Demande RGPD : suivre un dossier multi-enseignes

Une demande envoyée à une enseigne doit être orientée vers les responsables des traitements concernés, sans obliger la personne à comprendre votre organigramme. Une coordination commune est possible ; elle ne fusionne ni les responsabilités, ni les droits d’accès aux fichiers. Il faut conserver la date pertinente de réception, attribuer les recherches et expliquer qui répond pour chaque périmètre.

Le risque pratique est double : une entité peut oublier une partie de la demande, tandis qu’une autre transmet trop de données aux sociétés du groupe. Un dossier de suivi commun doit résoudre ces deux problèmes, pas devenir une nouvelle base contenant tous les clients de toutes les marques.

Distinguer enseigne, société et traitement

Le nom figurant sur le site ou le ticket de caisse ne suffit pas à désigner le responsable de chaque traitement. Une société peut exploiter plusieurs marques ; plusieurs sociétés peuvent participer à un service présenté sous une seule marque. Il faut partir des opérations : compte, commande, assistance, fidélité ou profil partagé.

L’Art. 4(7) du RGPD définit le responsable par la détermination des finalités et des moyens. Le sous-traitant agit pour son compte, selon l’Art. 4(8). La CNIL rappelle que cette qualification dépend des faits, pas du seul intitulé contractuel. Identifier le rôle des acteurs.

Examinez les décisions réelles : qui détermine les usages, les catégories de données, les destinataires et les durées ? La société signataire du contrat client constitue une piste, pas une réponse automatique pour tous les traitements associés. Un service d’assistance peut exécuter des instructions pour une opération et déterminer un autre usage pour son propre compte.

Le guide des centres de services partagés et du RGPD aide à qualifier cette organisation. La seule appartenance à un groupe ne crée pas une responsabilité conjointe ; inversement, une clause d’indépendance ne fait pas disparaître une détermination réellement commune.

Définir ce que le guichet commun est autorisé à faire

Le guichet doit savoir pour qui il reçoit les demandes et quelles opérations il peut exécuter : identifier le périmètre, transmettre une instruction, réunir des réponses ou expédier une copie. Ces pouvoirs doivent être établis avant de prétendre répondre au nom de toutes les enseignes.

Lorsqu’il agit comme sous-traitant, son assistance aux demandes de droits relève de l’Art. 28(3)(e). Les instructions et les permissions doivent permettre cette assistance tout en limitant les accès. Le guichet n’a pas besoin de consulter toutes les commandes de chaque société pour transmettre une référence de dossier au bon interlocuteur.

Si des responsables sont conjoints pour un traitement, l’Art. 26(1) prévoit une répartition transparente des obligations, notamment sur les droits et l’information. Les grandes lignes de cet accord sont mises à disposition des personnes. Surtout, l’Art. 26(3) leur permet d’exercer leurs droits à l’égard de chacun, indépendamment de l’arrangement. Art. 26.

Pour des responsables distincts, chaque réponse doit rester attribuable. Un message commun peut contenir deux volets approuvés par les entités compétentes ; il ne doit pas présenter comme terminées des recherches qu’une société n’a pas réalisées.

Exemple : trois enseignes, deux responsables, un accueil

Le scénario suivant est entièrement fictif. La société Atelier Nord exploite les enseignes Ardoise et Clair. La société Maison Bocage exploite l’enseigne Bocage. Pour leurs commandes et leur assistance respectives, elles déterminent séparément les finalités et les moyens essentiels. Cette qualification est un fait posé pour l’exemple, pas une conclusion déduite de leurs noms.

Une troisième société, Relais, fournit le centre d’assistance sur leurs instructions. Le canal commun indiqué dans les notices est expressément chargé de recevoir les demandes de droits pour les deux responsables. Aucun profil commercial mutualisé n’entre dans ce scénario.

Le 6 octobre 2026 à 9 heures, Camille écrit à ce canal : « Je souhaite une copie de mes données chez Ardoise, Clair et Bocage, y compris les échanges avec votre assistance. » Le message contient une adresse électronique et deux références de commande. L’identité est confirmée par les éléments fiables déjà disponibles, sans demander une copie de titre par principe.

La réception par ce guichet habilité est enregistrée le 6 octobre pour les deux périmètres. Le transfert aux équipes le 7 octobre ne crée pas une nouvelle date de réception. La réponse doit intervenir dans les meilleurs délais, avec une échéance ordinaire au 6 novembre dans cette hypothèse, sous réserve des conditions de prolongation de l’Art. 12(3).

Une fiche d’orientation effectivement renseignée

Le dossier commun M-06 ne contient pas toutes les copies demandées. Il décrit les recherches attribuées et leur progression. La coordinatrice de Relais possède les accès nécessaires à ce suivi et aux seules opérations qui lui sont confiées.

La recherche « aucun compte Clair » n’est donc pas une réponse « aucune donnée ». L’achat sans compte reste à examiner, tout comme les tickets ou archives entrant dans le périmètre. Le registre d’un groupe et de ses filiales sert d’orientation s’il décrit effectivement ces opérations et leurs responsables.

La fiche mentionne également le canal individuel vérifié pour Camille, les dates de réception, les contacts chargés de valider et les restrictions éventuelles. Elle indique les systèmes examinés et les limites connues. Elle ne transforme pas un identifiant unique de suivi en identifiant client commun à toutes les sociétés.

