Vous avez quitté une entreprise ou essuyé un refus d’embauche, puis demandé l’effacement de vos données personnelles. Aucune réponse, ou une réponse évasive, puis le silence. Cette situation n’est pas une simple incivilité administrative. Le 21 juillet 2026, la CNIL a sanctionné la société EXTIA d’une amende de 300 000 euros pour divers manquements relatifs au respect des droits des personnes, notamment du droit à l’effacement. Sur les 265 demandes d’effacement reçues par la société en 2024, qui émanaient majoritairement de candidats et, ponctuellement, d’anciens salariés, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante. La délibération SAN-2026-010, publiée sur Légifrance le 9 septembre 2026, précise que le contrôle a été réalisé en avril 2025 et que la société avait déjà été rappelée à ses obligations à deux reprises.
Cette décision ne donne pas automatiquement droit à une indemnisation à chaque personne concernée, et elle peut faire l’objet d’un recours devant le Conseil d’État dans les deux mois de sa notification. Elle montre en revanche le chemin complet qui s’ouvre à la personne dont la demande d’effacement reste lettre morte : exiger une réponse dans le délai d’un mois, déposer une plainte devant la CNIL, puis demander réparation au juge en prouvant un dommage précis. Seul le juge décide de cette réparation, et la Cour de cassation a rappelé le 24 juin 2026 que la simple violation du règlement ne suffit pas à l’obtenir. Cet article détaille chaque étape, les textes applicables, les délais et les preuves à réunir, à Paris comme ailleurs en France.
I. Votre demande d’effacement oblige l’organisme à répondre dans un délai d’un mois
Le droit à l’effacement n’est pas un simple vœu adressé à l’employeur ou au recruteur. Le règlement européen impose une réponse, dans un délai mesuré, et sanctionne le silence. Encore faut-il formuler la demande correctement et savoir ce que l’organisme doit faire après l’avoir reçue.
A. Adresser une demande complète et exiger une réponse dans le mois
Toute personne peut obtenir du responsable du traitement l’effacement de ses données lorsque l’un des motifs prévus par le texte s’applique. L’article 17, paragraphe 1, du règlement (UE) 2016/679 ouvre le droit d’obtenir « l’effacement, dans les meilleurs délais », des données à caractère personnel la concernant. Les motifs suivants ouvrent ce droit : les données ne sont plus nécessaires au regard des finalités de leur collecte, la personne retire son consentement sans autre fondement juridique, elle s’oppose au traitement sans motif légitime prépondérant, les données ont fait l’objet d’un traitement illicite, ou elles doivent être effacées pour respecter une obligation légale.
Pour un ancien salarié, le cas le plus fréquent concerne des données conservées après la fin du contrat sans finalité active : coordonnées personnelles, documents de candidature, évaluations, échanges conservés dans la messagerie. Pour un candidat non retenu, il s’agit du CV, de la lettre de motivation et des notes d’entretien conservés au-delà de la procédure de recrutement. Dans les deux cas, la demande doit être écrite, identifier précisément son auteur, désigner les données visées et invoquer le motif d’effacement. La CNIL met à disposition un modèle de courrier pour demander la suppression de ses données personnelles, qui constitue une base utile. Pour un candidat, la demande peut aussi rappeler que les informations collectées pendant le recrutement ne peuvent avoir, selon l’article L. 1221-6 du code du travail, « comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles », avec « un lien direct et nécessaire avec l’emploi proposé » : des données sans rapport avec le poste sont les premières à devoir disparaître. Pour un salarié, la même limite vaut pendant l’exécution du contrat : les informations demandées au salarié ne peuvent avoir, selon l’article L. 1222-2 du code du travail, comme finalité que d’apprécier ses aptitudes professionnelles, avec un lien direct et nécessaire avec leur évaluation. Conserver la preuve de l’envoi et de la réception est décisif, car le délai de réponse court à compter de la réception de la demande par l’organisme.
Ce délai est strict. L’article 12, paragraphe 3, du même règlement dispose que le responsable du traitement fournit à la personne des informations sur les mesures prises à la suite de sa demande, « dans un délai d’un mois » à compter de sa réception. Une prolongation de deux mois reste possible compte tenu de la complexité et du nombre de demandes, mais l’organisme doit alors informer la personne de cette prolongation et de ses motifs dans le délai initial d’un mois. Autrement dit, passé un mois sans réponse ni information sur un report motivé, l’organisme se trouve en situation de manquement.
Le refus lui-même est encadré. Si l’organisme ne donne pas suite, l’article 12, paragraphe 4, du même règlement lui impose d’en informer la personne sans tarder, au plus tard dans un délai d’un mois, en indiquant « des motifs de son inaction » ainsi que la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Un refus non motivé, ou motivé par une formule vague, ne satisfait pas à cette exigence. Le silence comme le refus doivent donc être documentés : relance écrite après le délai d’un mois, captures des échanges, copie de la demande initiale. Ces pièces serviront devant la CNIL puis, le cas échéant, devant le juge.
