Centre de services partagé : répartir les rôles RGPD

Une société du groupe enregistre les factures, exploite l’assistance informatique et prépare certains achats pour plusieurs filiales. Il serait commode de lui attribuer un statut RGPD unique. Pourtant, elle peut exécuter des instructions pour une opération, décider seule d’une autre et participer à des décisions communes pour une troisième.

La méthode consiste à relier chaque mission à ses décisions, ses données et ses accès. Les conventions entre sociétés, les habilitations et les registres doivent ensuite décrire la même organisation. Un document bien rédigé ne corrige pas une base commune ouverte à tous sans justification.

Ce qu’il faut retenir

• Le contrôle capitalistique ne confond pas les personnes morales ni leurs rôles RGPD.
• Qualifiez les opérations du centre de services, sans attribuer automatiquement un rôle à toute une fonction.
• La présence des données dans l’outil du centre ne l’autorise pas à les réutiliser pour un nouveau besoin de groupe.
• Décrivez qui instruit, qui exécute, qui contrôle et qui décide la réponse aux personnes.

Le groupe ne devient pas un responsable unique par défaut

Les Art. 4(7) et (8) distinguent celui qui détermine les finalités et moyens du traitement de celui qui traite pour son compte. L’appartenance à un même groupe ne remplace pas cet examen. RGPD, définitions.

La CNIL rappelle que la qualification découle des décisions réelles, et non d’une préférence contractuelle. Elle distingue notamment les moyens essentiels des choix techniques d’exécution. CNIL, identifier les rôles.

Un centre peut choisir un logiciel ou organiser son équipe sans devenir automatiquement responsable de toutes les données confiées. Inversement, écrire « sous-traitant » dans la convention ne suffit pas s’il décide de ses propres usages. Le guide du responsable de traitement explique les critères à appliquer.

L’analyse doit également distinguer le rôle juridique de l’entreprise et celui d’une personne qui pilote une tâche. Une directrice financière peut approuver des instructions au nom d’une filiale ; elle n’est pas nécessairement le responsable de traitement en son nom personnel.

Partir des décisions plutôt que des intitulés de services

Pour chaque opération, relevez cinq éléments : l’objectif, les personnes concernées, les catégories de données, les destinataires et les durées. Identifiez qui prend les décisions correspondantes et quelles instructions l’autre société doit suivre.

Le libellé « comptabilité » peut recouvrir la saisie pour une filiale, la facturation propre du centre et un projet d’analyse transversale. Le libellé « informatique » peut mêler l’assistance aux utilisateurs, l’administration sur instructions et des opérations de sécurité poursuivant un objectif différent. Ne déduisez pas la qualification d’un seul nom de service.

Documentez aussi le pouvoir réel de modification : le centre peut-il ajouter un champ, ouvrir un accès à une autre société ou changer une durée de conservation sans instruction ? Ces possibilités doivent être comparées au fonctionnement effectivement accepté, pas seulement à ce que permet techniquement l’outil.

Dans un réseau de franchise, les sociétés ne se confondent pas davantage avec la marque. La grille des responsabilités sur les données en franchise aide à distinguer moyens communs et décisions locales.

Exemple : trois missions du centre Orbe Services

L’organisation suivante est fictive. Orbe Services, société distincte, travaille pour Alto et Biseau. Les deux filiales restent responsables de leurs achats et de leur comptabilité. Elles décident des pièces à traiter, des destinataires autorisés et des règles applicables ; Orbe enregistre les pièces suivant leurs instructions.

Orbe traite par ailleurs les coordonnées de ses propres interlocuteurs pour facturer ses prestations aux filiales. Enfin, Alto et Biseau envisagent ensemble un annuaire d’interlocuteurs fournisseurs destiné à leurs achats communs. Elles veulent choisir conjointement les catégories, destinataires et règles de cet annuaire.

La qualification de l’annuaire repose sur ces décisions communes. Elle ne découle pas du simple usage du même hébergeur. Si Orbe devait uniquement héberger l’annuaire sur leurs instructions, cette prestation devrait être qualifiée et encadrée séparément.

Les Art. 26(1) et 28(3) prévoient des cadres différents pour ces situations. Un unique contrat de service peut contenir plusieurs annexes, à condition de ne pas dissoudre les périmètres dans une formule comme « toutes les sociétés sont responsables de tout ». RGPD, responsabilités et sous-traitance.

Annexe opérationnelle O-17 : qui peut faire quoi ?

L’annexe ci-dessous illustre le passage de la qualification à des consignes utilisables. Elle ne constitue pas à elle seule un contrat complet de l’Art. 28.

Cette annexe doit renvoyer aux véritables personnes habilitées et aux procédures applicables. Un organigramme général ne prouve pas qu’un agent peut donner des instructions pour toutes les sociétés. Prévoyez aussi le remplacement du contact et le circuit d’arbitrage lorsqu’une demande dépasse son mandat.

Le contrat de sous-traitance de l’Art. 28 doit couvrir notamment les instructions documentées, la confidentialité, la sécurité, l’assistance aux droits, les prestataires ultérieurs, la fin de service et les informations permettant de vérifier les obligations. Le lien capitalistique n’exonère pas Orbe et les filiales de cet encadrement.

