GDPR e Diritto all'Oblio: la multa da 300.000 euro alla Extia

L'email di un candidato che non riceve risposta

Immaginate un professionista dell'IT che, dopo un processo di selezione conclusosi senza un accordo, decide di richiedere la cancellazione dei propri dati personali dal database di un'azienda di consulenza. Invia una mail formale, citando il diritto all'oblio. Passano i giorni, poi le settimane, e il silenzio dell'azienda diventa assoluto. Non c'è una conferma di ricezione, né una notifica di avvenuta cancellazione.

Questo scenario, apparentemente banale in un flusso di lavoro HR congestionato, è esattamente ciò che ha innescato il caso Extia. L'azienda, specializzata in ingegneria e IT e dedita al reclutamento di consulenti per progetti tecnici, si è trovata al centro di una serie di reclami presentati alla CNIL da ex dipendenti e candidati. Il motivo era unico: l'impossibilità di esercitare concretamente il diritto alla cancellazione dei dati personali, previsto dall'Articolo 17 del GDPR.

265 richieste di oblio: l'analisi del fallimento operativo

I numeri emersi dall'indagine della CNIL descrivono un collasso procedurale. Nel corso del 2024, Extia ha ricevuto 265 richieste di cancellazione dei dati. La maggior parte di queste proveniva da candidati, mentre una quota minore era formulata da ex collaboratori.

L'analisi della autorità francese ha rivelato che più di tre quarti di queste istanze non sono state gestite o lo sono state in modo insoddisfacente. Nello specifico, il comitato ristretto della CNIL ha accertato che 12 richieste non sono state processate affatto. Per queste persone, l'azienda ha negato di fatto il controllo sui propri dati personali.

Ancor più grave è stata la gestione della comunicazione. 166 persone non sono state informate dell'esito della loro richiesta, violando l'obbligo di trasparenza. Altre 27 persone hanno ricevuto una risposta, ma in ritardo rispetto al termine legale di un mese. La decisione della CNIL evidenzia come la mancanza di un flusso di lavoro automatizzato o rigoroso possa trasformare un obbligo amministrativo in un rischio finanziario pesante.

Perché il silenzio costa caro agli imprenditori

Una multa di 300.000 euro per l'omissione di alcune email potrebbe sembrare sproporzionata a un imprenditore non avvezzo alle logiche del Garante. Tuttavia, l'analisi strategica suggerisce che la sanzione non colpisce solo l'errore materiale, ma la reiterazione della condotta.

La CNIL ha pesato nel calcolo della sanzione il fatto che Extia fosse già stata richiamata due volte circa i propri obblighi. In termini di business, l'ignoranza della norma è un rischio, ma l'ignoranza del richiamo dell'autorità è considerata negligenza grave. Il costo del silenzio non è dunque legato alla singola cancellazione di un CV, ma alla violazione di principi essenziali del GDPR: trasparenza e controllo dell'interessato.

Analisi di rischio: per un'azienda di servizi IT, dove il capitale umano e i database di talenti sono asset primari, l'incapacità di gestire il ciclo di vita del dato (data lifecycle management) indica una fragilità strutturale che può allarmare non solo i regolatori, ma anche i grandi clienti corporate che richiedono standard di compliance rigorosi nelle loro supply chain.

L'audit della CNIL di aprile 2025: dietro le quinte

L'ispezione che ha portato alla sanzione non è stata un evento isolato o casuale. L'audit di aprile 2025 si è inserito in un contesto europeo più ampio. L'European Data Protection Board (EDPB) aveva lanciato nel 2025 un'azione coordinata all'interno del Coordinated Enforcement Framework (CEF) focalizzata proprio sul 'Right to erasure'.

L'obiettivo dell'EDPB era verificare come le aziende europee stessero applicando il diritto all'oblio. Extia è diventata un caso studio emblematico di ciò che accade quando i processi HR non sono allineati con le policy legali. Il comunicato dell'EDPB chiarisce che l'azione mirava a garantire che i diritti degli individui non rimanessero semplici dichiarazioni su carta, ma fossero operativi.