Pour la recherche Bocage, Relais transmet la référence B-72, les éléments nécessaires au rattachement et la demande d’accès pertinente. Maison Bocage n’a pas besoin de recevoir la copie des commandes Ardoise. Le dossier respecte ainsi les principes de minimisation et de confidentialité des Art. 5(1)(c) et 5(1)(f).

Préparer une réponse coordonnée et attribuable

Dans le scénario, Atelier Nord approuve son volet le 14 octobre et Maison Bocage le 15. Relais expédie le 16 octobre une réponse composée de deux parties, dans le cadre de ses instructions. Les tickets d’assistance sont inclus dans le volet du responsable pour lequel ils ont été traités.

L’introduction peut être rédigée ainsi : « Votre demande reçue le 6 octobre concerne trois enseignes. Atelier Nord répond pour les traitements Ardoise et Clair ; Maison Bocage répond pour les traitements Bocage. Relais vous adresse leurs réponses en qualité de prestataire chargé de leur coordination. Vous trouverez ci-dessous les informations et copies propres à chaque responsable. »

Le volet Atelier Nord précise notamment que la recherche Clair a retrouvé une commande sans compte. Il ne conclut pas à une absence de données à partir de la seule recherche dans l’annuaire des comptes. Le volet Maison Bocage décrit son propre périmètre et les données transmises.

Chaque partie doit comporter les informations applicables de l’Art. 15(1) à 15(3), notamment finalités, catégories, destinataires, conservation et droits, avec une copie intelligible des données. L’introduction ci-dessus n’est qu’un fragment de réponse ; elle ne remplace pas ces informations.

La préparation examine aussi les tiers. Si un ticket concerne un cotitulaire ou contient ses coordonnées privées, le regroupement des enseignes n’élargit pas les données communicables à Camille. Le guide des droits dans un dossier commun traite cette conciliation.

Une entité silencieuse ne devient pas un résultat nul

Supposons une variante : le 13 octobre, Maison Bocage n’a pas achevé ses recherches. La coordinatrice relance le contact désigné et son suppléant. Elle inscrit « recherche non achevée », pas « aucune donnée retrouvée » ni « volet couvert par Atelier Nord ».

Le responsable concerné doit apprécier les mesures nécessaires pour répondre dans les délais. La prolongation de deux mois prévue par l’Art. 12(3) dépend de la complexité et du nombre de demandes ; elle doit être annoncée avec ses motifs pendant le premier mois. Un retard interne ne crée pas automatiquement cette possibilité. L’Art. 12(4) prévoit aussi l’information sur les motifs et recours lorsqu’il n’est pas donné suite.

Le volet prêt peut être communiqué sans attendre, en indiquant clairement ce qu’il couvre et ce qui reste en cours. Une réponse partielle ne clôt pas le dossier global ni les obligations de l’autre responsable. La procédure des demandes de droits doit définir les relances, l’escalade et la preuve de l’envoi final.

Si la personne cite une autre enseigne qui ne relève pas du guichet, vérifiez cette situation avant de promettre une recherche. Expliquez les limites connues et donnez les coordonnées pertinentes disponibles. Une transmission peut être organisée dans un cadre approprié, mais il ne faut pas diffuser la demande et ses pièces à une société non identifiée sous prétexte d’aider.

Réduire les contrôles d’identité et les copies superflues

Chaque entité doit pouvoir se fier au rattachement effectué, sans multiplier les collectes. Le guichet peut transmettre le résultat et la méthode de vérification lorsque cette transmission est justifiée, au lieu de copier une pièce d’identité à toutes les filiales.

Si une entité a des doutes raisonnables propres à son dossier, elle peut demander les informations supplémentaires nécessaires selon l’Art. 12(6). Une adresse similaire ou un nom homonyme ne permet pas de fusionner les identités. La demande complémentaire doit expliquer ce qui manque ; elle ne doit pas servir à faire recommencer sans raison une vérification déjà suffisante.

À la clôture, conservez une preuve proportionnée du périmètre, des recherches, validations et communications. Définissez le sort des extractions de travail et des copies intermédiaires. Le suivi de conformité n’exige pas de conserver indéfiniment un double intégral de toutes les réponses de chaque société.

Un changement d’enseigne, une cession ou un nouveau centre de services impose de revoir l’orientation. Gardez la correspondance entre les anciens noms connus des clients et les responsables actuels ou historiques pertinents ; une ancienne marque ne doit pas devenir une impasse dans le parcours d’exercice des droits.

Ce qu’il faut retenir

• Attribuez les traitements à des responsables identifiés, sans déduire les rôles des marques.
• Définissez le mandat du guichet et préservez la date pertinente de réception.
• Séparez les recherches, les résultats et les validations de chaque entité.
• Ne confondez jamais une recherche incomplète avec l’absence de données.

FAQ

Un DPO commun peut-il signer toutes les réponses ?

Cela dépend de l’organisation et des habilitations définies. La désignation d’un DPO commun ne transfère pas à elle seule les responsabilités des entités ni le pouvoir de répondre pour chaque traitement.

Une réponse unique est-elle obligatoire ?

Non. Des réponses séparées peuvent convenir si leurs responsables et périmètres sont compréhensibles et si les droits sont effectivement traités. Une coordination évite néanmoins les contradictions et les volets oubliés.

Peut-on imposer un formulaire par enseigne ?

Un outil peut faciliter l’orientation, mais il ne doit pas créer un obstacle injustifié. L’Art. 12(2) impose de faciliter l’exercice des droits : une demande intelligible reçue par le canal habilité doit être prise en charge.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.