Rachat d'un prestataire : réévaluer les flux de données

Le rachat de votre prestataire ne vous oblige pas, à lui seul, à résilier ou à demander un nouveau consentement à tous vos clients. Il impose de déterminer ce qui change effectivement dans les traitements confiés : société intervenante, accès, usages, garanties et conditions de sortie. Une acquisition sans changement opérationnel peut permettre un maintien documenté. Une intégration du support ou une réutilisation des dossiers appelle une décision distincte, avant son exécution.

Ce guide se place du côté de l’entreprise cliente du prestataire. La due diligence RGPD traite une autre question : l’examen des données et risques lors de l’acquisition d’une entreprise.

Trois changements à ne pas confondre

L’actionnariat indique qui possède la société. Un changement d’actionnaires peut laisser en place la personne morale avec laquelle vous avez signé, ses équipes et son service. Le communiqué d’acquisition ne prouve donc ni la transmission de vos dossiers à la maison mère, ni l’absence de tout changement futur.

La relation contractuelle indique qui s’engage envers vous. Une nouvelle marque peut masquer une société inchangée ; inversement, une cession d’activité peut s’accompagner d’un nouvel opérateur. Faites examiner les actes et leurs effets par les achats et le juriste. Le RGPD ne règle pas, à lui seul, les conditions de cession du contrat commercial.

Les traitements réels déterminent les responsabilités. Le responsable de traitement fixe les finalités et moyens ; le sous-traitant agit pour son compte. Ces qualifications reposent sur les opérations, pas sur le logo ou la seule appartenance à un groupe. Le client reste tenu de choisir des sous-traitants présentant des garanties suffisantes. Sources : Art. 4(7) et 4(8), Art. 28(1) du RGPD.

Par exemple, une société sœur qui traite les demandes de support pour le fournisseur peut devenir un sous-traitant ultérieur. La même société, si elle exploite des données pour ses propres objectifs, demande une autre qualification. Ne faites pas entrer tous ses usages dans l’annexe de sous-traitance par commodité.

Demander une réponse portant sur votre service

Adressez une demande précise au contact contractuel, avec la référence du contrat, l’offre utilisée et les opérations confiées. Une réponse sur « les produits du groupe » peut omettre votre ancienne offre, un module acquis séparément ou une migration réservée à certains clients.

Demandez deux états : la situation à la date du rachat et les changements programmés. Pour chaque évolution, exigez l’entité concernée, les données accessibles, le pays d’accès ou de stockage, la date prévue et le document qui organise l’intervention. Une réponse « aucun changement aujourd’hui » ne clôt pas une intégration annoncée pour décembre.

Le questionnaire sous-traitants aide à sélectionner les points devenus incertains. Il n’est pas nécessaire de réclamer à nouveau toutes les pièces lorsque leur périmètre et leur validité restent établis. En revanche, une certification d’une autre filiale ne prouve pas que votre service est couvert.

Vérifiez également les contacts d’incident et d’exercice des droits. Une réorganisation peut rendre une ancienne adresse inopérante alors que les serveurs restent identiques. Les obligations d’assistance prévues aux Art. 28(3)(e) et (f) doivent continuer à fonctionner pendant la transition. Source : Art. 28(3).

Comparer trois réponses fréquentes du fournisseur

Les formulations ci-dessous sont des exemples rédigés pour cette analyse, pas des clauses d’un fournisseur identifié.

« Le service reste hébergé en France »

Cette phrase répond à une partie de la question. Elle ne précise ni les sauvegardes, ni les accès de support, ni les pièces copiées dans un outil de diagnostic. Demandez un schéma qui distingue stockage métier et autres opérations. Un technicien d’une autre entité peut consulter une donnée sans déplacer la base principale.

La nationalité de l’actionnaire ne suffit pas à établir un transfert. À l’inverse, l’adresse française du centre de données ne suffit pas à l’exclure. Identifiez les destinataires et les opérations avant d’appliquer le chapitre V. Les mécanismes de transfert hors UE s’examinent pour le flux constaté, avec leurs conditions propres. Source : Art. 44 à 46.

« Les autres sociétés du groupe peuvent intervenir »

Une autorisation générale de sous-traitance n’est pas un blanc-seing silencieux. L’Art. 28(2) impose d’informer le responsable des ajouts ou remplacements prévus, en lui permettant d’émettre des objections. L’Art. 28(4) organise les obligations imposées au sous-traitant ultérieur et maintient la responsabilité du sous-traitant initial envers son client. Source : Art. 28(2) et 28(4).

Vérifiez le mécanisme contractuel : destinataire de l’information, délai éventuel, canal d’objection et solution proposée en cas de désaccord. Le RGPD ne fixe pas ici un préavis universel de trente jours. Une simple demande de renseignements ne suspend pas nécessairement le délai prévu au contrat : formulez explicitement votre position lorsqu’il faut préserver la possibilité d’objection.

« Les données serviront à améliorer les services du groupe »

Demandez quels services, quelles données et qui détermine cet objectif. Une instruction de maintenance ciblée et une exploitation pour les besoins propres du groupe ne sont pas interchangeables. La CNIL distingue précisément fourniture, amélioration et sécurité du service pour qualifier les acteurs du cloud. Source : CNIL, orientations du 28 mai 2026.

