Aller au contenu principal
Quel logiciel RGPD

Fusion ou acquisition : comment fusionner deux registres ?

Pour qui : Vous êtes DPO ou juriste, et votre organisation rachète, absorbe ou se fait absorber. On vous demande un seul registre rapidement, alors que chaque structure a le sien, avec ses prestataires et ses durées.

Gardez d’abord les deux registres, puis fusionnez par finalité, c’est-à-dire par objectif du traitement. Commencez par la question qui décide de tout : qui sera responsable du traitement à la date d’effet ? La réponse dépend de la forme de l’opération, et le droit des sociétés applicable sort de ce que nous avons lu.

Dans une prise de contrôle où chaque société continue d’exister, rien de ce que nous avons lu n’impose un registre unique. Dans une absorption, la structure qui reste doit avoir un registre exact à la date d’effet. Sur une opération réelle, faites valider cette qualification par votre conseil : c’est l’un des cas où l’enjeu le justifie.

Notre avis

Ne fusionnez pas le premier jour. Conservez les deux registres, datez-les et établissez la liste des responsables à la date d’effet. Fusionnez ensuite, objectif par objectif, en gardant visibles les différences jusqu’à ce qu’une décision les règle.

Pourquoi

  • L’article 30 parle du registre des activités effectuées sous la responsabilité de chaque responsable. Le nombre de registres suit donc les responsables, plus que le nombre de directions ou de logiciels.
  • Le responsable est celui qui détermine les finalités et les moyens (article 4) : l’identifier à la date d’effet décide de la suite.
  • Une fusion rapide écrase ce qui compte : deux services peuvent poursuivre le même objectif avec des durées ou des prestataires différents.
  • La CNIL demande d’identifier les traitements par finalité, ce qui donne une clé de rapprochement stable entre les deux registres.

Ce qui change le choix

Une absorption immédiate fait passer la liste des responsables à la date d’effet avant tout le reste. Une simple prise de contrôle, où chaque société reste responsable, fait basculer vers le maintien de registres séparés. Une décision conjointe sur un traitement ajoute un accord entre responsables.

L’ordre à suivre

  1. Rachat de titres, la société continue d’exister : gardez un registre par société, sans fusion imposée.
  2. Fusion-absorption : préparez le registre de la structure qui reste, applicable à la date d’effet.
  3. Cession d’une activité ou d’un fichier : appliquez d’abord les règles de transmission de la CNIL.

La forme de l’opération décide de ce que vous avez à faire

Ce tableau est notre lecture des articles 4 et 30, qu’aucune page lue de la CNIL ne formule ainsi. Il prépare l’échange avec votre conseil.

Trois formes, trois conséquences
OpérationResponsable du traitementRegistreDélégué à la protection des données
Rachat de titres, la société acquise continue d’existerChaque société reste responsable de ce qu’elle décideUn registre par société, à harmoniser si le groupe le souhaiteUn seul DPO possible, joignable depuis chaque établissement. Chaque entité remplit sa désignation.
Fusion-absorption, une société disparaîtLa structure qui reste, pour les activités qu’elle poursuitRegistre de la structure qui reste, mis à jour à la date d’effetFin de la désignation de l’entité qui disparaît, à vérifier sur le téléservice avec son SIREN.
Cession d’une activité ou d’un fichierLe cédant pour ce qu’il garde, l’acquéreur pour ce qu’il reçoitChacun ajuste le sienSans effet automatique.

Fusionner deux registres, par objectif

Ce protocole est notre méthode, pour un registre commun décidé ou imposé en pratique par une absorption.

