tous li\u00e9s \u00e0 la gestion des donn\u00e9es de candidats \u2014 un rappel utile que les obligations sur les dur\u00e9es de conservation en recrutement ne sont pas qu’une recommandation th\u00e9orique :Art. 17 RGPD \u2014 145 demandes d’effacement re\u00e7ues et non trait\u00e9es. Ces demandes ont \u00e9t\u00e9 identifi\u00e9es lors d’un contr\u00f4le sur place r\u00e9alis\u00e9 en avril 2025 sur le traitement des demandes re\u00e7ues en 2024. Elles \u00e9taient rest\u00e9es sans traitement malgr\u00e9 leur r\u00e9ception.Art. 12 RGPD \u2014 D\u00e9faut et retard d’information. Aucune information sur le droit \u00e0 l’effacement n’\u00e9tait communiqu\u00e9e aux candidats. Dans 16 cas, l’information a \u00e9t\u00e9 transmise avec plusieurs mois de retard.D\u00e9sinformation active. Le service juridique de la soci\u00e9t\u00e9 avait mis en place une lettre automatis\u00e9e indiquant un d\u00e9lai de conservation des CV de 2 ans. La r\u00e9alit\u00e9 \u00e9tait une destruction apr\u00e8s 60 jours \u2014 \u00e0 l’exception de 147 dossiers sp\u00e9cifiques. Les candidats recevaient donc une information inexacte sur le traitement de leurs donn\u00e9es.Mise en conformit\u00e9 tardive. La soci\u00e9t\u00e9 n’a agi qu’\u00e0 la r\u00e9ception du rapport de sanction, malgr\u00e9 deux rappels \u00e0 l’ordre pr\u00e9alables de la CNIL.Difficult\u00e9s \u00e0 produire les \u00e9l\u00e9ments. L’entreprise a eu du mal \u00e0 r\u00e9unir les chiffres d\u00e9finitifs et \u00e0 d\u00e9crire ses propres processus internes lors de la proc\u00e9dure.Ce que la d\u00e9fense a mis en avant \u2014 et ses limitesL’entreprise, repr\u00e9sent\u00e9e par un cabinet d’avocat externe, a contest\u00e9 plusieurs points :Le recours \u00e0 la proc\u00e9dure ordinaire plut\u00f4t que simplifi\u00e9e.Le refus du huis clos.Le montant de l’amende, jug\u00e9 disproportionn\u00e9 : les 145 demandes non trait\u00e9es repr\u00e9sentent moins de 0,16 % des 100 000 candidatures annuelles de la soci\u00e9t\u00e9, sans avantage \u00e9conomique identifi\u00e9 et sans fuite de donn\u00e9es.La publicit\u00e9 de la d\u00e9cision, contest\u00e9e en l’absence de fraude ou d’enrichissement.Ces arguments classiques de d\u00e9fense ont \u00e9t\u00e9 examin\u00e9s par la formation restreinte. Un commissaire a demand\u00e9 le chiffre d’affaires 2025 pour appr\u00e9cier la proportionnalit\u00e9 de l’amende. Le d\u00e9lib\u00e9r\u00e9 n’\u00e9tait pas attendu avant fin juillet 2026 : \u00e0 la date de publication de cet article, la sanction n’est pas encore prononc\u00e9e \u2014 les montants \u00e9voqu\u00e9s ici sont ceux sollicit\u00e9s par le rapporteur, non un montant d\u00e9finitif.Le signal le plus fort : l’absence de DPOL’observation la plus marquante du compte rendu est celle-ci : aucun DPO n’a \u00e9t\u00e9 mentionn\u00e9 dans la pr\u00e9sentation de la soci\u00e9t\u00e9 lors de la s\u00e9ance. Pour un cabinet de conseil IT de plus de 2 000 collaborateurs, la d\u00e9signation d’un DPO est tr\u00e8s probablement obligatoire au titre de l’article 37 du RGPD (traitement \u00e0 grande \u00e9chelle dans le cadre de l’activit\u00e9 principale). L’absence de DPO visible dans la gestion du dossier est un facteur aggravant