La CNIL multa a EXTIA con 300.000 € por incumplimientos del derecho de supresión, mostrando que eliminar los datos no es suficiente si las organizaciones no tramitan las solicitudes e informan a las personas dentro del plazo establecido por el RGPD.
El Comité Europeo de Protección de Datos (CEPD) ha informado de que la autoridad francesa de protección de datos impuso una multa de 300.000 EUR a la consultora de TI e ingeniería EXTIA tras detectar incumplimientos en la gestión de solicitudes de supresión presentadas por candidatos a puestos de trabajo y antiguos empleados. La decisión se centra en los artículos 12 y 17 del RGPD y pone de relieve un aspecto operativo que puede pasarse por alto: una organización no solo debe adoptar las medidas adecuadas en relación con una solicitud, sino también informar a la persona de las actuaciones realizadas dentro del plazo exigido.
La decisión de la CNIL se produjo tras varias reclamaciones recibidas en 2024 y una auditoría realizada en abril de 2025. La investigación también formó parte de la acción coordinada de aplicación del CEPD sobre el derecho de supresión. De las 265 solicitudes de supresión recibidas por EXTIA en 2024, más de tres cuartas partes no habían sido tramitadas o no lo habían sido de forma satisfactoria.
La sanción se produjo tras reiterados incumplimientos a la hora de tramitar y responder a solicitudes de supresión.
La formación restringida de la CNIL determinó que 12 solicitudes recibidas en 2024 no habían sido tramitadas. Consideró que este incumplimiento afectaba a la capacidad de las personas para mantener el control sobre sus datos personales. Durante el procedimiento, EXTIA eliminó los datos afectados e informó a esas personas de las medidas adoptadas, pero esta subsanación posterior no eliminó la infracción original.
El regulador identificó asimismo un incumplimiento más amplio en materia de comunicación. Un total de 166 personas que solicitaron la supresión en 2024 no fueron informadas de las medidas adoptadas, mientras que otras 27 recibieron una respuesta fuera del plazo de un mes establecido por el RGPD. En algunos casos, los retrasos se prolongaron durante varios meses.
La eliminación automática no eliminaba la obligación de responder a las personas.
EXTIA alegó que muchas de las solicitudes se referían a candidatos cuyos datos ya habían sido eliminados automáticamente. La CNIL rechazó que esto redujera la gravedad del incumplimiento en materia de comunicación. La eliminación automática puede resolver la cuestión subyacente relativa a la conservación de los datos, pero no informa al solicitante de si la organización recibió la solicitud, si los datos fueron eliminados o si determinada información fue conservada en virtud de alguna excepción aplicable.
El artículo 12 exige a los responsables del tratamiento facilitar información sobre las medidas adoptadas sin dilación indebida y, en principio, en el plazo de un mes desde la recepción de la solicitud. Cuando una organización no pueda identificar al solicitante o no pueda atender plenamente la solicitud, sigue necesitando un proceso controlado para explicar la situación cuando sea posible. El regulador aceptó que EXTIA tenía motivos válidos para no responder en un número residual de casos en los que no fue posible identificar a la persona.
Los sistemas de selección de personal requieren los mismos controles de derechos que las bases de datos de clientes.
El caso resulta especialmente relevante para empleadores y empresas de selección de personal, ya que la información de los candidatos suele estar distribuida entre sistemas de seguimiento de candidatos, cuentas de correo electrónico, carpetas compartidas, plataformas de evaluación y bases de talento. Por tanto, una única solicitud puede requerir una actuación coordinada entre varios sistemas y equipos, incluidos encargados del tratamiento externos.
Los datos de los candidatos también pueden seguir teniendo utilidad comercial una vez finalizado un proceso de selección, lo que puede incentivar a las organizaciones a conservar perfiles para futuras oportunidades. Esto no desplaza la aplicación del RGPD. Las organizaciones necesitan una base clara para la conservación, información transparente y una forma fiable de localizar y eliminar los datos cuando resulte aplicable el derecho de supresión. Los antiguos empleados pueden plantear una complejidad adicional, ya que determinados registros deben conservarse para cumplir obligaciones legales o laborales, lo que hace esencial realizar una evaluación documentada.
Un procedimiento de gestión de derechos debe registrar tanto la actuación realizada como la respuesta enviada.
Un procedimiento completo debería registrar cuándo se recibió una solicitud, cómo se verificó la identidad, qué sistemas y destinatarios fueron revisados, qué datos se eliminaron, si resultaba aplicable alguna excepción y cuándo se informó a la persona. Tratar la eliminación y la comunicación como pasos separados dentro del procedimiento puede evitar que una solicitud técnicamente completada siga sin haber recibido una respuesta desde el punto de vista jurídico.
También debe quedar clara la asignación de responsabilidades. El personal de primera línea debe ser capaz de reconocer una solicitud de ejercicio de derechos incluso cuando no utilice terminología formal del RGPD, mientras que los equipos de privacidad, RR. HH., selección de personal y TI necesitan responsabilidades y vías de escalado claramente definidas. Los recordatorios de plazos, los controles sobre el estado de los casos y las evidencias de la respuesta final pueden ayudar a las organizaciones a demostrar el cumplimiento cuando aumenta el volumen de solicitudes.
Las advertencias reiteradas y el número de personas afectadas incrementaron el riesgo de sanción.
Al fijar la multa de 300.000 EUR, la CNIL tuvo en cuenta la vulneración de principios esenciales relacionados con los derechos de las personas, el número de personas afectadas y el hecho de que EXTIA ya había recibido recordatorios sobre sus obligaciones en dos ocasiones anteriores. La decisión muestra por qué las deficiencias no resueltas en los procedimientos pueden adquirir mayor gravedad cuando una organización ya ha recibido reclamaciones o ha sido objeto de atención regulatoria.
Las medidas correctoras siguen siendo importantes, ya que pueden detener perjuicios continuados y mejorar el cumplimiento futuro. Sin embargo, las organizaciones no deberían confiar en las correcciones realizadas durante una investigación. Poner a prueba los procedimientos de gestión de solicitudes antes de que surjan reclamaciones resulta más eficaz que reconstruir los casos después de que hayan vencido los plazos.
La decisión refuerza la necesidad de una gobernanza medible de los derechos de los interesados.
El cumplimiento de los derechos de los interesados no puede demostrarse únicamente mediante una política de privacidad. Las organizaciones deberían poder medir cuántas solicitudes reciben, con qué rapidez las acusan de recibo y las resuelven, dónde se producen retrasos y si las respuestas finales se envían de forma sistemática. Las revisiones periódicas de muestras de casos pueden revelar solicitudes marcadas internamente como completadas pese a que la persona nunca fue informada.
Para las organizaciones que tratan volúmenes significativos de datos de candidatos, empleados o clientes, estos controles deberían formar parte de la gobernanza habitual en materia de privacidad. Inventarios de datos precisos, reglas de conservación, acuerdos con encargados del tratamiento y formación del personal contribuyen a la capacidad práctica de localizar la información y responder dentro del plazo legal.
Descubre cómo Aphaia ayuda a las organizaciones a llevar a la práctica el cumplimiento de los derechos de los interesados.
Aphaia ayuda a las organizaciones a diseñar y revisar procesos prácticos para recibir, evaluar y responder a solicitudes de ejercicio de derechos conforme al RGPD. Unos procedimientos claros, unas responsabilidades definidas y unos registros fiables pueden reducir los retrasos, favorecer decisiones coherentes y demostrar responsabilidad proactiva ante las personas y las autoridades reguladoras.