  1. Figez les deux registres à la date de signature ou d’effet. Aucune page lue ne l’impose. Ces copies datées vous permettent de répondre sur ce qui existait avant l’opération.
  2. Établissez la liste des responsables à la date d’effet. Par traitement : qui décide de l’objectif et des moyens ? Si deux entités décident ensemble, l’article 26 demande un accord.
  3. Rapprochez les lignes par objectif, jamais par nom de logiciel. Paie avec paie, recrutement avec recrutement. Une ligne sans équivalent reste seule.
  4. Gardez les différences visibles dans la ligne commune. Durée, base légale, prestataire, transfert. Ne choisissez pas une valeur faute de temps : indiquez les deux, et qui tranchera.
  5. Décidez avec les métiers, ligne par ligne. L’harmonisation d’une durée se décide. Elle ne découle pas d’une fusion de fichiers.
  6. Basculez une seule fois, puis archivez les deux anciens registres. Un seul registre fait foi à partir d’une date annoncée.

Ce que l’opération oblige à revoir en plus du registre

Mentions d’information. L’identité et les coordonnées du responsable y figurent (articles 13 et 14). Si elles changent, les mentions changent aussi.

Contrats de sous-traitance. Vérifiez qui est partie au contrat et pour le compte de qui le prestataire agit (article 28). Votre registre doit nommer les bons destinataires.

Désignation du DPO. Un groupe peut désigner un seul délégué, s’il est facilement joignable depuis chaque établissement, et chaque entité remplit sa désignation. Le guide de la CNIL signale une procédure de désignation multiple, sur contact de ses services.

Analyses d’impact. L’article 35 prévoit un réexamen au moins quand le risque du traitement change. Une réunion de bases ou un nouvel accès entre sociétés mérite cette question.

Fichier de clients ou de prospects cédé. La page de la CNIL sur la vente de fichiers demande de retirer certains clients avant transmission, comme ceux qui se sont opposés. L’acquéreur doit informer les personnes dès que possible et au plus tard dans un délai d’un mois, sauf si elles ont déjà ces informations, en citant la source des données. Il doit aussi pouvoir démontrer un consentement pour la prospection par voie électronique. Cette page vise une vente de fichier à des fins commerciales : son application à votre opération reste à vérifier.

Un registre commun ne vous autorise pas à réunir les données

Réunir deux lignes de registre reste un travail de documentation. Réunir deux bases de clients, ou croiser les données de deux sociétés, est une décision de traitement. Si l’objectif change, posez la question de sa compatibilité avec l’objectif de départ, comme le prévoit l’article 6, et revoyez les mentions avant de lancer le croisement. Le cas réel demande une analyse propre.

Limites de cette page

Le droit des sociétés et les règles de transmission universelle du patrimoine n’ont pas été lus. Nous n’avons pas trouvé de doctrine de la CNIL sur la fusion des registres, et une délibération voisine n’a pas pu être ouverte. La lecture par forme d’opération et le protocole sont donc notre raisonnement. Le texte du RGPD est lu dans la version publiée par la CNIL.

Prochaine action

Dressez dès aujourd’hui la liste des responsables à la date d’effet, traitement par traitement, et faites valider la forme de l’opération par votre conseil. Figez ensuite les deux registres. Si un rachat se fait par titres, demandez d’abord si un registre commun sert vraiment à quelque chose.

Preuves et sources

Lu le 5 novembre 2026 : les articles 4, 5, 6, 13, 14, 26, 28, 30, 35 et 37 du RGPD publiés par la CNIL, sa page sur la vente de fichiers clients du 5 décembre 2022, sa page sur le registre, son guide pratique sur le DPO et sa page sur la désignation. Nous n’y avons pas trouvé de texte de la CNIL consacré au registre en cas de fusion.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 30 du RGPD prévoit que chaque responsable du traitement tient un registre des activités de traitement effectuées sous sa responsabilité.

    Portée : Article 30, paragraphe 1.

    Réserve : Dérogation de l’article 30 non détaillée ici. Texte publié par la CNIL.

  • Fait lu. L’article 4 du RGPD définit le responsable du traitement comme la personne ou l’organisme qui, seul ou conjointement, détermine les finalités et les moyens du traitement.

    Portée : Article 4, point 7.

    Réserve : Texte publié par la CNIL.