implicite.Check-list op\u00e9rationnelle : \u00e9viter ce type de sanctionMettre en place un canal unique de r\u00e9ception des demandes d’exercice de droits, trac\u00e9 et horodat\u00e9, avec accus\u00e9 de r\u00e9ception automatique.V\u00e9rifier la coh\u00e9rence entre les dur\u00e9es de conservation affich\u00e9es et les dur\u00e9es r\u00e9elles. Une divergence entre ce que vous dites faire et ce que vous faites r\u00e9ellement est la forme la plus grave de manquement \u00e0 la transparence.Ne pas attendre la mise en demeure pour agir. La CNIL a envoy\u00e9 deux rappels \u00e0 l’ordre avant ce dossier. Chaque rappel non suivi d’effet est un facteur aggravant document\u00e9 dans le dossier de sanction.D\u00e9signer un DPO si vous traitez des donn\u00e9es personnelles \u00e0 grande \u00e9chelle dans le cadre de votre activit\u00e9 principale. V\u00e9rifier si votre organisation entre dans les crit\u00e8res de l’article 37 RGPD.Documenter votre processus de traitement des droits pour pouvoir le pr\u00e9senter clairement lors d’un contr\u00f4le CNIL.Votre processus de traitement du droit \u00e0 l’effacement est-il en ordre ? Faisons le point ensemble !FAQ \u2014 Droit \u00e0 l’effacement RGPD et s\u00e9ance restreinte CNIL  Qu’est-ce que le droit \u00e0 l’effacement RGPD (article 17) ?L’article 17 du RGPD reconna\u00eet aux personnes concern\u00e9es le droit d’obtenir l’effacement de leurs donn\u00e9es personnelles dans plusieurs cas : donn\u00e9es plus n\u00e9cessaires \u00e0 la finalit\u00e9, retrait du consentement, opposition fond\u00e9e, donn\u00e9es illicitement trait\u00e9es. L’organisation dispose d’un mois pour r\u00e9pondre, prolongeable de deux mois pour les demandes complexes.  Le droit \u00e0 l’effacement est-il absolu ?Non. L’article 17.3 RGPD pr\u00e9voit des exceptions : obligation l\u00e9gale de conservation (comptabilit\u00e9, litiges en cours), int\u00e9r\u00eat public, libert\u00e9 d’expression et d’information. Ces exceptions doivent \u00eatre document\u00e9es et proportionn\u00e9es. En mati\u00e8re de recrutement, elles permettent par exemple de conserver des donn\u00e9es le temps d’un recours potentiel d’un candidat, mais pas ind\u00e9finiment.  Quand le droit \u00e0 l’effacement est-il obligatoire en mati\u00e8re de recrutement ?La CNIL recommande de conserver les donn\u00e9es des candidats non retenus pendant deux ans maximum apr\u00e8s le dernier contact. Pass\u00e9 ce d\u00e9lai, ou d\u00e8s que le candidat exerce son droit \u00e0 l’effacement sans qu’une exception ne s’applique, les donn\u00e9es doivent \u00eatre supprim\u00e9es. Une politique de conservation claire et document\u00e9e est indispensable.  Quelles sont les cons\u00e9quences si l’entreprise ne r\u00e9pond pas \u00e0 une demande d’effacement ?Toute absence de r\u00e9ponse dans le d\u00e9lai l\u00e9gal constitue une violation du RGPD. La personne peut saisir la CNIL, qui peut alors contr\u00f4ler l’organisation et engager une proc\u00e9dure de sanction. La CNIL peut aussi se saisir d’office (comme dans cette affaire, suite \u00e0 un contr\u00f4le sur place). Les sanctions peuvent aller jusqu’\u00e0 20 millions d’euros ou 4 % du chiffre d’affaires mondial.  