Fusion de sociétés : harmoniser les notices RGPD

Une fusion peut changer le responsable de vos fichiers sans changer le service rendu aux clients. Il faut alors expliquer qui reprend les données, pour quels usages et auprès de qui exercer ses droits. Remplacer le logo dans une notice ne suffit pas ; demander à tous les clients de « consentir à la fusion » ne répond pas davantage au problème.

Le travail consiste à comparer les traitements avant et après l’opération, puis à fournir une information adaptée à chaque population. Voici une méthode et un dossier de communication rempli, limités à la transparence RGPD : ils ne remplacent pas la validation juridique de la fusion elle-même.

Partir de la personne morale, pas de la marque

Dans une fusion entre sociétés commerciales, l’Art. L. 236-3(I) du Code de commerce prévoit la dissolution sans liquidation des sociétés qui disparaissent et la transmission universelle de leur patrimoine aux sociétés bénéficiaires. Ce mécanisme doit être distingué d’un simple changement de marque ou d’actionnariat. Code de commerce, Art. L. 236-3.

Pour préparer les notices, demandez au responsable juridique la dénomination exacte des entités, leur rôle dans l’opération et sa date d’effet. Rapprochez ces renseignements du registre distinguant les filiales. Un document public intitulé « Politique du groupe » peut réunir plusieurs notices, mais doit permettre de comprendre quelle personne morale est responsable du traitement concerné.

La qualification dépend aussi de l’activité réelle. Une société qui ne traite des dossiers que sur les instructions d’un client reste à examiner dans ce rôle ; la fusion ne transforme pas automatiquement ces fichiers en données utilisables pour ses propres objectifs. L’Art. 4(7) et (8) distingue responsable et sous-traitant selon leurs fonctions. RGPD, Art. 4(7) et (8).

Dans le cas d’un changement de dénomination sans changement de personne morale, corrigez l’identité présentée et les coordonnées devenues inexactes. Ne racontez pas une cession de données qui n’a pas eu lieu. À l’inverse, conserver la marque commerciale de l’absorbée ne permet pas de continuer à désigner celle-ci comme responsable après sa disparition.

Séparer l’information de l’autorisation d’utiliser les données

L’identité du responsable, les finalités et les bases légales figurent parmi les informations obligatoires. Une fusion n’autorise pas, par elle-même, une prospection nouvelle, un rapprochement des historiques ou l’allongement des durées. Ces opérations doivent être examinées au titre des principes de finalité, de minimisation et de conservation, ainsi que de la base légale applicable. RGPD, Art. 5(1)(b), (c), (e) et 6.

Procédez donc dans cet ordre : décrire l’usage effectivement retenu, vérifier sa licéité, puis rédiger l’information. Pour un projet nouveau, utilisez l’analyse de changement de finalité et de base légale. Une phrase ajoutée dans une politique de confidentialité ne remplace ni cette analyse ni, lorsqu’il est requis, un consentement valable.

L’information n’est pas un contrat à accepter. Évitez le bouton obligatoire « J’accepte les nouvelles conditions de confidentialité » lorsque vous fournissez simplement des renseignements. Si une opération distincte nécessite un accord, présentez cette demande séparément, avec un choix réel. La continuité du service ne doit pas être présentée comme dépendant d’un consentement inutile à son exécution.

Quel calendrier retenir ?

Pour les données recueillies directement auprès d’une personne, l’Art. 13 prévoit l’information au moment de leur obtention. Le formulaire utilisé après la fusion doit donc présenter le bon responsable dès sa mise en service. Pour les dossiers obtenus indirectement par le nouveau responsable, analysez l’Art. 14 : information dans un délai raisonnable, au maximum un mois après l’obtention, éventuellement plus tôt lors de la première communication à la personne ou au premier autre destinataire. RGPD, Art. 13(1) et 14(3).

Ce mois n’est ni un délai d’attente conseillé ni une autorisation générale de traiter silencieusement jusqu’à son terme. Si un premier message de suivi part trois jours après la reprise, l’information pertinente doit accompagner ce contact au plus tard. Si des données sont obtenues avant la date d’effet de la fusion, ne repoussez pas artificiellement l’analyse au jour de celle-ci : ce traitement préalable a son propre périmètre.

Les Art. 13(3) et 14(4) imposent une information préalable lorsqu’une autre finalité est envisagée. Plus largement, la CNIL recommande d’informer lors de modifications substantielles, notamment des destinataires ou des modalités d’exercice des droits. L’annonce doit être accessible dans le parcours réellement utilisé, avec un premier niveau lisible et un accès simple au détail. CNIL, information et transparence.

N’assimilez pas la publicité légale de l’opération à une dispense générale d’information RGPD. L’Art. 14(5)(c) possède des conditions propres, dont des mesures appropriées protégeant les intérêts légitimes des personnes. De même, l’exception concernant les informations déjà connues ne joue que pour celles dont la personne dispose effectivement. Une ancienne notice nommant seulement la société disparue ne démontre pas la connaissance du nouveau responsable.

Dossier F-18 : trois populations, deux responsables avant la fusion

Exemple entièrement fictif. Les sociétés Aulne Services et Cèdre Services assurent la maintenance d’équipements auprès de particuliers. Le service juridique confirme l’absorption d’Aulne par Cèdre, avec effet au 1er octobre 2026. Dans ce scénario, Cèdre reçoit à cette date les dossiers d’Aulne ; aucun accès anticipé n’est prévu. La marque « Aulne entretien » reste utilisée.