  • Notre calcul ou déduction. D’après les articles 4 et 30, un rachat de titres où la société continue d’exister n’impose pas à lui seul un registre unique, alors qu’une absorption suppose un registre exact de la structure qui reste à la date d’effet.

    Portée : Lecture éditoriale, droit des sociétés non lu.

    Réserve : Aucune doctrine lue sur ce point. À faire valider sur une opération réelle.

  • Déclaration de l’éditeur. Selon la CNIL, les traitements s’identifient par finalité et non par logiciel, car un même logiciel peut servir différents traitements.

    Portée : Page CNIL datée du 13 avril 2018.

    Réserve : La page ne vise pas la fusion de registres.

  • Fait lu. L’article 26 du RGPD prévoit que les responsables conjoints définissent leurs obligations par un accord.

    Portée : Responsables qui déterminent conjointement finalités et moyens.

    Réserve : Une société d’un groupe n’est pas conjointe du seul fait d’appartenir au groupe, selon notre lecture de la définition.

  • Fait lu. L’article 37 permet à un groupe de désigner un seul délégué s’il est facilement joignable depuis chaque établissement, et le guide de la CNIL indique que chaque entité remplit sa désignation, une désignation multiple étant proposée sur contact de ses services.

    Portée : Groupes d’entreprises.

    Réserve : Pour un groupe multi-pays, l’autorité compétente reste à vérifier.

  • Fait lu. La page de la CNIL datée du 3 avril 2026 indique que la fin de mission d’un DPO se déclare exclusivement sur le téléservice, avec le numéro de désignation et le SIREN de l’organisme.

    Portée : Formulaires de la CNIL.

    Réserve : Le traitement précis d’une société absorbée n’est pas décrit.

  • Fait lu. Les articles 13 et 14 du RGPD font figurer dans les mentions d’information l’identité et les coordonnées du responsable, et l’article 14 prévoit l’indication de la source et un délai ne dépassant pas un mois lorsque les données n’ont pas été collectées auprès de la personne.

    Portée : Texte publié par la CNIL.

    Réserve : Exceptions de l’article 14 non détaillées.

  • Déclaration de l’éditeur. Selon la CNIL, le vendeur d’un fichier clients retire avant transmission notamment les clients opposés ou n’ayant pas consenti selon le canal, et l’acquéreur informe les personnes dès que possible et au plus tard dans un délai d’un mois, sauf si elles ont déjà reçu ces informations, en citant la source, et doit pouvoir démontrer le consentement pour la prospection électronique.

    Portée : Page du 5 décembre 2022 sur la vente de fichiers à des fins commerciales.

    Réserve : La page ne vise pas la fusion de sociétés ; cas particuliers de consentement non détaillés.

  • Fait lu. L’article 35 du RGPD prévoit un examen, si nécessaire, au moins quand il se produit une modification du risque présenté par les opérations de traitement.

    Portée : Traitements couverts par une analyse d’impact.

    Réserve : L’article ne vise pas expressément les fusions.

  • Fait lu. L’article 6 du RGPD encadre le traitement à une fin autre que celle de la collecte, à défaut de consentement ou d’une base légale spécifique, par une appréciation de sa compatibilité avec la finalité initiale.

    Portée : Article 6, paragraphe 4.

    Réserve : Texte publié par la CNIL. Appréciation propre à chaque cas.

  • Notre calcul ou déduction. Dans ce que nous avons lu le 5 novembre 2026, nous n’avons trouvé aucune page de la CNIL consacrée à la fusion de registres en cas de fusion ou d’acquisition.

    Portée : Registre CNIL, guide DPO, recherche ciblée sur le site de la CNIL.

    Réserve : Absence constatée dans nos lectures. Une délibération voisine, non ouverte, n’est pas reprise.

  • Notre méthode. Garder les deux registres avant de les fusionner par objectif, avec les différences visibles et des copies datées, est notre méthode, sans valeur légale.

    Portée : Opérations de fusion ou d’acquisition.

    Réserve : Une absorption immédiate impose un registre exact dès la date d’effet.

    Daté du 5 novembre 2026.