Un DPO aurait-il \u00e9vit\u00e9 cette situation ?Difficile \u00e0 affirmer avec certitude, mais un DPO aurait eu pour mission de mettre en place et surveiller exactement le type de processus qui a fait d\u00e9faut : canal de r\u00e9ception des demandes, suivi des d\u00e9lais, coh\u00e9rence entre politique affich\u00e9e et pratique r\u00e9elle, et alerte interne en cas de dysfonctionnement. Son absence visible dans ce dossier est un signal fort.\ud83d\udd0e Vous avez une question plus g\u00e9n\u00e9rale sur la conformit\u00e9 RGPD ou la cybers\u00e9curit\u00e9 ? Consultez notre FAQ g\u00e9n\u00e9rale.En r\u00e9sum\u00e9La s\u00e9ance restreinte CNIL du 2 juillet 2026 illustre comment des manquements organisationnels basiques sur le droit \u00e0 l’effacement RGPD peuvent conduire \u00e0 une sanction potentielle de 450 000 \u20ac : 145 demandes non trait\u00e9es, une lettre automatis\u00e9e trompeuse sur les dur\u00e9es de conservation, aucun DPO visible. Le d\u00e9lib\u00e9r\u00e9 est attendu fin juillet 2026. La le\u00e7on pratique est claire : le traitement des droits doit \u00eatre un processus trac\u00e9, test\u00e9 et coh\u00e9rent avec les politiques affich\u00e9es.SourcesS\u00e9ance restreinte CNIL du 2 juillet 2026 \u2014 CR AFCDP par Guylaine Bulot Pancrate et Philippe Lumineau, 10 juillet 2026Les droits pour ma\u00eetriser vos donn\u00e9es personnelles \u2014 CNILArticle 17 RGPD \u2014 Droit \u00e0 l’effacement \u2014 CNILDroit \u00e0 l’effacement : bilan des contr\u00f4les CNIL \u2014 action coordonn\u00e9e europ\u00e9enne 2025Pour aller plus loinCNIL -  Nouvelle \u00e9dition : Guide 2024 de la s\u00e9curit\u00e9 des donn\u00e9es personnellesMDP Data Protection - Logiciel RGPD : comment choisir la solution id\u00e9ale pour votre entrepriseLes solutions MDP Data ProtectionMDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformit\u00e9 multi-r\u00e9glementaire (RGPD, NIS2 et IA Act...), avec une approche op\u00e9rationnelle et \u00e9volutive.SimplyRGPD : Pilotage de votre conformit\u00e9 au quotidien.MDP CAMPUS : Notre parcours de sensibilisation en vid\u00e9os p\u00e9dagogiques de 3 \u00e0 7 minutes.MDP Diagnostic : Diagnostic instantan\u00e9 de votre niveau de conformit\u00e9.Notre M\u00e9thode : le Continuous Compliance Operating System - CCOSEt si votre conformit\u00e9 vivait en continu, au lieu d'\u00eatre un livrable de plus ?D\u00e9couvrir la m\u00e9thode CCOS\u00c0 propos de l’auteur Christophe SAINT-PIERRE  \u2013 Fort de plus de 20 ans d\u2019exp\u00e9rience, Christophe accompagne les organisations dans leur mise en conformit\u00e9 r\u00e9glementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision strat\u00e9gique et approche op\u00e9rationnelle. Au sein de MDP Data Protection, il pilote une d\u00e9marche ax\u00e9e sur l\u2019excellence, l\u2019innovation et la valorisation r\u00e9glementaire. Son objectif : transformer les contraintes l\u00e9gales en opportunit\u00e9s business pour ses clients."},{"@context":"https:\/\/schema.org\/","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Droit \u00e0 l’effacement et RGPD : les le\u00e7ons de la CNIL","item":"https:\/\/mdp-data.com\/droit-effacement-rgpd-seance-restreinte-cnil-juillet-2026\/#breadcrumbitem"}]}]