Il existe des limites légitimes au droit à l’effacement, qu’il faut connaître avant d’agir. L’article 17, paragraphe 3, exclut l’effacement lorsque le traitement reste nécessaire à l’exercice de la liberté d’expression et d’information, au respect d’une obligation légale, ou à la constatation, à l’exercice ou à la défense de droits en justice. Un employeur engagé dans un contentieux prud’homal peut ainsi conserver certaines pièces nécessaires à sa défense, pour la durée de la procédure. De même, les obligations comptables et fiscales imposent la conservation de certains documents relatifs aux salariés. La demande d’effacement doit donc viser les données qui ne relèvent d’aucune de ces exceptions. Une demande trop large, qui englobe des documents que l’employeur est tenu de conserver, affaiblit la démarche et expose à un refus fondé.
La Cour de cassation a illustré cette limite le 3 juin 2026, dans une affaire où un homme condamné pénalement en 2009 demandait l’anonymisation d’un article de presse de 20 Minutes relatant sa condamnation. La première chambre civile a rejeté le pourvoi et jugé que la cour d’appel, après mise en balance des intérêts, avait pu retenir que le droit à l’information prévalait sur le droit à la protection de la vie privée, compte tenu de la gravité des faits, de leur lien avec des fonctions exercées et de la notoriété de l’intéressé. Cet arrêt ne concerne pas le salarié face à son employeur, mais il rappelle une règle générale : l’effacement cède parfois devant un intérêt supérieur, et chaque demande doit être appréciée à partir des faits propres au dossier. Le fondement invoqué dans ce type de contentieux reste l’article 9 du code civil, selon lequel « Chacun a droit au respect de sa vie privée », mis en balance avec la liberté d’information.
B. Ce que la sanction EXTIA reproche : douze demandes ignorées et une information manquante
La délibération du 21 juillet 2026 donne un contenu concret à ces principes. À la suite de plusieurs plaintes reçues en 2024, qui émanaient majoritairement de candidats et, ponctuellement, d’anciens salariés, et dans le cadre de l’action coordonnée européenne sur le droit à l’effacement lancée à l’initiative du Comité européen de la protection des données en 2025, la CNIL a contrôlé la société EXTIA en avril 2025. Le contrôle a mis en évidence que, sur 265 demandes d’effacement reçues en 2024, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante. La formation restreinte a estimé que ces manquements avaient porté atteinte aux droits des personnes concernées.
Deux enseignements méritent l’attention des salariés et des candidats. Le premier porte sur la suppression automatique. La société soutenait que de nombreuses demandes concernaient des candidats dont les données avaient déjà été supprimées automatiquement, de sorte que ces demandes seraient devenues sans objet. La formation restreinte a écarté l’argument : cette suppression automatique ne dispensait pas la société d’informer les candidats des suites apportées à leurs demandes. Effacer sans le dire ne suffit donc pas. L’organisme doit répondre à chaque demande et indiquer ce qu’il a fait, même lorsque les données ont disparu par l’effet d’un paramétrage.
Le second enseignement porte sur les durées de conservation affichées. La société déclarait appliquer aux données des candidats non présélectionnés une durée de conservation de soixante jours, alors qu’une information adressée par erreur à ces candidats mentionnait une durée de deux ans. La formation restreinte a relevé que cette durée de soixante jours n’avait été mentionnée pour la première fois qu’au stade des écritures en défense, qu’elle n’avait pas été évoquée lors du contrôle sur place et qu’elle ne ressortait d’aucun document interne. La rapporteure a pu légitimement demander à la société d’étayer ses déclarations. Pour le salarié ou le candidat, la leçon est pratique : exiger que l’organisme indique par écrit la durée de conservation appliquée et son fondement, et comparer cette réponse aux mentions de sa politique de confidentialité. Toute contradiction entre la réponse individuelle et l’information publique constitue un indice utile pour la plainte. Plus largement, la conservation de données excessives se heurte au principe de proportionnalité de l’article L. 1121-1 du code du travail : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » La CNIL rappelle par ailleurs sur sa page consacrée au recrutement les règles que les acteurs du recrutement doivent respecter, ce qui permet de vérifier les affirmations de l’organisme.
