法国CNIL对IT工程咨询公司EXTIA罚款30万欧元：265条删除请求逾四分之三未妥善处理

此次检查也是欧洲数据保护委员会2025年针对删除权的协同执法行动的一部分。检查认定两项违法：其一是违反第12条与第17条，2024年收到的265条删除请求中有12条从未处理；其二是单独违反第12条，166名提出删除请求的人从未被告知处理结果，另有27人的告知延迟数月，超出一个月法定期限。

EXTIA辩称大量请求来自数据已被自动删除的候选人，情节并不严重。监管机构明确回应：自动删除“并不免除企业告知候选人其请求处理结果的义务”。这一认定是本案例最具普遍指导意义的部分——删除动作与告知义务是两个独立义务。

在罚款裁量上，CNIL考虑了三项因素：对数据主体权利核心原则的漠视、受影响人数众多，以及该公司此前已被两次提醒履行义务。监管机构同时认可公司在程序进行期间删除了相关数据并补做告知，对部分因无法识别身份而无法告知的情形也予采信。

对企业而言，本案提示删除权（DSAR中的erasure）流程不能只有后端删除动作，必须配套闭环的结果告知机制与时效监控。在招聘、人力外包等高频产生删除请求的场景，应建立请求台账、一个月响应时限提醒与告知留痕。