CNIL се задейства и заради координираното правоприлагащо действие (CEF) „Право на изтриване“, стартирано по инициатива на Европейския комитет по защита на данните през 2025 г.
На 9 септември 2026 г. френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) съобщи, че на 21 юли 2026 г. е глобил EXTIA с 300 000 евро за различни нарушения, свързани със зачитането на правата на лицата, по-специално правото на изтриване на лични данни (правото да бъдеш забравен).
EXTIA, която е специализирана в IT и инженерни професии, набира консултанти за различни технически проекти от своите клиенти.
През 2024 г. CNIL получава няколко жалби от бивши служители или кандидати, свързани с трудности, възникнали при упражняване на правото им на изтриване или „правото да бъдат забравени“ (член 17 от Общия регламент относно защитата на данните GDPR). С цел разследване на тези жалби, както и в контекста на координираното правоприлагащо действие (CEF) „Право на изтриване“, стартирано по инициатива на Европейския комитет по защита на данните през 2025 г. , през април 2025 г. беше извършен одит на EXTIA. Той установи нарушения на няколко задължения съгласно GDPR по отношение на прозрачността и зачитането на правата на физическите лица.
От 265-те искания за заличаване, получени от компанията през 2024 г., по-голямата част от които са от кандидати и понякога от бивши служители, повече от три четвърти не са били обработени или не са били обработени задоволително.
Затова органът на CNIL, отговорен за издаването на санкции – наложи глоба в размер на 300 000 евро на EXTIA, като взе предвид нарушението на основни принципи, свързани с правата на лицата, броя на засегнатите лица и факта, че на EXTIA вече е било напомняно за задълженията ѝ два пъти.
Санкционираните нарушения са:
Необработване на заявления за изтриване (членове 12 и 17 от GDPR)
Наказващият състав отбелязва, че 12 заявления за заличаване, получени от компанията през 2024 г., не са били обработени. Според състава това неизпълнение е засегнало неблагоприятно правата на тези лица, включително правото им да запазят контрол върху данните си.
От друга страна, наказващият състав отбелязва, че компанията е предприела мерки в хода на процедурата за отстраняване на нарушението, като е изтрила въпросните данни и е информирала лицата за предприетите действия по тяхно искане.
Неинформиране на лицата за предприетите действия по искането им за заличаване (член 12 от GDPR)
Наказващият състав счита, че дружеството не е изпълнило задължението си да информира лицата, които са поискали изтриване на данните им.
Отбелязва, че 166 лица, които са подали искане за заличаване през 2024 г., не са били информирани за предприетите действия по това заявление. Други 27 лица са получили тази информация късно (извън законоустановения едномесечен срок), със закъснения до няколко месеца.
Въпреки че компанията оспорва сериозността на нарушението, заявявайки, че много от тези искания се отнасят до заявители, чиито данни са били автоматично изтрити, наказващият състав посочи, че това автоматично изтриване не освобождава компанията от задължението да ги информира за резултата от техните искания.
Наказващият състав отбелязва, че по време на процедурата компанията е информирала лицата за резултата от тяхното заявление. За останал брой искания се счело, че компанията е предоставила основателни причини, поради които информацията не може да бъде предоставена (напр. невъзможност за идентифициране на съответното лице).