Sur la sanction elle-même, la formation restreinte a retenu que la société avait déjà été rappelée à ses obligations à deux reprises sans en tirer les conséquences, et elle a prononcé une amende de 300 000 euros pour les manquements aux articles 12 et 17 du règlement. En revanche, elle n’a prononcé aucune injonction, la société ayant justifié en cours de procédure la suppression des données et l’information des personnes concernées. La délibération est publiée sur le site de la CNIL et sur Légifrance, et elle ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication. Cette publicité temporaire vise un effet dissuasif à l’égard des autres organismes, et elle offre aux personnes concernées une preuve publique des manquements constatés.
II. Du silence de l’organisme à la décision : plainte devant la CNIL, puis réparation devant le juge
Quand la relance reste sans effet, deux voies se combinent sans se confondre : la plainte devant l’autorité de contrôle, qui peut sanctionner l’organisme, et l’action devant le juge, qui peut ordonner l’effacement et accorder une réparation. La première ne remplace pas la seconde, et la sanction publique ne vaut pas indemnisation automatique.
A. Déposer une plainte utile et comprendre la procédure de sanction
L’article 77 du règlement ouvre à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu de la violation présumée, si elle considère que le traitement de ses données constitue une violation du règlement. En France, cette réclamation prend la forme d’une plainte adressée à la CNIL, de préférence en ligne. Une plainte utile contient la copie de la demande d’effacement initiale avec sa date de réception, la relance restée sans réponse, l’identification précise de l’organisme, la description des données concernées et, lorsque c’est possible, la politique de confidentialité applicable et ses contradictions avec la réponse reçue.
La plainte déclenche l’instruction par les services de la CNIL, qui peuvent procéder à des contrôles, demander des justificatifs et entendre l’organisme. Si des manquements sont établis, le dossier peut être transmis à la formation restreinte, l’organe de la CNIL chargé de prononcer les sanctions, sur le fondement des articles 20 et suivants de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. La procédure est contradictoire : un rapporteur instruit, l’organisme présente des observations écrites, une séance se tient, puis la formation délibère. Dans l’affaire EXTIA, le rapport de la rapporteure date du 12 mars 2026, les observations de la société des 13 avril et 8 juin 2026, la clôture de l’instruction du 15 juin 2026 et la séance du 2 juillet 2026. Ces délais montrent que la sanction intervient souvent plus d’un an après les faits, ce qui impose de ne pas attendre son issue pour préserver ses propres droits devant le juge.
La formation restreinte dispose d’une gamme de mesures : rappel à l’ordre, injonction de mise en conformité sous astreinte, amende administrative et publicité de la décision. Les critères de l’article 83, paragraphe 2, du règlement guident le montant : nature, gravité et durée de la violation, nombre de personnes affectées, degré de coopération, antécédents et catégories de données. Le passé de l’organisme compte, comme le montre la prise en compte des deux rappels à la loi antérieurs dans le dossier EXTIA. La publicité de la sanction, avec anonymisation différée comme dans ce dossier, peut être contestée par l’organisme, mais le Conseil d’État a déjà validé ce mécanisme : le 6 décembre 2023, saisi par la société Ubeeqo d’un recours contre une amende de 175 000 euros, il a jugé que la formation restreinte avait pu légalement rendre publique sa délibération en ne procédant à son anonymisation qu’à l’issue d’un délai de deux ans, et il a conclu : « La requête de la société Ubeeqo International est rejetée. » L’arrêt applique aussi l’article L. 761-1 du code de justice administrative sur les frais exposés, en refusant de mettre une somme à la charge de la CNIL, qui n’était pas la partie perdante. La décision du Conseil d’État confirme aussi le contrôle de proportionnalité exercé sur le montant des amendes.
Pour la victime, la plainte CNIL produit trois effets concrets. Elle fait pression sur l’organisme, qui régularise souvent en cours d’instruction, comme EXTIA l’a fait en supprimant les données et en informant les personnes. Elle crée une trace officielle des manquements, utilisable devant le juge. Et elle peut aboutir à une décision publique qui établit les faits, sans que la victime ait à les prouver de nouveau dans leur principe. Mais la CNIL n’accorde pas de dommages-intérêts : sa mission est de faire respecter le règlement et de sanctionner, pas d’indemniser. Celui qui veut obtenir réparation doit saisir le juge.
B. Obtenir l’effacement et la réparation devant le juge, en prouvant un dommage précis
L’article 79 du règlement garantit à toute personne un recours juridictionnel effectif lorsqu’elle considère que ses droits ont été violés du fait d’un traitement non conforme. En pratique française, la personne dont la demande d’effacement reste ignorée peut demander au juge d’ordonner la suppression des données, sous astreinte, et de réparer le préjudice subi. Lorsque le litige oppose un salarié à son employeur sur l’exécution du contrat de travail, le conseil de prud’hommes, qui « règle par voie de conciliation les différends qui peuvent s’élever à l’occasion de tout contrat de travail », peut être saisi des demandes liées à la relation de travail ; l’action indemnitaire fondée sur le règlement relève du juge judiciaire, tribunal judiciaire du domicile du demandeur ou du lieu du fait dommageable. À Paris et en Île-de-France, où siègent de nombreux sièges sociaux et où la CNIL reçoit les plaintes en ligne sans condition de déplacement, le justiciable joint à sa saisine les échanges écrits avec l’organisme, la plainte CNIL et, lorsqu’elle existe, la décision de sanction publiée. Un salarié francilien dont l’ancien employeur parisien conserve des évaluations ou des correspondances après son départ suit donc le même chemin procédural qu’ailleurs, avec l’avantage pratique de la proximité des juridictions et des organismes.
