La fiche 7 du guide pratique de la CNIL pour les SPST traite des droits des personnes : accès, rectification, effacement, opposition. Le guide rappelle le délai de réponse d’un mois et l’obligation d’informer la personne des suites données.
Par délibération SAN-2026-010 du 21 juillet 2026, publiée le 9 septembre, la CNIL a infligé une amende de 300 000 euros à la société EXTIA, entreprise de conseil en informatique, pour manquements aux articles 12 et 17 du RGPD. La décision concerne un employeur et ses candidats ; elle s’applique sans transposition aux services qui recrutent.
Ce qui change
Sur 265 demandes d’effacement reçues en 2024, principalement de candidats, plus des trois quarts avaient été mal traitées. Douze n’avaient jamais été exécutées. 166 personnes n’avaient pas été informées des suites, et 27 l’avaient été avec plusieurs mois de retard. Deux avertissements antérieurs ont pesé sur le montant.
La CNIL distingue nettement deux obligations. L’article 17 impose d’exécuter la demande d’effacement. L’article 12 impose d’informer la personne des mesures prises, dans le délai d’un mois. Purger une base ne dispense pas de répondre : une personne dont le CV a disparu sans qu’on le lui dise n’a pas vu sa demande traitée.
Ce que cela implique pour un SPST
Le recrutement est un traitement éclaté dans la plupart des services. Les candidatures arrivent par le site, par une plateforme, par courriel aux médecins, par le réseau des praticiens. Une demande d’effacement adressée au service doit atteindre tous ces canaux, et la réponse doit partir même si le CV avait déjà été supprimé.
- Désigner un point d’entrée unique pour les demandes des candidats.
- Recenser les canaux de réception des candidatures et les personnes qui en reçoivent.
- Transmettre toute demande d’effacement au point d’entrée le jour même.
- Envoyer une réponse écrite dans le mois, y compris quand il n’y avait plus rien à effacer.
- Conserver la trace de la demande, des suppressions et de la réponse.
La décision tient aussi compte de la récidive : les avertissements antérieurs ont aggravé la sanction. Un service qui a déjà reçu une observation de la CNIL ou un écart d’audit sur les droits doit pouvoir montrer qu’il l’a corrigé.
Le montant retenu, 300 000 euros pour une société de conseil, donne un ordre de grandeur. Les manquements sanctionnés ne demandaient pas d’investissement technique : un point d’entrée, un suivi des délais et une réponse écrite auraient suffi.
La même logique s’applique aux salariés suivis. Une demande d’opposition ou de rectification adressée au service appelle une réponse, même quand la demande est rejetée ou sans objet.
Comment le traiter dans DPO SUITE
Ouvrez le module des demandes d’exercice de droits et créez un type de demande « effacement candidat » si votre configuration ne le prévoit pas. Enregistrez chaque demande à réception : le suivi calcule le délai d’un mois et le tableau de bord signale les demandes en retard ou sans réponse envoyée. Clôturez la demande seulement après avoir rattaché la réponse écrite comme preuve.
Dans le registre des traitements, mettez à jour la fiche « recrutement » : canaux de collecte, destinataires internes, durée de deux ans pour les candidats non retenus. Dans le module procédures, ajoutez à la procédure de gestion des droits un circuit propre aux candidats, avec un plan de tâches (réception, recherche sur tous les canaux, suppression, réponse, trace), puis faites-la approuver.
Si une demande ancienne est restée sans réponse, créez une non-conformité et une action corrective. Le rapport annuel du DPO reprendra les statistiques du tableau de bord des droits. ALIX peut proposer un modèle de réponse à un candidat, à valider avant usage.
Pour suivre vos demandes de droits et leurs délais, testez la création de votre registre.
Repères
- Délibération CNIL SAN-2026-010 du 21 juillet 2026 (EXTIA, 300 000 euros), publiée le 9 septembre 2026
- RGPD, articles 12 et 17
- Guide CNIL SPST, fiche 7
