Multa de 300.000 euros a EXTIA por vulnerar el derecho al olvido
- La autoridad francesa CNIL impone una multa de 300.000 euros a EXTIA por incumplir el RGPD.
- De 265 solicitudes de borrado de datos recibidas en 2024, más de tres cuartas partes no fueron gestionadas correctamente.
- La sanción destaca fallos graves en la transparencia y en la comunicación con los interesados.
- El caso surge en el marco de una acción coordinada del Comité Europeo de Protección de Datos (EDPB).
La gestión de los datos personales ha dejado de ser una mera casilla de verificación en los manuales de cumplimiento para convertirse en un riesgo financiero tangible. El caso reciente de EXTIA, empresa especializada en ingeniería y servicios informáticos, sirve como un recordatorio severo para cualquier organización que maneje bases de datos de candidatos y empleados. La autoridad francesa de protección de datos, la CNIL, ha impuesto una sanción administrativa de 300.000 euros tras detectar fallos sistemáticos en la aplicación del derecho al borrado, comúnmente conocido como el derecho al olvido.
El origen de la sanción y el volumen de los fallos
El conflicto comenzó en 2024, cuando la CNIL empezó a recibir múltiples quejas de antiguos empleados y candidatos que habían intentado eliminar sus datos de los sistemas de EXTIA sin éxito. La empresa, cuyo modelo de negocio se basa en el reclutamiento de consultores técnicos para proyectos de clientes externos, acumulaba un volumen de solicitudes que superaba su capacidad de respuesta o su voluntad de gestión.
Durante una auditoría realizada en abril de 2025, los inspectores analizaron el flujo de trabajo de la compañía. Los números revelan una negligencia operativa considerable: de las 265 solicitudes de borrado recibidas durante el año 2024, más de tres cuartas partes no fueron atendidas o se resolvieron de manera insatisfactoria. Esta cifra no representa un error puntual, sino un fallo estructural en la gobernanza de datos de la organización.
Incumplimientos críticos en los artículos 12 y 17 del RGPD
La resolución de la CNIL se centra en dos pilares fundamentales del Reglamento General de Protección de Datos. El primero es el artículo 17, que garantiza que el ciudadano pueda solicitar la eliminación de sus datos cuando ya no sean necesarios para los fines que fueron recogidos. En el caso de EXTIA, el comité restringido de la autoridad detectó que 12 solicitudes específicas fueron ignoradas por completo, privando a estas personas del control sobre su propia información personal.
El segundo punto crítico reside en el artículo 12, referido a la transparencia y la comunicación. No basta con borrar los datos; la ley exige que la empresa informe al interesado sobre la acción tomada. La auditoría reveló que 166 personas nunca recibieron notificación alguna sobre el estado de su solicitud. Además, otras 27 personas recibieron la respuesta fuera del plazo legal de un mes, incurriendo en retrasos injustificados que vulneran la normativa europea.
Una acción coordinada a escala europea
Es fundamental entender que este caso no es un hecho aislado, sino que forma parte de una estrategia más amplia. La investigación sobre EXTIA se inserta en el marco del Coordinated Enforcement Framework (CEF), una acción coordinada sobre el derecho al borrado lanzada en 2025 por iniciativa del EDPB (Comité Europeo de Protección de Datos).
Este enfoque coordinado implica que las autoridades nacionales de protección de datos están alineando sus criterios para evitar que las empresas apliquen el RGPD de forma dispar según el país. La sanción a EXTIA envía un mensaje claro a todo el mercado único digital: el derecho al olvido no es una sugerencia, sino una obligación operativa con plazos estrictos y consecuencias económicas directas.
Factores que agravaron la multa administrativa
La cuantía de los 300.000 euros no es aleatoria. La CNIL ha ponderado varios factores para llegar a esta cifra, priorizando la gravedad de la infracción de los principios esenciales de los derechos individuales y el número elevado de personas afectadas. Un elemento determinante fue la reincidencia indirecta: la empresa ya había sido recordada de sus obligaciones en dos ocasiones previas, lo que demuestra que las advertencias anteriores no fueron suficientes para implementar los cambios necesarios en sus procesos internos.