Le fondement de la réparation devant le juge français combine l’article 82 du règlement et le droit commun de la responsabilité. L’article 82, paragraphe 1, du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir « réparation du préjudice subi » auprès du responsable du traitement ou du sous-traitant. En droit français, cette réparation s’articule avec l’article 1240 du code civil, selon lequel « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Le demandeur doit donc établir trois éléments : une violation du règlement, un dommage matériel ou moral, et un lien entre les deux.
Sur ce point, la jurisprudence récente invite à la rigueur. La Cour de justice de l’Union européenne, dans son arrêt du 4 mai 2023 Österreichische Post (affaire C-300/21), a jugé qu’une simple violation du règlement ne suffit pas à ouvrir droit à réparation, tout en précisant qu’aucun seuil de gravité ne peut être exigé pour le dommage moral et que les règles nationales de fixation des montants s’appliquent dans le respect des principes d’équivalence et d’effectivité. La chambre sociale de la Cour de cassation a appliqué cette solution le 24 juin 2026, dans un litige opposant un salarié à la société Natixis : la cour d’appel avait accordé 5 000 euros de dommages-intérêts en retenant que le non-respect du règlement avait nécessairement causé un préjudice, sans vérifier l’existence ni l’étendue d’un dommage. La Cour de cassation a censuré ce raisonnement : une simple violation du règlement ne suffit pas à ouvrir droit à réparation, et il appartenait aux juges de vérifier si le salarié établissait un dommage matériel ou moral causé par la violation constatée.
Concrètement, la personne dont l’effacement a été ignoré doit donc décrire et prouver son préjudice : démarches répétées et temps perdu, inquiétude liée à la circulation de données sensibles comme des évaluations professionnelles ou des données de santé, candidatures compromises par la conservation de notes défavorables, prospection commerciale reçue après l’opposition. Les pièces qui emportent la conviction sont les écrits échangés, les attestations de tiers, les preuves d’usages non autorisés des données et, lorsque la CNIL a statué, la décision de sanction qui établit la violation. La sanction EXTIA, en ce qu’elle constate publiquement que douze demandes sont restées sans traitement et que la société avait déjà été rappelée à la loi, fournit aux plaignants concernés un appui solide sur le premier élément, la violation, sans dispenser aucun d’eux de démontrer son dommage propre. Les montants restent fixés au cas par cas, sans barème, et les juges tiennent compte de la durée du manquement, de la sensibilité des données et du comportement de l’organisme après la demande.
Le rappel des règles de conservation éclaire enfin la demande. L’organisme qui conserve des données de candidats ou d’anciens salariés doit pouvoir indiquer une finalité et une durée, et les documenter en interne. L’affaire EXTIA montre qu’une durée affirmée tardivement, sans document interne, ne convainc pas l’autorité de contrôle. Le demandeur a donc intérêt à exiger par écrit ces deux informations dès sa première lettre, puis à comparer la réponse reçue avec les mentions publiques de l’organisme. Quand l’organisme se tait, la plainte puis le juge prennent le relais, avec des pièces ordonnées et une chronologie claire. Les lecteurs confrontés à la conservation de leurs données après la fin d’un contrat trouveront un exposé voisin des recours ouverts contre l’ancien employeur dans l’article consacré à l’effacement des données conservées après le départ, qui détaille la démarche d’effacement, la saisine de la CNIL et l’action en réparation.
La sanction prononcée contre EXTIA ne règle pas à elle seule le sort des personnes dont les demandes ont été ignorées. Elle établit des faits, rappelle les obligations de réponse et d’information qui pèsent sur tout organisme, et confirme que la répétition des manquements aggrave la sanction. Pour l’ancien salarié comme pour le candidat, le chemin reste le même : une demande écrite et prouvée, une relance à l’expiration du mois, une plainte devant la CNIL qui fait constater, puis une action devant le juge qui ordonne et répare. La décision de la CNIL peut faire l’objet d’un recours, et seule une décision de justice accorde une indemnisation. C’est dans cet ordre, avec des preuves à chaque étape, que le droit à l’effacement cesse d’être une formule pour devenir un résultat.