Franchise : répartir les responsabilités des fichiers
Franchise et RGPD : qualifiez les rôles par fonctionnalité, contrôlez les accès du réseau et préparez la sortie d'un franchisé.
Un réseau de franchise utilise un outil commun pour les réservations, le service après-vente et les statistiques. Le franchiseur choisit le logiciel, tandis que chaque franchisé exploite sa clientèle. Pour qualifier les responsabilités, il faut dépasser ces deux constats et examiner qui décide réellement de chaque traitement.
Analyser les fonctions une par une
L’Art. 4(7) définit le responsable par la détermination des finalités et des moyens. L’Art. 26 concerne leur détermination conjointe ; l’Art. 28 encadre le traitement pour le compte d’un responsable. La CNIL rappelle que la qualification repose sur les faits.
Le contrat de franchise peut organiser les décisions et apporter des éléments d’analyse. Une clause ne permet toutefois pas d’appeler systématiquement le franchisé « sous-traitant » pour toutes ses activités, ni le franchiseur « simple prestataire » lorsqu’il poursuit une finalité propre.
Construire une matrice de décisions
| Fonction | Décisions à rechercher | Preuves utiles |
|---|---|---|
| Réservation locale | Objet, champs, conservation | Paramétrage et règles du service |
| Traitement d’une réclamation réseau | Critères d’escalade, destinataires | Procédure et accès réels |
| Statistiques nationales | Indicateurs, granularité | Cahier des charges et exports |
| Administration informatique | Instructions et autonomie technique | Contrat et droits administrateurs |
| Dossier partagé entre points de vente | Conditions de consultation | Règles de recherche et journalisation |
Cette matrice doit aboutir à une qualification par opération, avec les responsabilités correspondantes. Le simple choix d’un fournisseur technique ne suffit pas, isolément, à régler toutes les questions.
Comparer les données visibles aux décisions prises
L’Art. 25(2) impose une limitation par défaut des données traitées et accessibles. Le besoin de contrôler une activité économique ne rend pas nécessaire l’accès à chaque observation nominative du service client. Source : RGPD, chapitre IV.
Exemple hypothétique. Le franchiseur mesure les délais de réparation. Des indicateurs par point de vente peuvent suffire. Un accès nominatif au dossier est ouvert à une équipe restreinte lorsqu’une réclamation lui est effectivement confiée, après examen du fondement et de l’information correspondants.
Les tableaux à petits effectifs demandent une vigilance particulière : un total peut identifier indirectement un client dans un point de vente peu fréquenté. L’agrégation ne doit pas être déclarée anonyme sans analyse.
Faire coïncider les documents avec les rôles
Lorsque l’Art. 26 s’applique, définissez l’accord de répartition et rendez ses grandes lignes accessibles. Les personnes conservent la faculté d’exercer leurs droits auprès de chacun selon le paragraphe 3. Lorsqu’un acteur est sous-traitant pour une opération, prévoyez les éléments de l’Art. 28(3). Pour des responsables distincts, documentez les conditions des flux.
Le guide de la responsabilité conjointe aide à lire ces obligations. Les notices doivent identifier les entités pertinentes : le nom commercial du réseau ne suffit pas toujours à comprendre qui traite le dossier local.
Organiser les demandes et les changements du réseau
Désignez qui reçoit une demande de droits, où rechercher les données et comment transmettre les corrections. Un franchisé doit savoir si une donnée est conservée uniquement dans sa base ou également dans un système national. Le délai applicable ne recommence pas lors d’un transfert interne du dossier de demande.
Lorsqu’une nouvelle fonction ouvre des dossiers à d’autres points de vente, réexaminez les destinataires, la base légale et les attentes des personnes. L’usage initial de l’outil ne couvre pas nécessairement cette extension.
Enfin, préparez la sortie du franchisé : export autorisé, dossiers en cours, archives justifiées, fermeture des accès et copies chez les prestataires. La méthode de séparation des fichiers permet de distinguer la continuité des relations clients et les données des autres membres du réseau.
Ce qu’il faut retenir
- Qualifiez les opérations du réseau séparément.
- Comparez les accès nominatifs aux besoins réellement démontrés.
- Préparez les droits et la sortie dès la mise en commun de l’outil.
FAQ
Le franchisé est-il toujours un responsable distinct ?
Sa personnalité juridique distincte est importante, mais elle ne détermine pas à elle seule la qualification de chaque traitement. Certaines opérations peuvent être conjointes ou réalisées pour le compte d’un autre acteur.
Un accord de franchise remplace-t-il l’accord RGPD ?
Il peut contenir les stipulations nécessaires, si elles reflètent les faits et répondent aux exigences applicables. Une clause générale affirmant la conformité du réseau ne suffit pas.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.