Failure to respect the rights of individuals: The CNIL fined EXTIA 300 000 EUR
Background information Date of final decision: 21 July 2026 National case Legal Reference(s): Article 12 (Transparent information, communication and modalities for the exercise of the rights of the data subject), Article 17 (Right to erasure ‘right to be forgotten’) Decision: Administrative fine Ke…
- Data do item
- 2026-09-11
- Órgão responsável
- EDPB
- Tipo de ato
- Enforcement / sanção
- Estágio
- Consulta aberta
- Prioridade
- Urgente — agir em dias
- Impacto
- Crítico
- Confiança da análise
- 0.80 — Interpretação fortemente suportada pela fonte oficial
- Território
- União Europeia
O que mudou (registro da fonte oficial)
Background information Date of final decision: 21 July 2026 National case Legal Reference(s): Article 12 (Transparent information, communication and modalities for the exercise of the rights of the data subject), Article 17 (Right to erasure ‘right to be forgotten’) Decision: Administrative fine Key words: Data subject rights Summary of the Decision Origin of the case EXTIA, which specialises in IT and engineering, recruits consultants for various technical projects from its client companies. In 2024, the French Data Protection Authority (CNIL) received several complaints from former employees
Órgão: EDPB · Data do item na fonte oficial: 2026-09-11
Failure to respect the rights of individuals: The CNIL fined EXTIA 300 ↗
Texto e data preservados do item do dataset; nenhum fato foi acrescentado.
Por que isso importa
Leitura: o item é classificado como Consultas públicas e agenda, EDPB e proteção de dados em IA, Trabalho e emprego, o que normalmente desloca obrigações de documentação, transparência ou controlo interno para as equipas responsáveis.
Possíveis obrigações
- Acompanhamento das orientações e atos de execução aplicáveis antes de decisões de produto. — base: Fonte menciona: consultas públicas e agenda, enforcement e sanções · confiança 0.80
- Alinhamento da documentação interna com a terminologia e expectativas do AI Office. — base: Fonte menciona: consultas públicas e agenda, enforcement e sanções · confiança 0.80
- Participação em consultas e códigos de prática quando existir canal aberto. — base: Fonte menciona: consultas públicas e agenda, enforcement e sanções · confiança 0.80
- Base legal documentada para tratamento de dados pessoais em sistemas de IA. — base: Fonte menciona: consultas públicas e agenda, enforcement e sanções · confiança 0.80
- Avaliação de impacto sobre a proteção de dados (DPIA) quando exigida. — base: Fonte menciona: consultas públicas e agenda, enforcement e sanções · confiança 0.80
- Informação transparente sobre decisões automatizadas e revisão humana efetiva. — base: Fonte menciona: consultas públicas e agenda, enforcement e sanções · confiança 0.80
Riscos
- Tomar decisão de arquitetura com base em orientação desatualizada.
- Desalinhamento entre o produto e o entendimento da autoridade europeia.
- Custo de retrabalho por implementação tardia de requisitos técnicos.
- Treino ou fine-tuning sem base legal documentada.
- Uso de web scraping e conteúdo pessoal sem avaliação registada.
- Decisões automatizadas sem intervenção humana significativa.
Oportunidades
- Contribuir para o desenho das regras através de consultas e códigos de prática.
- Usar orientações oficiais como referência de garantia de qualidade interna.
- Redução de risco antes de escalar o produto para novos mercados.
- Uso de orientações do EDPB como argumento de confiança em vendas a clientes regulados.
- Parcerias de dados estruturadas de forma defensável.
Quem pode ser afetado
Exposição provável em: Recrutamento e Seleção, AdTech, Cloud, E-commerce. Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.
Setores
- Recrutamento e Seleção — Termo do item oficial relacionado ao setor. (base explícita)
- AdTech — Tema «Consultas públicas e agenda» afeta tipicamente este setor. (base temática)
- Cloud — Tema «Consultas públicas e agenda» afeta tipicamente este setor. (base temática)
- E-commerce — Tema «Consultas públicas e agenda» afeta tipicamente este setor. (base temática)
- HR Tech — Tema «Trabalho e emprego» afeta tipicamente este setor. (base temática)
- Marketplaces — Tema «Consultas públicas e agenda» afeta tipicamente este setor. (base temática)
- Provedores de IA — Tema «Consultas públicas e agenda» afeta tipicamente este setor. (base temática)
- SaaS — Tema «Consultas públicas e agenda» afeta tipicamente este setor. (base temática)
Tipos de empresa: Grande empresa, PME (pequena e média empresa), Startup / empresa em formação, Provedor de sistema de IA, Plataforma digital / marketplace, Setor público, Ensino e investigação, Provedor de cloud, infraestrutura ou capacidade computacional
Áreas internas: Public Policy, Government Affairs, Regulatory Affairs, Jurídico, Strategy, Data Protection Officer, Privacy, Compliance
Classificação por palavras-chave e tema. Não estabelece que qualquer organização específica esteja juridicamente enquadrada no ato.
O que fazer
- Assinar as atualizações do AI Office e do registo oficial antes de cada release relevante. — responsável sugerido: Regulatory Affairs · prioridade Alta
- Registar em ata a versão da orientação usada para decidir. — responsável sugerido: Regulatory Affairs · prioridade Alta
- Envolver produto e jurídico na leitura de novas orientações. — responsável sugerido: Regulatory Affairs · prioridade Alta
- Mapear as bases legais de cada caso de uso de IA que trata dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
- Atualizar a DPIA para os casos de uso afetados pela orientação mais recente. — responsável sugerido: Data Protection Officer · prioridade Alta
- Formar produto e marketing sobre limites de uso de dados pessoais. — responsável sugerido: Data Protection Officer · prioridade Alta
SLA sugerido: agir em dias · Áreas responsáveis: public-policy, government-affairs, regulatory-affairs, legal, strategy, dpo, privacy, compliance
O que isso significa na prática?
Consequência empresarial
Na prática, isto altera expectativas sobre como a organização documenta, avalia e supervisiona o uso de IA em Recrutamento e Seleção, AdTech, Cloud.
Áreas internas envolvidas
Public Policy, Government Affairs, Regulatory Affairs, Jurídico, Strategy, Data Protection Officer, Privacy, Compliance
Possíveis custos
Custo de adequação não quantificado pelo monitor: depende do número de sistemas afetados, da obrigação aplicável e do desenho do controlo.
Necessidade de adequação
Provável necessidade de adequação em documentação, contratos ou controlos internos quando a obrigação se confirmar aplicável.
Risco de não agir
Tomar decisão de arquitetura com base em orientação desatualizada.
Próximo passo
Assinar as atualizações do AI Office e do registo oficial antes de cada release relevante.
Prazos ligados a este evento
| Data | Marco | Prazo restante | No tracker |
|---|---|---|---|
| 2026-07-21 | Data referida no texto oficial | cumprido | referência |
Abrir o Deadline Tracker completo →
Evidência utilizada
Potencialmente afetada. A aplicabilidade depende das atividades exercidas e requer avaliação jurídica específica.