Fusion de sociétés : harmoniser les notices RGPD
Fusion de sociétés : identifiez ce qui change pour les personnes, préparez les notices et conservez la preuve de leur transmission.
Après une fusion, une notice conserve parfois le nom d’une société disparue et un contact qui ne répond plus. À l’inverse, une nouvelle marque peut donner l’impression d’un changement de responsable alors que la personne morale est restée la même. L’information doit partir de la réalité juridique et des traitements, puis expliquer les conséquences concrètes aux personnes.
Identifier ce qui change réellement
Relevez pour chaque fichier : responsable précédent, responsable après l’opération, finalités, catégories de données, destinataires, durées et interlocuteur pour les droits. Distinguez la fusion, la cession d’une activité, le simple changement de dénomination et l’acquisition de titres sans changement de personne morale.
Les Art. 13(1)(a) et 14(1)(a) imposent l’identité et les coordonnées du responsable. Une notice rédigée au seul nom d’un groupe ou d’une marque peut donc devenir insuffisante. Les autres changements doivent être examinés au titre des informations prévues par ces articles. Source : RGPD, chapitre III.
Pour préparer ce travail, rapprochez les notices du registre distinguant les filiales. Une page commune peut rester utile si elle identifie clairement les responsabilités applicables à chaque service.
Choisir le bon régime d’information
Lorsque le nouveau responsable obtient les données auprès d’un autre organisme, examinez l’Art. 14. Son paragraphe 3 prévoit une information dans un délai raisonnable ne dépassant pas un mois, avec une échéance pouvant intervenir plus tôt lors de la première communication avec la personne ou de la première communication à un autre destinataire.
Les exceptions de l’Art. 14(5) doivent être démontrées selon leurs conditions. La taille du fichier ou la confidentialité d’une opération ne suffisent pas à créer une dispense générale. Lorsqu’une personne dispose déjà de certaines informations, vérifiez précisément lesquelles restent exactes.
Si une autre finalité est envisagée, l’Art. 13(3) ou l’Art. 14(4) impose une information préalable adaptée. Informer ne rend cependant pas cette nouvelle finalité licite : l’analyse de changement de finalité reste nécessaire.
Préparer une matrice de communication
| Population | Point à expliquer | Canal à examiner |
|---|---|---|
| Utilisateurs actifs | Identité, service, interlocuteur | Message individuel et espace authentifié |
| Clients suivis hors ligne | Continuité des dossiers et droits | Courrier ou contact habituel approprié |
| Contacts de dossiers clos encore conservés | Responsable des archives et durées | Canal disponible, selon l’analyse d’information |
| Personnes ayant une demande de droits ouverte | Nouveau destinataire de la demande | Réponse dans le dossier en cours |
Ces canaux sont des options opérationnelles. Une simple modification silencieuse du pied de page ne garantit pas que les personnes auront accès de manière effective à une information sur un changement important.
Rédiger un message centré sur les conséquences
Exemple hypothétique à adapter. « À compter du [date], [entité identifiée] devient responsable du traitement des données relatives à [service]. Vos données proviennent de [entité précédente]. Elles sont utilisées pour [finalités]. Vous trouverez les durées, destinataires et modalités de vos droits dans [notice]. Votre interlocuteur est désormais [contact]. »
Ce court message doit conduire à une notice complète et exacte. Ne promettez pas que rien ne change si les accès, les usages ou les durées évoluent. N’insérez pas un bouton d’acceptation laissant penser que l’information juridique est nécessairement une demande de consentement.
Conserver la preuve et maintenir les points de contact
Archivez la version du texte, la population visée, le canal, la date et les exceptions traitées. Une preuve d’envoi n’est pas la preuve que chaque personne a lu le message ; décrivez les faits que vous pouvez établir.
Laissez un mécanisme approprié de redirection des demandes adressées à l’ancien contact pendant la transition. Réattribuez les dossiers sans faire repartir les délais de l’Art. 12(3). L’historique des notices RGPD aide à documenter ce qui était présenté avant et après l’opération.
Recherchez enfin les anciennes identités dans les formulaires, contrats, applications et messages automatiques. La cohérence doit porter sur les points où les données sont réellement collectées, pas seulement sur la page de politique de confidentialité.
Ce qu’il faut retenir
- Vérifiez le changement de personne morale avant de réécrire les notices.
- Appliquez les délais et exceptions du régime d’information pertinent.
- Gardez les versions et assurez la continuité des demandes de droits.
FAQ
Faut-il demander un nouveau consentement après toute fusion ?
Non, pas automatiquement. Il faut examiner la base légale utilisée, la portée d’un éventuel consentement et les changements réels. Une information nouvelle n’est pas, à elle seule, un consentement nouveau.
Peut-on conserver une notice au nom de l’ancienne marque ?
La marque peut être mentionnée, mais la personne morale responsable et ses coordonnées doivent être claires et exactes.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.