Fusion de comptes : éviter une erreur d'identité

Deux comptes semblables ne doivent pas être fusionnés avant d’avoir vérifié trois éléments : ils concernent bien la même personne, celle-ci peut accéder aux données regroupées, et les nouveaux droits d’accès restent maîtrisés. Le même nom, une adresse commune ou une demande du client ne suffisent pas isolément.

Une fusion peut déplacer des factures, ouvrir des conversations privées et réactiver un moyen de récupération oublié. Il faut donc décider ce qui sera rapproché et comment corriger l’opération avant de supprimer l’ancien identifiant. Un outil de dédoublonnage ne prend pas cette décision juridique à la place de l’entreprise.

Décrire l’opération avant de choisir le bouton

Le mot « fusion » recouvre plusieurs opérations : afficher deux historiques dans une même interface, remplacer un identifiant, transférer des droits, supprimer un compte ou consolider des préférences. Elles n’ont pas toutes les mêmes conséquences. Une vue commune peut répondre au besoin sans détruire les références d’origine.

Les Art. 5(1)(b), (c) et (d) du RGPD imposent de respecter les finalités, de limiter les données nécessaires et d’en assurer l’exactitude. Le lien créé entre deux fiches est lui-même une information qui peut être erronée. Une adresse correcte attribuée à la mauvaise personne ne devient pas exacte parce que son format est valide. Art. 5.

Formulez donc un résultat précis : « permettre au client de consulter ses commandes personnelles depuis un accès unique ». Cette finalité n’autorise pas automatiquement à réunir les achats de son employeur, à combiner des profils publicitaires ou à partager son historique avec les autres membres d’un foyer. Le principe d’exactitude s’applique au rattachement autant qu’au contenu des champs.

Déterminer la base légale du rapprochement

L’Art. 6(1) exige une base légale pour l’opération. Le consentement n’est pas systématiquement la seule possibilité : un traitement réellement nécessaire à l’exécution du contrat peut relever de l’Art. 6(1)(b), et un intérêt légitime doit satisfaire aux conditions de l’Art. 6(1)(f). La simple présence d’une clause « nous fusionnons les comptes » ne démontre aucune nécessité.

Dans l’exemple développé ci-dessous, l’entreprise propose une vue unifiée facultative. Les comptes séparés continuent à fournir normalement le service. Elle choisit de fonder ce rapprochement optionnel sur le consentement de l’Art. 6(1)(a), avec une information précise, une action positive et une possibilité réelle de revenir aux espaces séparés. Le refus n’empêche ni les commandes ni leur suivi.

Cette décision implique les garanties de l’Art. 7, notamment la preuve du consentement et un retrait aussi simple que son octroi. Une demande spontanée ne dispense pas d’expliquer ce qui sera réuni. Le consentement à la vue unifiée ne remplace pas les bases propres à la facturation, à la gestion des commandes ou à une conservation obligatoire. Art. 6 et 7.

Vérifier l’identité et les droits sur les dossiers

Le service doit apprécier les indices ensemble. Un nom identique peut désigner un homonyme. Une adresse électronique peut appartenir à une boîte collective ou avoir été réattribuée. La maîtrise apparente des deux comptes est utile, mais il faut tenir compte des signes de compromission et des délégations existantes.

Ne révélez pas l’historique du compte candidat pour demander au premier utilisateur s’il le reconnaît. Cette méthode pourrait divulguer précisément les données que la vérification devait protéger. Le personnel habilité peut comparer les éléments dans un dossier restreint et demander des précisions proportionnées.

Lorsqu’un compte est inaccessible, la démarche de vérification d’identité d’une demande fournit des repères utiles. Une fusion proposée comme fonctionnalité commerciale n’est toutefois pas automatiquement une demande d’exercice d’un droit RGPD. Ses conditions doivent aussi vérifier le droit de regrouper les objets concernés. Si l’incertitude persiste, maintenez les comptes séparés et expliquez les moyens de poursuivre la vérification.

Un périmètre rempli : deux comptes personnels, un compte professionnel exclu

Exemple entièrement hypothétique. Lina utilise un service de commande de fournitures. Elle a créé deux comptes personnels avec des adresses différentes. Elle possède aussi un accès professionnel pour les commandes de son employeur. Elle demande une vue commune de ses achats personnels.

Le service constate une authentification récente et renforcée aux deux comptes personnels, la concordance de leur titulaire et l’absence d’indice de compromission dans les contrôles effectués. Les références de commandes concordent. Aucun document d’identité supplémentaire n’est nécessaire dans les circonstances retenues.

La présence de Lina comme utilisatrice du troisième espace ne suffit pas à transférer les dossiers de l’employeur vers son espace privé. La fiche de rapprochement M-6 tranche ainsi le périmètre :

Le service présente à Lina le périmètre personnel, l’effet sur ses accès et la possibilité de revenir à deux espaces. Il recueille son accord pour cette seule option et conserve la référence de l’information fournie, la date et le périmètre accepté. Il ne transforme pas cet accord en inscription commerciale.

La nouvelle vue doit afficher cinq commandes personnelles, et aucune des douze commandes professionnelles. Le compte de l’employeur reste géré séparément. Une recherche du nom « Lina » dans tout le système ne serait pas une règle acceptable pour déterminer le contenu de la fusion.