Durante l'audit, la CNIL ha riscontrato violazioni sia dell'Articolo 12 (informazioni trasparenti e modalità di esercizio dei diritti) che dell'Articolo 17. Solo in seguito all'avvio della procedura sanzionatoria, l'azienda ha provveduto a cancellare i dati rimasti e a informare gli interessati, un tentativo di rimedio che però non ha cancellato la responsabilità per le violazioni pregresse.

L'errore di ignorare i richiami formali

C'è una lezione di gestione aziendale fondamentale in questo dossier: la gestione dei segnali di allerta. Extia non è stata sanzionata al primo errore. I due richiami precedenti erano indicatori chiari di un malfunzionamento interno.

Ignorare un richiamo dell'autorità di controllo è un errore strategico che sposta la sanzione da una fascia di 'correzione' a una di 'punizione'. Se l'azienda avesse implementato un sistema di tracking delle richieste di oblio dopo il primo avviso, l'audit di aprile 2025 avrebbe probabilmente trovato una situazione di conformità o, quanto meno, una volontà di adeguamento che avrebbe ridotto drasticamente l'ammontare della multa.

La lettura critica suggerisce che molte imprese considerino le richieste di oblio come 'rumore di fondo' amministrativo. In realtà, ogni richiesta non evasa è una potenziale denuncia che, in un contesto di azioni coordinate europee, può diventare il trigger per un'ispezione completa di tutti i processi aziendali.

I tempi della cancellazione dati: la timeline della non-compliance

Per comprendere dove Extia ha fallito, è utile analizzare la sequenza temporale degli eventi e gli obblighi legali violati:

• 2024: Ricezione di 265 richieste di cancellazione dati da candidati ed ex dipendenti.
• Entro 30 giorni dalla richiesta: Termine legale per processare la cancellazione e informare l'interessato (termine sistematicamente ignorato per 166 persone e superato per altre 27).
• 2025: L'EDPB lancia l'azione coordinata CEF sul diritto all'oblio.
• Aprile 2025: La CNIL effettua l'audit presso la sede di Extia, rilevando le mancanze.
• 21 Luglio 2026: Data della decisione finale di sanzione amministrativa.
• Settembre 2026: Pubblicazione ufficiale della multa di 300.000 euro.

La gestione HR tra GDPR e Garante: prospettiva europea

Il caso Extia non è un problema francese, ma un monito per ogni imprenditore che gestisce database di candidati. La gestione delle risorse umane è oggi una delle aree a più alto rischio di sanzioni GDPR, poiché i dati trattati sono numerosi, sensibili e spesso conservati per periodi eccessivi.

L'integrazione tra l'AI Act e le normative sulla privacy renderà questo scenario ancora più complesso. Se un'azienda utilizza sistemi di AI per lo screening dei CV, la richiesta di cancellazione dei dati non dovrà riguardare solo il file PDF del candidato, ma potenzialmente anche i profili sintetici o i punteggi generati dagli algoritmi. Gli esperti di Europrivacy sottolineano come la certificazione e la standardizzazione dei processi siano l'unica via per evitare sanzioni di questo tipo.

Per le imprese italiane, questo significa che non è più sufficiente avere una Privacy Policy pubblicata sul sito. È necessario un registro interno delle richieste degli interessati con scadenze automatizzate. Un indicatore verificabile per le aziende sarà l'introduzione di audit interni trimestrali sui tempi di risposta alle richieste di oblio: se il tempo medio di risposta supera i 30 giorni, l'azienda è in una zona di rischio rosso.

In conclusione, l'UE sta passando da una fase di 'educazione' al GDPR a una fase di 'enforcement' rigoroso. La coordinazione tra le autorità nazionali (come CNIL e Garante Privacy in Italia) tramite l'EDPB significa che le strategie di controllo sono ora allineate. Un errore sistemico in una filiale francese o in un partner europeo può diventare il precedente per sanzioni in tutta l'Unione.

Domande frequenti

Fonti: Edpb, Cnil, Europrivacy ·