Sanzione CNIL a EXTIA: 300.000 euro sul diritto all'oblio

Una sanzione da 300.000 euro, decisa il 21 luglio 2026

Il 21 luglio 2026 la CNIL, l'autorità francese per la protezione dei dati, ha deciso una sanzione da 300.000 euro contro EXTIA. La società opera nella consulenza informatica e nell'ingegneria, e colloca consulenti presso aziende clienti. La base giuridica del provvedimento sono gli articoli 12 e 17 del Regolamento (UE) 2016/679, il GDPR, in vigore dal 25 maggio 2018.

La giurisdizione è francese; la norma applicata vale in tutti i ventisette Stati membri.

La formazione ristretta della CNIL, l'organo che decide le sanzioni, ha contestato due condotte distinte: richieste di cancellazione rimaste inevase e persone lasciate all'oscuro dell'esito. Il registro dell'EDPB ha pubblicato la scheda del caso l'11 settembre 2026.

Il fascicolo nasce dai reclami di ex dipendenti e di candidati arrivati alla CNIL nel corso del 2024. Il controllo presso la società è arrivato nell'aprile 2025, e ha riguardato l'intero ciclo di gestione dei dati delle persone in selezione.

Articoli 12 e 17: l'obbligo e i numeri del fascicolo

L'articolo 17 riconosce il diritto alla cancellazione, il cosiddetto diritto all'oblio. L'articolo 12 impone un dovere diverso e spesso trascurato: rispondere all'interessato entro un mese dal ricevimento della richiesta.

I due obblighi vivono di vita propria. Cancellare i dati è il primo. Informare la persona dell'azione intrapresa è il secondo, e resta dovuto anche quando la cancellazione è avvenuta.

Nel 2024 EXTIA ha ricevuto 265 richieste di cancellazione, in maggioranza da candidati e in parte minore da ex dipendenti: più di tre quarti sono rimaste inevase oppure gestite in modo irregolare, secondo la scheda pubblicata dall'EDPB^[1].

La scomposizione pesa più del totale. Dodici richieste sono rimaste del tutto prive di trattamento. Centosessantasei persone sono rimaste all'oscuro dell'esito, e altre ventisette hanno ricevuto la risposta oltre il termine di legge, con ritardi fino a diversi mesi.

L'importo tiene conto di tre fattori dichiarati dall'autorità: la natura essenziale dei principi violati, il numero di persone coinvolte e due richiami già rivolti alla stessa società. La recidiva è il terzo fattore, e il più caro.

L'azione coordinata europea sul diritto alla cancellazione

Il controllo dell'aprile 2025 ha una doppia origine. Da un lato i reclami individuali, dall'altro l'azione coordinata sul diritto alla cancellazione avviata dal Comitato europeo per la protezione dei dati nel 2025.

Il Coordinated Enforcement Framework è lo strumento con cui l'EDPB sceglie ogni anno un tema e lo fa verificare in parallelo dalle autorità nazionali. Nel 2025 il tema è stato il diritto all'oblio.

Questo cambia la natura del rischio. Una decisione francese sul diritto di cancellazione diventa il risultato locale di una griglia di controllo continentale. Le stesse domande arrivano ai titolari in Italia, Spagna, Germania e Paesi Bassi, con la stessa metodologia e nello stesso arco di tempo.

Il caso va letto come campione di una verifica europea, più che come eccezione francese.

Il segnale di governance: il ruolo che manca ha un nome

Il segnale di governance: quando il diritto dell'interessato manca di un titolare interno indicato per nome, la conformità resta sulla carta.

Una richiesta di cancellazione attraversa più sistemi. L'ATS del recruiting, il CRM commerciale, le caselle di posta dei singoli recruiter, i backup, i fogli di calcolo tenuti in locale. Ogni passaggio ha un capo diverso, e il coordinamento è l'anello debole.

Quale ruolo, designato per nome e per iscritto, risponde dell'esito di ogni richiesta di cancellazione, prima che la richiesta arrivi? Questa è la domanda che il General Counsel pone al Data Protection Officer, e la risposta va messa in un documento datato.