La falta de respuesta a las solicitudes de borrado afecta directamente la capacidad del individuo para mantener el control sobre sus datos, un principio básico de la privacidad moderna.
A pesar de que EXTIA tomó medidas correctivas durante el proceso —borrando finalmente los datos pendientes e informando a los afectados—, estas acciones fueron consideradas insuficientes para anular la sanción, aunque pudieron evitar una multa aún más elevada.
La gestión de datos en el sector de consultoría IT
El sector de la ingeniería y la consultoría técnica es especialmente vulnerable a este tipo de sanciones debido a la naturaleza de su actividad. Estas empresas suelen mantener bases de datos masivas de currículums y perfiles técnicos para responder rápidamente a las demandas de sus clientes. Sin embargo, el almacenamiento indefinido de estos perfiles sin un consentimiento actualizado o sin un proceso de purga eficiente es una bomba de tiempo regulatoria.
La incapacidad de EXTIA para gestionar 265 solicitudes en un año sugiere que la empresa carecía de un sistema automatizado o de un responsable de protección de datos (DPO) con autoridad suficiente para ejecutar los borrados en los diferentes silos de información de la compañía. Para los emprendedores tecnológicos, esto subraya que la escalabilidad del negocio debe ir acompañada de una escalabilidad en el cumplimiento normativo.
Implicaciones para el tejido empresarial en España
Aunque la sanción ha sido ejecutada en Francia, el impacto para las empresas españolas es directo y preocupante. España posee un tejido empresarial compuesto mayoritariamente por PYMES y una creciente cantidad de consultoras tecnológicas que operan bajo esquemas similares al de EXTIA. La Agencia Española de Protección de Datos (AEPD) ha seguido históricamente la línea del EDPB, por lo que es probable que veamos un incremento en las auditorías enfocadas en el derecho al borrado en territorio nacional.
En el contexto de la Agenda Digital Española y la implementación progresiva del AI Act, la calidad y la legalidad de los datos se vuelven críticas. Si una empresa utiliza datos personales para entrenar modelos de IA o para alimentar sistemas de matching de talento, la incapacidad de borrar un dato a petición del usuario podría invalidar no solo la base de datos, sino el propio modelo derivado si se demuestra que se basa en datos obtenidos o mantenidos ilegalmente.
Para el empresario español, esto significa que el cumplimiento del RGPD ya no puede delegarse en un contrato de mantenimiento informático genérico. Se requiere una auditoría de flujos de datos que permita identificar exactamente dónde reside la información de un candidato y cómo eliminarla de forma transversal en menos de 30 días. La digitalización de la administración y la presión europea hacen que la transparencia ya no sea una ventaja competitiva, sino un requisito de supervivencia operativa.
Preguntas frecuentes
¿Qué es exactamente el derecho al olvido según el RGPD?
Es el derecho de las personas a solicitar que sus datos personales sean eliminados de los sistemas de una empresa cuando ya no sean necesarios, cuando se retire el consentimiento o cuando el tratamiento sea ilícito.
¿Cuál fue el error principal de EXTIA?
La empresa no procesó la mayoría de las solicitudes de borrado recibidas en 2024 y no informó a los interesados sobre las acciones tomadas, incumpliendo los plazos legales.
¿Puede una empresa española ser sancionada por motivos similares?
Sí, la AEPD aplica el RGPD y sigue las directrices del EDPB, por lo que cualquier empresa en España que ignore las solicitudes de borrado de datos se expone a multas administrativas.
¿El hecho de borrar los datos después de la auditoría elimina la multa?
No. Aunque las medidas correctivas pueden ser consideradas para mitigar la sanción, el incumplimiento previo y la falta de respuesta original ya constituyen la infracción.
Fuentes: Edpb, Cnil, Europrivacy ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
