Apport partiel d'activité : séparer les fichiers

Lorsqu’une activité est apportée à une autre société, le fichier à remettre se définit par les opérations qui doivent continuer, pas par la totalité des comptes clients présents dans le logiciel. Un client commun peut avoir deux contrats, des échanges mêlés et des archives utiles à des titres différents. Dupliquer sa fiche entière chez les deux entreprises ne constitue pas une séparation.

Le travail consiste à attribuer chaque ensemble à une finalité, préserver les relations entre pièces et organiser les exceptions. La remise peut être partiellement prête : un dossier au rattachement incertain doit rester identifié comme tel, sans disparaître des contrôles ni être transmis par défaut.

Partir du périmètre juridique de l’opération

Identifiez d’abord les personnes morales, les contrats concernés, la date d’effet et les obligations restant à chacune. Le présent guide intervient après cet arbitrage : il ne détermine pas le régime de l’apport ni les conditions juridiques du transfert des contrats. Une annexe mentionnant « fichier clients » ne répond pas, à elle seule, à toutes les questions de protection des données.

La communication au bénéficiaire est un traitement. Elle doit respecter finalité, minimisation et licéité ; un changement d’outil ne crée pas une nouvelle base légale. Les conditions du traitement ultérieur doivent également être examinées lorsque sa finalité change. RGPD, Art. 5(1)(b)/(c), 6(1) et 6(4).

La base contractuelle de l’Art. 6(1)(b) vise un contrat auquel la personne concernée est partie. Elle ne couvre pas automatiquement les données d’un contact salarié simplement parce que son employeur a signé un contrat commercial. Selon les opérations, une obligation légale ou un intérêt légitime documenté peut être pertinent ; il faut établir ses conditions plutôt que recopier une base identique sur tous les fichiers.

Séparez aussi deux phases : les pièces utilisées pour négocier l’opération et les données nécessaires à l’exploitation après celle-ci. Une data room à accès progressif répond à la première phase. Ses droits d’accès ne deviennent pas automatiquement ceux du futur service client.

La vente d’un fichier destiné à la prospection soulève encore d’autres conditions. La CNIL rappelle que cette vente reste soumise au RGPD. Ne transformez pas la reprise nécessaire d’un contrat en permission générale de démarcher tous les anciens contacts pour d’autres offres.

Décomposer le fichier par relation et par usage

Un code de branche est un point de départ technique, pas une preuve suffisante. Le même compte peut contenir une commande transférée, une prestation conservée par l’apporteur, un contentieux antérieur et un contact commun.

Pour chaque ensemble, indiquez : la relation concernée, le destinataire, l’usage permis, les données nécessaires, les dates de conservation et les pièces associées. Lorsque la même information reste nécessaire aux deux sociétés, chacune doit justifier son traitement. La présence d’une copie n’autorise pas les mêmes usages chez les deux acteurs.

Les pièces sensibles ou couvertes par un secret demandent un examen particulier. Les Art. 9 et 10 ajoutent des conditions selon leur contenu ; le périmètre de l’opération ne les neutralise pas. RGPD, catégories particulières et données pénales.

Dossier A-16 : une activité, plusieurs destinations

Exemple entièrement fictif. Aster exerce une activité de maintenance et une activité de formation. La maintenance doit être apportée à Boréal le 9 novembre, selon un périmètre juridique supposé préalablement validé. Ce guide ne prétend pas que ce montage serait applicable à toute restructuration.

Le fichier opérationnel contient 64 dossiers : 44 concernent uniquement la maintenance, 12 regroupent les deux activités et 8 concernent seulement la formation. Ces nombres sont des dossiers, pas nécessairement des clients distincts ni des personnes physiques.

L’équipe prépare la remise avant la date d’effet. Elle ne donne pas à Boréal un accès général aux 64 dossiers pendant cette préparation.

Les archives ne s’ajoutent pas mécaniquement au compte des 64 dossiers : elles peuvent contenir des pièces issues de plusieurs catégories. Le contrôle des copies doit donc être distinct du décompte des dossiers opérationnels.

Traiter concrètement un dossier mixte

Dans M-18, la société cliente dispose du contrat de maintenance MA-18 et du contrat de formation FO-42. Une même interlocutrice, Inès, suit les deux. Un courriel contient une demande d’intervention et une discussion sur le prix de la formation.

Boréal reçoit les coordonnées professionnelles nécessaires à la maintenance, MA-18, ses pièces utiles et la partie pertinente de la demande d’intervention. La négociation FO-42 n’est pas incluse par commodité. L’extrait est identifié comme tel, avec une référence permettant à Aster de retrouver l’original lorsqu’il demeure licitement conservé.

Si la séparation d’une pièce lui fait perdre son sens ou sa valeur probatoire, les responsables examinent une modalité précise de communication. Ils ne créent pas un droit permanent de consulter tous les échanges d’Inès. L’original reste intact : fabriquer une copie de travail ne doit pas réécrire l’historique.

La fiche d’Inès chez Boréal décrit sa fonction de contact pour MA-18. Elle ne reprend ni son historique de formation ni un éventuel choix commercial comme s’il portait indistinctement sur les deux sociétés.

Une réception partielle doit rendre les réserves visibles

Supposons que les 44 dossiers exclusifs soient prêts, ainsi que 9 des 12 dossiers mixtes. Trois dossiers mixtes présentent encore des pièces sans rattachement fiable. Le bilan est alors : 53 dossiers prêts pour le périmètre convenu, 3 réserves, 8 dossiers exclus de la remise. Le total reste 64.

