Aller au contenu principal
Quel logiciel RGPD

Filiales : un registre commun ou un par entité ?

Pour qui : Votre groupe consolide ses registres. Les filiales partagent des outils et des pratiques, et vous hésitez entre un document unique, des copies qui divergent et une plateforme multi-entités.

Un registre par responsable de traitement, avec une base commune de fiches. L’article 30 charge chaque responsable de tenir le registre de ses propres activités, et chaque filiale qui décide pour elle-même doit pouvoir sortir le sien.

Si vous avez peu de filiales proches, un fichier maître et une copie par entité suffisent. Si des changements communs se perdent entre les copies, comparez une plateforme multi-entités. Avant tout cela, établissez qui décide de quoi : la réponse peut changer le nombre de registres.

Notre avis

Un registre par responsable de traitement, avec une base commune de fiches. C’est aussi la situation où un module multi-entités a le plus de chances de changer le travail, mais seulement si vos changements communs se perdent déjà.

Pourquoi

  • L’article 30 raisonne par responsable. Nous en déduisons qu’un document de groupe qui mélange les entités ne remplit pas cette fonction, sauf s’il permet d’isoler chacune.
  • Le comité européen donne l’exemple d’un groupe à base clients commune où chaque société reste un responsable distinct, et où la mère qui héberge agit en sous-traitant.
  • Le gain d’un outil se mesure au nombre de copies à maintenir, un chiffre que vous pouvez calculer avant tout devis.

Ce qui change le choix

Une modification d’une fiche commune n’a pas atteint toutes les entités un mois plus tard, alors qu’une personne est chargée de la répercuter. Le repère d’un mois est le nôtre.

L’ordre à suivre

  1. D’abord, nommer le responsable de chaque traitement.
  2. Filiales peu nombreuses et proches : fichier maître, puis une copie par entité.
  3. Changement commun qui n’arrive pas partout, après réparation du circuit : comparer une plateforme multi-entités.
  4. Traitements et prestataires très différents d’une filiale à l’autre : registres séparés, sans base commune.

Qui décide du traitement fixe le registre où il s’inscrit

Le deuxième cas surprend le plus. Une mère qui héberge pour ses filiales peut devoir tenir un registre de sous-traitant en plus du sien. Les rôles dépendent des faits : un organigramme ne les fixe pas. Si un cas réel est disputé, notamment un litige ou un contrôle, faites-le qualifier par un conseil.

Situation dans le groupe et effet sur les registres
SituationRôles probablesEffet sur les registres
Chaque filiale gère sa paie avec le même logiciel, selon ses propres choixChaque filiale décide pour elleUne fiche par filiale, à partir d’un modèle commun
La mère héberge une base clients, chaque filiale y décide seule de ses accès et de ses durées, sans voir les données des autresResponsables distincts, mère sous-traitante pour le stockage, selon l’exemple du comité européenUne fiche par filiale, plus un registre de sous-traitant pour la mère et un contrat entre elles
Le groupe et une filiale décident ensemble d’un programme commun, de ses données et de ses moyensResponsables conjoints possiblesLa fiche de chacun nomme l’autre, et un accord répartit les obligations
La mère gère pour une filiale un traitement sur ses instructionsMère sous-traitanteFiche chez la filiale, registre de sous-traitant chez la mère

Calculez ce que coûtent vos copies

Exemple fictif : 6 entités ont chacune 30 fiches, dont 20 communes et 10 propres. Sans base commune, vous tenez 6 × 30 = 180 fiches, et chaque changement sur une fiche commune demande 6 modifications. Avec une base commune qui se répercute, vous tenez 20 fiches communes et 6 × 10 = 60 fiches propres, soit 80 fiches, et chaque changement commun demande une seule modification.

Le fichier maître réduit les erreurs de rédaction sans supprimer les 6 modifications : il faut toujours reporter la fiche dans chaque copie. Faites un essai sur un changement réel, comme un nouveau prestataire de paie. Regardez un mois plus tard combien d’entités sont à jour, et si l’écart vient du fichier ou d’un service qui n’a rien signalé. Un outil ne règle que le premier cas.

Copier ou hériter : la question à poser aux éditeurs

Trois éditeurs annoncent une gestion multi-entités, sans que nous l’ayons essayée. Adequacy écrit que ses clients peuvent partager des fiches avec leurs filiales selon un périmètre d’héritage, avec propagation des modifications en temps réel, et ajouter des entités et des utilisateurs sans surcoût. Leto annonce la copie de sous-traitants, registres et responsables entre entités. La grille de Dastra affiche 50 entités juridiques sur ses trois offres, sans montant.

Copie et héritage n’ont pas le même effet : une copie diverge ensuite, et un héritage peut écraser une adaptation locale. Demandez à chacun, sur vos données :

  1. Faites modifier une fiche commune devant vous : que deviennent les ajouts locaux d’une filiale ? L’exception locale doit survivre, et son auteur doit être visible.
  2. Sortez le registre d’une seule entité, sans les données des autres. Le registre se remet à la CNIL sur demande, par responsable.
  3. Montrez à quoi une filiale a accès chez une autre. Les droits d’accès suivent les entités et leurs rôles.
  4. Faites écrire le nombre d’entités inclus et le prix d’une entité ajoutée ou cédée. Une acquisition ou une cession change ce nombre pendant le contrat.