Un framework privo di quel nome produce documentazione: la governance è altra cosa. Il fascicolo EXTIA misura in euro la distanza fra le due.

Candidati, archivi di selezione e sistemi automatici

La platea colpita qui è composta in prevalenza da candidati. È la categoria di interessati con il legame contrattuale più debole e la memoria digitale più lunga.

Un curriculum entra in un archivio di selezione e ci resta per anni. Alimenta ricerche interne, punteggi di corrispondenza, code di candidature ordinate in modo automatico. La cancellazione tocca quindi anche i dati che quei sistemi usano come materia prima.

L'Allegato III del Regolamento (UE) 2024/1689, l'AI Act, colloca i sistemi usati per la selezione e la valutazione del personale fra quelli ad alto rischio. Il calendario di applicazione di quegli obblighi resta in movimento a livello europeo, e le organizzazioni prudenti lo trattano come implementazione in corso.

Il provvedimento della CNIL riguarda il diritto di cancellazione, e lascia fuori il tema delle decisioni automatizzate. I due regimi convergono comunque sullo stesso archivio, e l'audit che serve resta uno.

L'obiezione sull'importo e la risposta del fascicolo

Una obiezione ricorrente riguarda la cifra: 300.000 euro pesano poco nel conto economico di un gruppo di consulenza. L'argomento coglie il bersaglio sbagliato.

Il valore del provvedimento sta nella motivazione. Una autorità nazionale ha messo per iscritto che il silenzio verso l'interessato è una violazione autonoma, contestabile anche quando i dati risultano cancellati.

Una seconda lettura descrive il caso come un problema di risorse: 265 richieste in un anno sono un carico gestibile con personale dedicato. I numeri reggono questa lettura in parte, e la indeboliscono nel dettaglio: 166 persone attendevano un messaggio, anziché una operazione tecnica complessa.

La sanzione CNIL a EXTIA arriva dopo due richiami, e questo dettaglio sposta il baricentro dell'analisi. L'autorità ha contato le persone, e ha lasciato da parte il conteggio delle ore di lavoro.

Tre decisioni per il board

Il fascicolo lascia sul tavolo tre decisioni, e ciascuna ha un destinatario preciso.

Uno, per il General Counsel e il Chief Compliance Officer: far contare le richieste di cancellazione degli ultimi ventiquattro mesi, con data di arrivo, data di risposta ed esito. Un registro incompleto è già di per sé un rilievo.

Due, per il Chief Risk Officer: aggiornare la matrice di rischio distinguendo la mancata cancellazione dalla mancata informazione. Sono due violazioni separate, con due controlli separati e due proprietari diversi.

Tre, per il Board Audit & Risk Committee: chiedere il nome del ruolo che risponde dei diritti degli interessati e la data della sua designazione. Quel nome appartiene alla disclosure interna, prima ancora che a quella verso il mercato.

Orizzonte regolatorio

Gli articoli 12 e 17 del GDPR sono in vigore dal 25 maggio 2018 e si applicano in via diretta in tutti gli Stati membri. Il termine di risposta resta un mese, prorogabile di due mesi per le richieste complesse, con avviso motivato all'interessato.

L'azione coordinata dell'EDPB sul diritto alla cancellazione ha aperto la stagione dei controlli nel 2025 e produce decisioni nazionali nel corso del 2026. Il caso EXTIA, deciso il 21 luglio 2026 e pubblicato l'11 settembre 2026, appartiene a quella sequenza.

Sul fronte dei sistemi automatici di selezione, il Regolamento (UE) 2024/1689 resta in fase di implementazione, con un calendario europeo ancora in assestamento. Le organizzazioni che costruiscono adesso il registro delle richieste e la catena delle responsabilità arrivano a quella scadenza con il lavoro già fatto.

La domanda sul diritto alla cancellazione ha avuto una risposta. Una seconda domanda si è aperta: chi, per nome, risponde della risposta?