Préparer les accès et le retour aux comptes séparés

Avant l’exécution, identifiez les sessions, moyens de récupération, invitations et connexions externes associés à chaque compte. Décidez lesquels restent valables. Une ancienne adresse ne doit pas devenir un moyen oublié d’accéder à l’ensemble du nouvel historique. Les Art. 25(2) et 32(1) encadrent respectivement l’accessibilité par défaut et la sécurité adaptée au risque. RGPD, chapitre IV.

Pour M-6, l’entreprise conserve l’authentification vérifiée d’A-18. Elle désactive les anciennes sessions de B-52 et son ancien mécanisme de récupération pour l’accès courant. La réouverture éventuelle d’un espace séparé passera par une procédure d’activation vérifiée ; elle ne rétablira pas automatiquement des secrets périmés.

L’outil conserve une correspondance restreinte entre les objets et leur compte d’origine. Il ne duplique pas tous les dossiers dans un export librement accessible « par sécurité ». Cette correspondance sert à expliquer le regroupement et à le défaire ; son accès et sa conservation doivent être justifiés tant qu’elle est nécessaire à ces fonctions.

Préparez aussi les opérations postérieures. Une nouvelle commande passée depuis A-18 reste attribuée à A-18 : elle ne sera pas déplacée arbitrairement vers B-52 si Lina revient à deux espaces. Une correction d’adresse sur une commande conserve son historique utile ; revenir en arrière ne signifie pas restaurer une ancienne base qui écraserait toutes les modifications récentes.

Contrôler le résultat et traiter un retrait

Dans le déroulement fictif, la personne habilitée exécute M-6 et consigne les contrôles suivants : cinq commandes personnelles visibles dans A-18, aucune commande de C-97, refus des anciennes sessions de B-52, récupération d’A-18 opérationnelle et dossiers professionnels toujours accessibles uniquement dans leur cadre propre. Elle vérifie aussi les liens depuis le support et la facturation, pas seulement la page d’accueil.

Lina demande ensuite le retour aux espaces séparés, avant toute nouvelle commande. Le service retire le rapprochement optionnel : A-18 présente ses deux commandes, B-52 ses trois commandes après activation sécurisée, et C-97 demeure inchangé. Le dossier M-6 conserve une trace proportionnée du retrait et de son exécution. Le retrait ne rend pas illicite le rapprochement antérieur et n’efface pas les factures conservées sur un autre fondement applicable.

Si le logiciel ne sait pas séparer les historiques comme promis, ne proposez pas la fusion facultative sur cette base sans solution effective. Une simple case « j’accepte une fusion irréversible » ne supprime pas le droit de retirer le consentement. Il peut être préférable de développer une vue liée réversible ou de conserver les accès distincts.

Corriger une fusion erronée sans aggraver l’incident

Si une commande d’un homonyme apparaît, suspendez immédiatement sa visibilité depuis le compte incorrect et empêchez la propagation du rattachement contesté. Préservez les faits nécessaires à l’analyse. Rectifiez le lien et les résultats dérivés, sans effacer une commande authentique de son véritable titulaire.

L’Art. 16 prévoit la rectification ; l’Art. 18(1)(a) permet la limitation lorsque la personne conteste l’exactitude, pendant la vérification. L’Art. 19 organise la notification des rectifications ou limitations aux destinataires, sauf impossibilité ou efforts disproportionnés. La propagation dans les bases dérivées concerne notamment les tickets, exports et systèmes de facturation. Art. 16, 18 et 19.

Examinez également la qualification de violation. Une fusion peut altérer accidentellement les données sans divulgation ; l’Art. 4(12) couvre aussi cette atteinte à l’intégrité lorsqu’elle résulte d’une violation de sécurité. Documentez et évaluez les notifications selon les Art. 33 et 34, sans notification automatique pour toute anomalie. Annuler le lien ne démontre pas qu’aucune donnée n’a été consultée. Définition de la violation et obligations après violation.

Ce qu’il faut retenir

• Vérifiez séparément identité, titulaire des dossiers et droits d’accès.
• Décrivez le rapprochement et sa base légale ; excluez les finalités étrangères au besoin.
• Préservez les références d’origine et préparez une séparation qui respecte les modifications récentes.
• Contrôlez les systèmes connectés et analysez toute atteinte à l’intégrité ou à la confidentialité.

FAQ

Peut-on fusionner automatiquement sur la seule adresse électronique ?

Une adresse peut être collective, erronée ou réattribuée. Un rapprochement qui ouvre des historiques supplémentaires exige des garanties proportionnées à ses conséquences, avec une voie de traitement des cas incertains.

Un utilisateur peut-il transférer tous les dossiers de son employeur ?

Son accès professionnel ne lui donne pas automatiquement ce pouvoir. Il faut examiner le titulaire du service, ses habilitations et les droits des autres personnes avant toute opération.

La suppression de l’ancien compte suffit-elle à sécuriser la fusion ?

Non. Les sessions, moyens de récupération, droits délégués et applications connectées doivent également être traités. Conservez les références utiles à la correction sans maintenir des accès devenus inutiles.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.