Un’agenzia francese che colloca consulenti informatici presso aziende clienti ha ricevuto una sanzione da 300.000 euro per come ha gestito le richieste di cancellazione dei dati personali provenienti da candidati ed ex dipendenti. La decisione, presa dall’autorità transalpina per la protezione dei dati il 21 luglio e resa pubblica il 9 settembre, riguarda la società EXTIA e nasce da un controllo avviato dopo alcune segnalazioni arrivate nel 2024.
Cosa ha scoperto il controllo
Il caso prende avvio da un’ispezione condotta nell’aprile 2025, innescata da diverse plaintes presentate da ex lavoratori e candidati che lamentavano difficoltà nell’ottenere la rimozione dei propri dati. L’accertamento si inserisce anche in un’iniziativa coordinata a livello continentale, lanciata nel 2025 dal Comitato europeo per la protezione dei dati proprio sul tema del diritto alla cancellazione.
I numeri emersi dal controllo sono netti: su 265 richieste ricevute nel 2024, in gran parte da candidati e solo occasionalmente da ex dipendenti, oltre tre quarti non avevano avuto un seguito adeguato. Una parte consistente era rimasta del tutto priva di riscontro, mentre altre erano state gestite senza rispettare i tempi previsti dalla normativa europea sulla protezione dei dati.
Le due violazioni contestate
L’autorità ha individuato due infrazioni distinte. La prima riguarda dodici richieste di cancellazione mai evase, una circostanza che secondo i giudici ha inciso direttamente sulla possibilità delle persone di mantenere il controllo sulle proprie informazioni. La seconda, più estesa, tocca l’obbligo di comunicare l’esito della richiesta: 166 persone non hanno mai ricevuto alcuna risposta, mentre altre 27 l’hanno ricevuta fuori dal termine di un mese stabilito dalla norma, con ritardi arrivati in certi casi a diversi mesi.
Nella propria difesa, l’azienda ha sostenuto che molte delle richieste riguardavano candidati i cui dati venivano già cancellati in automatico dai sistemi interni, rendendo superflua una comunicazione formale. I giudici hanno respinto questa lettura, chiarendo che la cancellazione automatica non esonera comunque dal dovere di informare la persona sull’esito della sua domanda. Per un gruppo più ristretto di casi, invece, hanno accettato le giustificazioni fornite, legate all’impossibilità di risalire con certezza a chi avesse presentato la richiesta.
Nel fissare l’importo della sanzione, l’autorità ha pesato il numero di persone coinvolte, la gravità della violazione dei principi sui diritti degli interessati e il fatto che l’azienda fosse già stata richiamata ai propri obblighi due volte in precedenza. Ha però considerato anche le misure correttive adottate durante il procedimento, quando l’azienda ha eliminato i dati residui e informato gli interessati: per questo motivo la sanzione non è stata accompagnata da alcuna ingiunzione.