Un procès-verbal indiquant seulement « 56 dossiers transférables » masquerait le problème. Une mention « 53 dossiers traités » sans liste des trois réserves ferait croire que le travail est terminé.

Voici une formulation opérationnelle adaptée à l’exemple :

« Préparation A-16, version du 6 novembre : 44 dossiers de maintenance et 9 dossiers mixtes séparés sont disponibles pour réception selon la matrice jointe. Les dossiers M-04, M-09 et M-12 restent hors de la remise, faute de rattachement fiable des pièces signalées. Les 8 dossiers de formation sont exclus. Cette réception partielle ne vaut pas décision de continuité pour les trois dossiers réservés au 9 novembre. »

La direction doit résoudre les réserves avant les opérations concernées ou définir un dispositif transitoire licite et limité. La date commerciale prévue ne justifie pas d’ouvrir toute la base pour contourner une séparation inachevée. Si aucun dispositif acceptable n’est prêt, le périmètre concerné reste à arbitrer explicitement avec les responsables de l’opération.

Préserver les dates et les demandes de droits

L’import ne remet pas la conservation à zéro. Transmettez les dates utiles au calcul des échéances, les événements qui les déclenchent et les éventuelles restrictions. Une colonne « création le 9 novembre » ne doit pas remplacer silencieusement la date d’origine d’un dossier de 2021. Le guide des échéances lors d’une migration décrit cette continuité.

Pour A-16, une correction d’adresse reçue après l’export de préparation doit être propagée aux copies concernées. Désignez la personne qui vérifie le dernier état avant réception. Le destinataire doit pouvoir identifier quelle version fait foi ; une synchronisation automatique ne doit pas réintroduire l’ancienne valeur inexacte.

Conservez également la date initiale des demandes de droits en cours, leur objet, les démarches réalisées et les points non résolus. Un transfert interne ou une opération sociétaire ne permet pas de recommencer systématiquement le délai à la date d’import. Les obligations de réponse, de rectification et de notification aux destinataires doivent être traitées selon leurs conditions. RGPD, Art. 12(3), 16 et 19.

Les demandes doivent être attribuées aux responsables concernés. Boréal ne répond pas sur la formation comme s’il en était devenu responsable ; Aster ne considère pas qu’il est déchargé de toute réponse parce qu’une partie du dossier a quitté son outil.

Encadrer le service informatique transitoire

Aster peut, dans l’exemple, maintenir temporairement une fonction technique pour Boréal. Cette prestation doit être décrite : comptes autorisés, opérations possibles, données accessibles, durée, assistance et modalités de sortie. Le seul mot « transition » n’en précise aucune limite.

Si Aster traite certaines données pour le compte de Boréal sur ses instructions, l’Art. 28(3) encadre ces opérations. Cela ne transforme pas Aster en sous-traitant pour ses propres archives ou son activité de formation. Les rôles doivent rester distingués par traitement. RGPD, Art. 28(1) à (3).

Le contrôle de réception comporte des vérifications positives et négatives : ouvrir MA-18 avec un profil Boréal, vérifier les pièces attendues, puis constater que FO-42 et les dossiers exclus ne sont pas accessibles. Un simple écran filtré est insuffisant si un lien direct, une recherche ou un export général révèle le reste.

Après la transition, vérifiez la fermeture des comptes, des accès techniques et des partages temporaires. Le sort des données traitées en sous-traitance relève notamment de l’Art. 28(3)(g) ; celui des archives propres repose sur leurs justifications distinctes. Aucun effacement global ne doit supprimer indistinctement les preuves que chaque acteur doit encore conserver licitement.

Expliquer la nouvelle organisation aux personnes

Les notices doivent refléter les responsables, finalités, bases, destinataires et contacts effectifs. Selon la collecte et les informations déjà délivrées, appliquez les Art. 13 et 14, avec leurs délais et exceptions précis. Une formule ancienne « données partagées avec nos partenaires » ne démontre pas que tout le nouveau traitement a été expliqué. RGPD, Art. 13 et 14.

Si l’opération comprend une fusion, préparez séparément l’information des personnes après la fusion. Les versions antérieures des notices aident à établir ce que les personnes savaient réellement et ce qui doit être complété.

Ce qu’il faut retenir

• Séparez par contrat, finalité et pièce, au-delà du compte client.
• Distinguez exploitation, archives propres et service transitoire.
• Conservez les échéances, restrictions et demandes en cours.
• Une réception partielle doit nommer les réserves et leurs conséquences.

FAQ

L’apporteur doit-il effacer immédiatement tous les dossiers ?

Non, si certaines conservations demeurent nécessaires et licites. Il doit distinguer ces archives des données utilisées pour l’activité transférée et limiter leurs usages et accès à la justification retenue.

Peut-on garder une base commune pendant la transition ?

Cela suppose une séparation réelle des opérations, des rôles et des accès. Un répertoire ouvert aux deux sociétés ne suffit pas, même si chacune promet de ne regarder que ses clients.

Un nombre de lignes identique prouve-t-il la réussite ?

Non. Il faut aussi vérifier les rattachements, les pièces, les dates et les droits d’accès. Une extraction peut conserver le bon total tout en incluant un dossier exclu et en omettant un dossier nécessaire.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.