Les contrats, prestations et durées déjà justifiées sont maintenus. Le projet de proposer des abonnements supplémentaires à tous les anciens clients est écarté du chantier de fusion et reste non activé. Le DPO examine les notices ; la direction valide les usages et désigne le responsable des communications.

Les 160 personnes ne reçoivent donc pas un récit identique. Pour les 100 anciens clients d’Aulne, l’équipe retient l’information de l’Art. 14, sans invoquer d’exception. Pour les 60 autres, elle explique la modification du point de contact. Les nouvelles collectes utilisent immédiatement la notice correspondant à leur service.

Cette segmentation n’oblige pas à multiplier les documents complets. Une notice commune peut comporter une rubrique identifiable pour chaque population, à condition que le message reçu mène directement aux informations pertinentes.

Exemple de message : dire précisément ce qui change

Voici le premier niveau envoyé aux 84 clients actifs du dossier fictif. Les noms et l’adresse d’exemple servent uniquement à montrer la rédaction ; ce passage accompagne une notice complète effectivement préparée dans le scénario.

Votre dossier de maintenance à partir du 1er octobre 2026

Aulne Services est absorbée par Cèdre Services. Cèdre Services devient responsable des données de votre dossier de maintenance, transmises par Aulne Services : coordonnées, équipements suivis, interventions et échanges nécessaires au service.

Ces données continuent d’être utilisées pour assurer votre contrat de maintenance. La marque Aulne entretien reste visible, mais votre interlocuteur pour les questions relatives aux données est désormais le service confidentialité de Cèdre : confidentialite@cedre.example.

La notice jointe « Maintenance — version du 1er octobre 2026 » précise les usages, bases légales, destinataires, durées et droits applicables. Vous pouvez également la demander sur papier auprès de votre interlocuteur habituel. Vous n’avez pas à renouveler une demande de droits déjà envoyée à Aulne.

Cet extrait n’est pas une notice universelle. Dans la notice détaillée du cas, l’exécution des contrats des particuliers relève de l’Art. 6(1)(b). Les autres opérations, notamment les archives nécessaires, doivent conserver leurs bases et critères propres : le mot « maintenance » ne les couvre pas toutes.

La revue de cette notice vérifie aussi l’identité et les coordonnées complètes de Cèdre, les coordonnées du DPO s’il est désigné, les destinataires, les éventuels transferts, les catégories et la source des données. Elle précise les droits selon les traitements, la réclamation auprès de la CNIL et, si elles existent, les décisions automatisées visées par les textes. Les Art. 13 et 14 déterminent le contenu applicable ; une durée inconnue ne doit pas être remplacée par « aussi longtemps que nécessaire » sans critère intelligible.

Prouver la communication et suivre les exceptions

Le responsable des communications établit un relevé lié à la version envoyée. Dans F-18, 97 messages destinés aux anciens clients d’Aulne ne produisent pas d’erreur technique ; trois reviennent en échec. Ce résultat prouve un état d’envoi, pas la lecture par 97 personnes.

Pour les trois échecs, le service client recherche les coordonnées déjà disponibles et encore pertinentes. Deux personnes reçoivent un courrier ; pour la troisième, aucune adresse utilisable n’est retrouvée. Son dossier reste ouvert dans le relevé : échec, recherches réalisées, décision attendue et responsable nommé. L’équipe examine alors les conditions d’une éventuelle exception de l’Art. 14(5)(b), avec les mesures compensatoires requises. Elle ne transforme pas le seul retour de courriel en impossibilité démontrée.

Le dossier de preuve conserve le texte, sa date, les populations, les canaux et les suites. L’historique des versions des notices permet de relier une collecte ancienne à l’information alors fournie. Conservez cet historique sous une forme proportionnée : inutile de dupliquer tous les dossiers clients pour prouver quel message a été envoyé.

Garder les demandes de droits dans leur calendrier initial

Dans F-18, une demande d’accès reçue par Aulne le 24 septembre est transmise à Cèdre avec les recherches déjà réalisées et les éléments manquants. Le changement de responsable ne fait pas repartir le délai au 1er octobre. L’Art. 12(3) impose une réponse dans les meilleurs délais, en principe dans le mois suivant la réception ; une prolongation requiert les conditions et l’information prévues par ce texte.

Maintenez un circuit surveillé pour les messages adressés à l’ancien contact. Vérifiez aussi les formulaires, confirmations automatiques et documents papier encore distribués. La personne doit pouvoir exercer ses droits même si elle ignore la fusion. Un message automatique indiquant uniquement « société fermée » laisse précisément sans solution le public que l’information doit aider.

Ce qu’il faut retenir

• Identifiez la personne morale responsable avant de modifier les notices.
• Séparez continuité des services, nouveaux usages et information sur la fusion.
• Adaptez le calendrier et le message aux populations réellement concernées.
• Suivez les échecs de communication et les demandes de droits déjà ouvertes.

FAQ

Tous les consentements doivent-ils être recueillis à nouveau ?

Pas automatiquement. Il faut examiner leur portée, l’identité des responsables concernés et les usages envisagés. Le maintien d’un service sur une autre base légale ne doit pas être confondu avec l’autorisation d’un nouvel usage facultatif.

Peut-on attendre la prochaine connexion du client ?

Seulement si le dispositif respecte l’échéance applicable et permet effectivement l’information. Un ancien client conservé uniquement en archive peut ne jamais se reconnecter : la seule fenêtre affichée dans son compte ne règle pas ce cas.

La fusion remet-elle les durées de conservation à zéro ?

Non. Le changement d’entité ne constitue pas, à lui seul, un nouveau point de départ. Transmettez les dates et événements nécessaires au calcul des échéances, puis réexaminez chaque besoin de conservation sans prolongation générale.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.