Une nouvelle clause commerciale ne fournit pas automatiquement une base légale pour chaque usage. Il faut examiner la finalité, la licéité, la compatibilité éventuelle, l’information et les autres garanties applicables. Si le prestataire détermine des finalités et moyens en violation de ses obligations de sous-traitant, l’Art. 28(10) le considère comme responsable pour ce traitement. Cela ne dispense pas le client de traiter le problème. Sources : Art. 5(1)(b), 6(1) et 6(4), Art. 28(10).

Dossier renseigné : maintien du service, intégration réservée

Exemple entièrement hypothétique. Atelier Rive utilise le logiciel de gestion d’interventions de la société Solane. Les dossiers contiennent les coordonnées des clients, leurs demandes et les rendez-vous. Le groupe Aster rachète Solane le 3 septembre. Une intégration du support est annoncée pour le 1er décembre.

La responsable administrative ouvre une fiche R-12. Elle rassemble le contrat, la réponse nominative de Solane du 10 septembre et la description du projet reçue le 18. Le tableau ne transforme pas les éléments inconnus en garanties acquises.

La direction retient donc deux décisions, et non une approbation globale : conserver l’usage existant documenté ; ne pas autoriser le nouveau circuit d’accès tant que ses conditions ne sont pas établies. Cette distinction est possible ici parce que Solane confirme une séparation opérationnelle. Elle ne serait pas crédible si l’ancien support devait disparaître sans alternative.

La demande suivante est déjà renseignée : « Pour le projet du 1er décembre, précisez les pays depuis lesquels Aster Services pourra accéder à nos dossiers, les opérations réalisées, les garanties applicables et le dispositif d’information préalable. Notre maintien du service actuel ne vaut pas autorisation de cette intégration. Merci de confirmer que le périmètre actuel reste techniquement applicable à notre compte. »

Les achats suivent la réponse contractuelle ; la DSI examine les accès annoncés ; le DPO conseille sur la qualification et les garanties ; la direction prend la décision. Une réserve du DPO reste une réserve dans le dossier, même si le responsable choisit une autre orientation.

Que faire si le prestataire refuse de préciser ?

Distinguez une pièce impossible à communiquer intégralement d’une garantie impossible à démontrer. Un rapport expurgé, une attestation ciblée ou un échange sous confidentialité peut répondre au besoin sans exposer tous les dispositifs de sécurité. L’Art. 28(3)(h) prévoit la mise à disposition des informations nécessaires et la possibilité d’audit ; une page publicitaire ne suffit pas à elle seule. Source : Art. 28(3)(h).

Si le pays d’accès demeure inconnu, n’inventez pas un mécanisme de transfert. Si l’intégration ne peut pas être isolée, préparez une réduction des données confiées, une solution de continuité ou la sortie, selon les faits et les droits contractuels. La résiliation automatique n’est pas une règle du RGPD ; poursuivre un traitement dont les garanties nécessaires manquent n’est pas davantage justifié par la seule dépendance commerciale.

En préparant une sortie, organisez la restitution utilisable et le sort des copies. L’Art. 28(3)(g) prévoit le renvoi ou la suppression au choix du responsable, sous l’exception de conservation légalement imposée qu’il précise. La simple fermeture du compte ne démontre pas ces opérations. Source : Art. 28(3)(g).

Fermer la revue au moment pertinent

Une signature ne clôt pas une migration future. Dans R-12, la prochaine revue porte sur les réponses et la configuration avant décembre. Si le nouveau circuit reste refusé, il faut vérifier qu’il n’est pas activé. Si les garanties deviennent suffisantes, documentez le périmètre finalement accepté et les preuves qui ont permis la décision.

Actualisez le dossier de conformité, les documents contractuels et, selon les changements, le registre, l’information des personnes et l’AIPD. Les Art. 24(1) et 35(11) prévoient le réexamen des mesures et de l’analyse lorsque leurs conditions sont réunies. Ne remplacez pas ces vérifications par une nouvelle date sur une fiche inchangée. Source : RGPD, chapitre IV.

Ce qu’il faut retenir

• Distinguez actionnariat, société contractante et opérations réellement modifiées.
• Exigez une description datée des changements actuels et programmés.
• Décidez séparément du maintien existant et des intégrations futures.
• Une inconnue déterminante appelle une restriction ou une solution documentée, pas une approbation présumée.

FAQ

Faut-il informer tous les clients du simple changement d’actionnaires ?

Pas automatiquement. Examinez si les informations dues aux personnes changent réellement : destinataires, identité du responsable, finalités ou transferts notamment. Le communiqué financier ne détermine pas à lui seul cette obligation.

Une entreprise du même groupe est-elle forcément autorisée ?

Non. Identifiez sa personne morale, son rôle et les opérations prévues. L’appartenance au groupe ne remplace ni l’encadrement de la sous-traitance ni les autres conditions du traitement.

Peut-on conclure à une violation dès l’annonce du rachat ?

Non. Une acquisition ou une information manquante ne démontre pas une violation de données. Si un accès non autorisé ou une autre atteinte à la sécurité est découvert, examinez alors les faits et les obligations correspondantes.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.