300 tys. euro za nieobsłużone prośby o usunięcie danych. CNIL karze EXTIA

Żądanie usunięcia danych to jedno z najczęściej używanych praw z RODO. Klient, kandydat do pracy czy subskrybent newslettera pisze: „usuńcie moje dane”. Wiele firm traktuje takie wiadomości jak zwykłą korespondencję, którą można odłożyć na później. Francuski organ ochrony danych CNIL pokazał właśnie, ile to może kosztować.

Kim jest EXTIA i co się stało

EXTIA to francuska firma z branży IT i inżynierii, która rekrutuje konsultantów do projektów technicznych u swoich klientów. W 2024 r. do CNIL trafiło kilka skarg od byłych pracowników i kandydatów, którzy mieli problem z wyegzekwowaniem prawa do usunięcia danych, nazywanego też prawem do bycia zapomnianym.

CNIL zajął się skargami, a dodatkowo firma znalazła się w kręgu skoordynowanej akcji kontrolnej dotyczącej prawa do usunięcia danych, którą w 2025 r. uruchomiono z inicjatywy Europejskiej Rady Ochrony Danych. W kwietniu 2025 r. przeprowadzono w EXTIA kontrolę. Wykazała ona naruszenia obowiązków w zakresie przejrzystości i poszanowania praw osób.

Liczby, które mówią same za siebie

W 2024 r. firma otrzymała 265 żądań usunięcia danych, głównie od kandydatów, a sporadycznie od byłych pracowników. Ponad trzy czwarte z nich nie zostało rozpatrzonych albo zostało rozpatrzonych niewłaściwie. Komisja CNIL odpowiedzialna za sankcje wskazała konkretnie:

• 12 żądań w ogóle nie zostało zrealizowanych. Według CNIL naruszyło to prawa tych osób, w tym prawo do zachowania kontroli nad swoimi danymi.
• 166 osób nie dostało informacji, co firma zrobiła z ich żądaniem.
• 27 osób dostało odpowiedź po terminie. RODO daje na nią co do zasady miesiąc, a opóźnienia sięgały kilku miesięcy.

Decyzja zapadła 21 lipca 2026 r. Podstawą były art. 12 RODO, dotyczący m.in. przejrzystej komunikacji i sposobu wykonywania praw, oraz art. 17, czyli prawo do usunięcia danych.

Dlaczego kara wyniosła 300 tys. euro

Ustalając wysokość kary, CNIL wziął pod uwagę trzy rzeczy:

1. naruszenie podstawowych zasad dotyczących praw osób,
2. liczbę osób, których sprawa dotyczyła,
3. to, że EXTIA była już dwukrotnie upominana w sprawie tych obowiązków.

Ten trzeci punkt jest ważny. Firma dostała wcześniej sygnały, że coś jest nie tak, i nie wyciągnęła wniosków. Organy ochrony danych zwykle oceniają to surowo.

Warto też zwrócić uwagę na proporcje. Spośród stwierdzonych uchybień tylko 12 dotyczyło sytuacji, w której dane w ogóle nie zostały usunięte. Zdecydowana większość problemów wynikała z braku komunikacji: 166 osób nie dowiedziało się, co stało się z ich prośbą, a 27 czekało na odpowiedź znacznie dłużej, niż pozwalają przepisy. Innymi słowy, firma mogła w wielu przypadkach zrobić to, o co ją proszono, ale nie poinformowała o tym zainteresowanych. Dla organu to wciąż naruszenie, bo osoba, która nie dostaje odpowiedzi, nie ma jak sprawdzić, czy jej prawo zostało uszanowane.

Lekcja dla polskich firm

Sprawa EXTIA dotyczy firmy rekrutacyjnej, ale mechanizm jest uniwersalny. Żądania usunięcia danych trafiają do sklepów internetowych, biur rachunkowych, agencji, firm usługowych i każdego, kto prowadzi bazę klientów, newsletter czy formularz kontaktowy. Najczęstsze problemy wyglądają podobnie:

• prośba przychodzi na ogólną skrzynkę i nikt nie czuje się za nią odpowiedzialny,
• dane są usuwane z jednego systemu, ale zostają w innych, np. w narzędziu do mailingu czy w CRM,
• firma usuwa dane, ale zapomina potwierdzić to osobie, która o to prosiła,
• nikt nie pilnuje terminu, więc odpowiedź wychodzi po kilku miesiącach albo wcale.

Jak zorganizować obsługę żądań

Nie potrzebujesz drogiego oprogramowania. Wystarczy prosty, spisany proces:

1. Jeden kanał kontaktu. Podaj w polityce prywatności adres e-mail lub formularz do spraw danych osobowych i upewnij się, że ktoś go regularnie czyta.
2. Rejestr żądań. Nawet zwykły arkusz z datą wpływu, rodzajem żądania, terminem odpowiedzi i datą realizacji pozwoli pilnować miesięcznego terminu.
3. Mapa systemów. Zapisz, gdzie trzymasz dane osobowe: sklep, system faktur, CRM, newsletter, arkusze, skrzynka mailowa. Usuwając dane, przejdź przez całą listę.
4. Gotowe wzory odpowiedzi. Przygotuj krótkie szablony potwierdzenia usunięcia oraz odmowy z uzasadnieniem, gdy dane trzeba zachować, np. ze względu na obowiązki księgowe.
5. Przegląd raz na jakiś czas. Sprawdzaj, czy w rejestrze nie ma spraw bez odpowiedzi.

Szczególną uwagę zwróć na dane kandydatów do pracy, bo właśnie ich dotyczyła większość żądań w sprawie EXTIA. CV często krążą w mailach, na dyskach i w systemach rekrutacyjnych, więc łatwo zapomnieć o którejś kopii. Ustal z góry, jak długo przechowujesz zgłoszenia i kto odpowiada za ich usuwanie.

Prawa użytkowników zaczynają się na stronie

Podobna zasada dotyczy zgód na pliki cookie. Użytkownik ma prawo nie tylko zgodę wyrazić, ale też w każdej chwili ją wycofać, i to równie łatwo, jak ją dał. Jeśli Twoja strona nie pozwala wrócić do ustawień prywatności albo narzędzia śledzące działają mimo odmowy, to również jest problem z poszanowaniem praw osób. Sprawdź, jak wygląda to na Twojej stronie w darmowym narzędziu Skaner zgody, a jeśli potrzebujesz banera z łatwą zmianą decyzji, możesz go ustawić w CookieBanerPro.

Źródło: EDPB

CNILkary RODOprawo do usunięcia danychprawa osób