Pourquoi l’annuaire commun ne peut pas être ajouté discrètement

Les équipes disposent déjà des noms, adresses électroniques et fonctions d’interlocuteurs figurant sur les factures. Leur disponibilité technique ne justifie pas leur extraction dans un annuaire de groupe. Cette nouvelle opération exige une finalité précise, un fondement et une appréciation de la nécessité des champs et destinataires.

Les Art. 5(1)(b) et (c), 6(1) et, selon les conditions du projet, 6(4) restent applicables. Un contrat conclu entre deux sociétés ne rend pas automatiquement l’Art. 6(1)(b) applicable aux personnes qui les représentent. RGPD, principes et licéité.

Dans O-17, l’annuaire n’est donc pas alimenté tant que ces questions ne sont pas tranchées. La saisie des factures peut continuer dans son périmètre déjà justifié ; l’approbation de cette mission ne vaut pas approbation du rapprochement.

Alto et Biseau doivent notamment décider si elles ont besoin de tous les contacts historiques ou seulement d’interlocuteurs professionnels encore pertinents, qui pourra consulter les fiches et comment les personnes seront informées. L’information sur la comptabilité ne décrit pas nécessairement ce nouvel usage. Les Art. 13(3) et 14(4) imposent, lorsqu’ils s’appliquent, une information préalable sur l’autre finalité. RGPD, transparence.

Si la responsabilité conjointe est confirmée, l’accord répartit les obligations et ses grandes lignes sont mises à disposition des personnes. Celles-ci conservent la possibilité d’exercer leurs droits auprès de chacun des responsables conjoints, conformément à l’Art. 26(2) et (3). Le guide de la responsabilité conjointe développe cette répartition.

Traduire la mission dans les permissions

Une convention limitée ne protège pas les dossiers si l’application donne à tous les agents une vue globale. Comparez les groupes d’accès aux opérations autorisées. L’agent d’Alto doit pouvoir traiter son périmètre sans obtenir automatiquement celui de Biseau.

Le contrôle doit inclure une action autorisée et une action qui doit être refusée. Si l’agent ne peut rien ouvrir, son incapacité à consulter Biseau ne prouve pas que la séparation fonctionne. Examinez aussi les exports, la recherche, les liens partagés et les accès administratifs.

Des interventions exceptionnelles peuvent être nécessaires. Définissez leur motif, leur autorisation, leur périmètre et leur fin, plutôt que de conserver un accès permanent « au cas où ». Les Art. 25(2) et 32(1), (2) et (4) encadrent la limitation des accès et la sécurité adaptée aux risques. RGPD, protection par défaut et sécurité.

Si un export commun contourne la séparation, la bonne correction porte sur le circuit et les copies déjà produites. Modifier seulement la convention ne retire pas les accès. Une divulgation effective doit être examinée selon les Art. 33 et 34, avec la qualification et les risques propres à l’incident.

Organiser les droits et incidents entre sociétés

Le centre doit savoir pour quelle société il agit lorsqu’il reçoit une demande. Il ne peut répondre « rien trouvé » après une recherche dans le seul dossier Alto si le périmètre demandé et son mandat couvrent aussi Biseau. Inversement, son rôle d’assistance ne l’autorise pas à fusionner toutes les copies dans une réponse sans attribution.

Prévoyez la transmission rapide, la conservation des dates initiales et la recherche des données utiles. L’Art. 28(3)(e) prévoit l’assistance du sous-traitant ; l’Art. 12(3) fixe les délais du responsable. Un transfert interne ne remet pas automatiquement le délai à zéro. RGPD, sous-traitance et demandes de droits.

Pour une violation, distinguez l’alerte d’Orbe à la filiale, dans les meilleurs délais après connaissance lorsqu’Orbe agit comme sous-traitant, et les obligations de la filiale envers l’autorité et les personnes. Si Orbe est responsable pour le traitement touché, ses obligations doivent être examinées sous cette qualification. Art. 33(1), (2), (5) et Art. 34(1), RGPD.

Maintenir des registres cohérents et une sortie réelle

L’Art. 30(1) vise les activités relevant de chaque responsable ; l’Art. 30(2) prévoit les catégories d’activités effectuées pour des responsables par le sous-traitant. Un registre structuré avec exemples peut être administré de façon commune, tout en distinguant Alto, Biseau et les opérations propres d’Orbe. RGPD, Art. 30(1) et (2).

Rapprochez périodiquement les fiches, conventions et accès. Une filiale cédée, une nouvelle mission ou un changement d’outil peut modifier l’organisation. À la fin d’une prestation, identifiez les dossiers à restituer, les copies à supprimer et les conservations légalement nécessaires. Le départ d’une société du groupe ne constitue pas, à lui seul, une preuve d’effacement ou une justification pour tout conserver.

FAQ

La société mère est-elle toujours responsable des traitements des filiales ?

Non. Examinez son intervention et ses décisions pour chaque opération. Le contrôle capitalistique ne suffit pas à attribuer tous les traitements à la mère.

Un centre peut-il cumuler plusieurs rôles ?

Oui, pour des opérations distinctes. Il faut décrire les périmètres et appliquer à chacun les obligations correspondantes, sans invoquer son rôle propre pour réutiliser librement les données confiées.

Un seul registre et un seul contrat sont-ils possibles ?

Des supports communs peuvent faciliter la gestion. Ils doivent toutefois identifier les sociétés, les missions et les obligations respectives. La centralisation documentaire ne doit pas masquer les responsabilités effectives.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.