CNIL sanziona EXTIA: quando il rischio GDPR è il processo, non il caso

300.000 euro è la sanzione inflitta dalla CNIL a EXTIA — ma il numero che dovrebbe preoccupare davvero i compliance officer non è quello: su 265 richieste di cancellazione ricevute in un solo anno, oltre tre quarti sono finite nel nulla o gestite male. Non è la storia di un rifiuto: è la storia di un processo che non regge il carico.

Cosa è successo

Il 21 luglio 2026 il collegio ristretto della CNIL, l'autorità francese di protezione dati, ha sanzionato EXTIA, società di reclutamento IT ed engineering, con una multa di 300.000 euro. La decisione, resa pubblica dall'European Data Protection Board l'11 settembre 2026, nasce da un'indagine avviata nel 2025 nell'ambito della Coordinated Enforcement Framework sul "diritto alla cancellazione", dopo che diversi ex dipendenti e candidati avevano segnalato alla CNIL difficoltà nell'esercitare questo diritto.

L'audit condotto nell'aprile 2025 ha portato alla luce il numero centrale del caso: nel 2024 EXTIA ha ricevuto 265 richieste di cancellazione, prevalentemente da candidati e occasionalmente da ex dipendenti. Di queste, 12 non sono mai state processate; altre 166 persone non sono mai state informate dell'esito della propria richiesta; altre 27 hanno ricevuto risposta, ma in ritardo, con scostamenti fino a diversi mesi rispetto al termine di legge di un mese. In totale, oltre 205 richieste su 265 — più di tre quarti — non hanno avuto un esito o un'informazione adeguata. La CNIL ha inquadrato la vicenda come violazione di due obblighi distinti: l'evasione delle richieste (art. 17 GDPR) e l'informazione agli interessati sull'esito (art. 12 GDPR).

Perché conta: il processo, non il singolo caso

Il tasso di fallimento

Un rifiuto isolato di cancellazione è un errore. Un tasso di fallimento del 77% su un intero anno di richieste è un sintomo: il processo che dovrebbe intercettare, istruire e chiudere le richieste degli interessati non regge il volume che riceve. Le 193 persone coinvolte dalla sola violazione dell'art. 12 GDPR — quasi tre richiedenti su quattro — mostrano che il punto debole non è solo "cancellare i dati", ma comunicare che è stato fatto. È un dettaglio che conta doppiamente: per l'interessato, che resta senza risposta; per l'azienda, che perde la prova di aver agito correttamente anche quando lo ha fatto.

Da errore isolato a rischio sistemico

Quando un processo fallisce su questa scala, la causa raramente è la cattiva volontà: è quasi sempre l'assenza di un flusso tracciato, con responsabili, SLA e verifiche periodiche. La CNIL ha sottolineato che EXTIA era già stata richiamata due volte sui medesimi obblighi prima della sanzione — un dettaglio che pesa sull'importo della multa e conferma che un rischio non misurato tende a ripetersi, anno dopo anno, fino a diventare un caso pubblico.

Il collegamento con ISO 27001, controllo A.5.34

Cosa richiede in pratica il controllo

Il controllo A.5.34 dell'Annex A di ISO/IEC 27001:2022 ("Privacy and protection of PII") chiede alle organizzazioni di identificare e rispettare gli obblighi di legge in materia di privacy e protezione dei dati personali, incluso il trattamento delle richieste degli interessati. Non basta una policy scritta: il controllo si verifica misurando se le richieste vengono effettivamente ricevute, tracciate, istruite entro i termini ed evase con relativa comunicazione all'interessato.

Dove tipicamente si rompe il processo

Nella pratica, i punti di rottura più comuni sono quattro: l'intake (la richiesta non viene riconosciuta come tale e finisce in una casella email generica), lo SLA (nessun termine formale che triggeri un'escalation), la tracciabilità (nessun log che dimostri chi ha fatto cosa e quando) e l'escalation (nessun secondo livello quando il primo responsabile non risponde). Il caso EXTIA, a giudicare dai numeri, sembra toccare almeno i primi tre.

E per chi certifica ISO 42001: la tracciabilità estesa ai dati di training

Perché una richiesta di cancellazione può toccare anche i dataset di addestramento

Per le organizzazioni che sviluppano o usano sistemi di intelligenza artificiale, il perimetro delle richieste di cancellazione non si ferma ai sistemi gestionali classici (CRM, ATS, HR). Se i dati personali di un interessato sono confluiti in un dataset di addestramento, la richiesta di cancellazione può, in linea di principio, riguardare anche quel dataset e i modelli derivati — un'estensione del rischio che molte organizzazioni non hanno ancora mappato.

Cosa verificare oggi nel proprio registro AI

Senza citare un controllo specifico non ancora consolidato in modo univoco per questo scenario, la raccomandazione pratica è verificare se il proprio registro dei trattamenti IA (richiesto anche nel quadro ISO/IEC 42001) traccia la provenienza dei dati di training fino alla persona fisica, quando applicabile, e se esiste una procedura per onorare una richiesta di cancellazione che tocchi anche questi dataset.

Checklist pratica

Per misurare, non solo dichiarare, l'efficacia dei propri controlli sui diritti dell'interessato:

• SLA tracciato per ogni richiesta, con termine di un mese e alert automatico prima della scadenza.
• Audit trail che registri intake, istruttoria, decisione e comunicazione all'interessato.
• Test periodico con richieste simulate, per verificare che il processo — non solo la policy — funzioni davvero.
• Reportistica regolare al DPO sul volume e sull'esito delle richieste ricevute.
• Escalation path chiaro quando il primo responsabile non risponde entro i termini interni.

Conclusione

Il caso EXTIA non è un monito contro un'azienda distratta: è la prova che un processo di gestione dei diritti dell'interessato può reggere sulla carta e fallire nella pratica, ed è quello scarto — non la policy — a costare 300.000 euro. Prima di scoprirlo con un audit esterno, vale la pena verificarlo con uno interno.

Fonti

• EDPB, "Failure to respect the rights of individuals: The CNIL fined EXTIA 300 000 EUR", 11 settembre 2026.
• CNIL, "Non-respect des droits des personnes : sanction de 300 000 euros à l'encontre de la société EXTIA".
• Regolamento (UE) 2016/679 (GDPR), artt. 12 e 17.
• ISO/IEC 27001:2022, Annex A, controllo A.5.34 — Privacy and protection of PII.