Limites de cette page

L’idée d’un registre par responsable est notre lecture de l’article 30, cohérente avec la page de la CNIL, sans doctrine lue propre aux groupes. Les fonctions citées sont des annonces d’éditeurs, non vérifiées, et aucun devis n’a été demandé. Un document de groupe qui isole clairement chaque entité peut répondre au même besoin : ce qui compte est de produire le registre de chacune.

Prochaine action

Listez les traitements communs à plusieurs entités et notez qui décide pour chacun. Comptez vos fiches communes, propres et copies, puis faites l’essai du nouveau prestataire et regardez le résultat un mois plus tard. Ne demandez un devis qu’après cet essai.

Preuves et sources

Lu le 5 novembre 2026 : les articles 28 et 30 du RGPD dans le texte publié par la CNIL, la page CNIL sur le registre (13 avril 2018), les lignes directrices 07/2020 du comité européen de la protection des données (version 2.1 du 20 septembre 2022), la foire aux questions d’Adequacy, la page produit de Leto et la grille tarifaire de Dastra. Aucun logiciel n’a été essayé.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 30 du RGPD prévoit que chaque responsable du traitement tient un registre des activités effectuées sous sa responsabilité, et que le registre est mis à disposition de l’autorité de contrôle sur demande.

    Portée : Article 30, paragraphes 1 et 4.

    Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.

  • Notre calcul ou déduction. Un registre distinct par responsable se déduit de la lettre de l’article 30 ; aucune doctrine lue ne traite spécifiquement de la consolidation dans un groupe.

    Portée : Groupes de sociétés.

    Réserve : Un document unique qui isole clairement chaque entité peut répondre au même besoin.

  • Déclaration de l’éditeur. Le comité européen donne l’exemple d’un groupe utilisant une même base clients hébergée par la société mère, où chaque entité saisit et traite ses données pour ses seules finalités et décide de ses accès et durées : la base partagée n’entraîne pas en soi une responsabilité conjointe, chaque société est un responsable distinct et la mère est sous-traitante pour le stockage.

    Portée : Lignes directrices 07/2020, version 2.1, point 71.

    Réserve : Exemple du comité, dépendant des faits. Il suppose que les sociétés ne voient pas les données des autres.

  • Déclaration de l’éditeur. Le comité européen appelle à une attention particulière, dans un groupe, à la question de savoir si un établissement agit comme responsable ou comme sous-traitant, par exemple lorsqu’il traite des données pour le compte de la société mère.

    Portée : Lignes directrices 07/2020, version 2.1, partie sur le responsable du traitement.

    Réserve : Sans objet.

  • Notre calcul ou déduction. Une société mère qui agit en sous-traitante pour ses filiales relève du registre de l’article 30, paragraphe 2, et du contrat de l’article 28, en plus de son propre registre de responsable.

    Portée : Rôle de sous-traitant établi sur les faits.

    Réserve : L’article 28 mentionne un contrat ou un autre acte juridique. Lecture à confirmer sur un cas réel.

  • Fait lu. L’article 30 demande au registre du responsable d’indiquer, le cas échéant, le nom et les coordonnées du responsable conjoint.

    Portée : Article 30, paragraphe 1, point a.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. Adequacy écrit que ses clients peuvent partager des fiches de traitement avec leurs filiales en définissant un périmètre d’héritage, avec propagation des modifications en temps réel, et ajouter autant d’entités juridiques et d’utilisateurs que souhaité sans surcoût.

    Portée : Foire aux questions de l’éditeur.

    Réserve : Non essayé, aucun devis. L’absence de surcoût reste à faire confirmer par écrit.

  • Déclaration de l’éditeur. Leto annonce permettre d’accéder en un clic à différentes structures et de copier sous-traitants, registres ou responsables de traitement entre les entités.

    Portée : Page produit de l’éditeur.

    Réserve : Non essayé, aucun devis.

  • Déclaration de l’éditeur. La grille tarifaire de Dastra lue le 5 novembre 2026 affiche 50 entités juridiques sur les offres Starter, Pro et Entreprise, sans montant affiché.

    Portée : Page tarifs de l’éditeur.

    Réserve : La page ne précise pas, dans ce que nous avons lu, s’il s’agit d’un plafond ou d’une valeur ajustable : à demander.

  • Notre calcul ou déduction. Dans l’exemple fictif, 6 entités à 30 fiches font 180 fiches ; 20 fiches communes et 60 fiches propres en font 80 avec une base qui se répercute.

    Portée : Organisation fictive, hypothèses affichées.

    Réserve : À remplacer par les chiffres du lecteur.

    Daté du 5 novembre 2026.

  • Notre avis. Présenter le groupe multi-entités comme la situation où un module dédié a le plus de chances de changer le travail est notre avis, non vérifié par un essai.

    Portée : Groupes dont les changements communs se perdent.

    Réserve : Aucun logiciel n’a été essayé pour cette page.