Partager une fiche client entre plusieurs maisons : qui répond de quoi

Trois situations que l’on confond

Le mot « partage » recouvre des réalités juridiques distinctes, et la confusion commence là. Ce n’est pas le fait que deux établissements voient les mêmes données qui crée la responsabilité conjointe : c’est le fait qu’ils décident ensemble de ce à quoi ce partage sert et de la façon dont il se fait.

La dernière ligne est celle qui coûte le plus cher, parce qu’elle se découvre après coup. Un prestataire qui détermine lui-même les finalités d’un traitement est considéré comme responsable pour ce traitement, quoi qu’en dise le contrat signé. C’est précisément ce qui se joue quand un outil agrège les fiches de ses clients pour en tirer un produit qui lui appartient.

Comment qualifier votre situation

Le critère du RGPD tient en deux mots : les finalités et les moyens. Est responsable celui qui détermine le pourquoi et le comment. Sont responsables conjoints ceux qui les déterminent ensemble, que ce soit par une décision commune ou par deux décisions distinctes mais complémentaires, formant un traitement qu’on ne peut plus défaire en deux.

1. 01Qui décide de la finalité ? Si les deux maisons arrêtent ensemble ce à quoi le partage doit servir — mieux recevoir un convive de passage, reconnaître un habitué —, la réponse penche vers la responsabilité conjointe.
2. 02Qui décide des moyens essentiels ? Quelles données circulent, pendant combien de temps, qui peut les lire. Les moyens techniques ne comptent pas dans ce test : un prestataire peut choisir son hébergeur et son chiffrement sans cesser d’être sous-traitant.
3. 03Les décisions sont-elles séparables ? Si retirer la décision d’une maison rend le traitement impossible pour l’autre, elles sont conjointes. Si chacune peut poursuivre seule, ce sont deux traitements successifs, et chacune répond du sien.

Un cas fréquent tombe hors du sujet, et il vaut mieux le savoir tôt : plusieurs établissements exploités par une seule et même société ne sont pas deux responsables. C’est la personne morale qui porte la responsabilité, pas le fonds de commerce. Trois restaurants dans la même SARL forment un seul responsable de traitement, et l’article 26 ne s’applique pas entre eux. Le jour où le troisième passe dans une société sœur, il s’applique.

Ce que l’accord doit répartir

L’article 26 demande un accord qui définisse de manière transparente les obligations respectives de chacun, en particulier l’exercice des droits des personnes et la communication des informations. Ce n’est pas une formalité de plus : son absence est, en elle-même, un manquement. Il se conclut avant le premier partage, pas après le premier incident.

• Qui répond aux demandes d’accès, de rectification et d’effacement, et dans quel délai en interne.
• Qui informe le convive au moment de la collecte, et avec quel texte.
• Qui assure la sécurité du partage, et qui notifie une violation de données à la CNIL.
• Qui conduit une analyse d’impact, lorsque le traitement en appelle une.
• Le point de contact que le convive peut saisir, et qui doit figurer dans l’information.

Deux garde-fous encadrent cet accord, et ils vont dans le même sens. Il doit refléter les rôles réellement tenus, pas ceux qui arrangent la répartition des responsabilités. Et il n’est opposable à personne : quoi qu’il prévoie, le convive peut exercer ses droits auprès de chacun des responsables conjoints, y compris celui que l’accord n’avait pas désigné pour cela.

Le cadre contractuel que nous appliquons de notre côté est publié : l’accord de traitement des données en donne la forme, qui reste à adapter à chaque situation.

Ce que le convive doit savoir, et quand

L’information se donne au moment de la collecte, pas dans une page que personne n’ouvre. Trois éléments s’ajoutent à ce qu’un établissement seul doit déjà dire : l’identité des responsables conjoints, les grandes lignes de leur accord, et le point de contact. Le convive doit pouvoir savoir qui détient sa fiche et à qui écrire, sans avoir à le deviner.

Ce qui circule effectivement dans un réseau, et ce qui n’en sort jamais, se décrit page par page : notre page Réseau expose le périmètre que nous nous imposons.

La base légale du partage est une question distincte, et elle se tranche avant celle-ci : le partage entre établissements n’est pas couvert par l’exécution du contrat de réservation, il lui faut un fondement propre et révocable.

Ce point, et l’ensemble des obligations d’un établissement qui tient un fichier seul, sont traités dans le guide du RGPD et des fiches clients.

Quand une maison s’en va

C’est la question que personne ne traite, et c’est celle qui se pose vraiment. Un établissement quitte le groupe, revend son fonds, sort du réseau. Le RGPD ne prévoit aucun régime de sortie pour les responsables conjoints : ce que l’accord n’a pas écrit, personne ne l’écrira à sa place le jour venu.

Trois points se tranchent d’avance, pendant que les parties s’entendent encore.

• Ce que devient la copie détenue par la maison qui part. La finalité du partage disparaissant pour elle, la conservation au titre du partage n’a plus de fondement — ce qui ne touche ni à ses propres fiches, ni aux pièces qu’une obligation légale lui impose de garder.
• Qui informe les convives concernés, et dans quel délai.
• À qui le convive s’adresse ensuite, puisque le point de contact désigné dans l’accord peut être précisément celui qui s’en va.

Une chose reste vraie quoi qu’il arrive : chacun demeure responsable des traitements qu’il a effectués pendant la période commune. Une sortie ne solde rien rétroactivement.

Quand ne pas partager du tout

Un dispositif de partage se justifie par ce qu’il permet de faire pour le convive. Quand ce n’est pas le cas, l’abandonner coûte moins cher que l’encadrer.

• Quand la finalité réelle est la prospection. Recevoir mieux et démarcher sont deux finalités distinctes, et la seconde demande son propre consentement.
• Quand aucune des maisons ne peut tenir le point de contact. Un convive qui écrit et n’obtient pas de réponse dans le mois est le point de départ le plus fréquent d’une plainte.
• Quand le partage emporte des données sensibles sans consentement explicite distinct. Une allergie est une donnée de santé au sens de l’article 9 : la faire circuler « pour bien faire » ne suffit pas.
• Quand personne ne sait répondre à la question « qui efface quoi, et en combien de temps ». Si la réponse demande une réunion, le dispositif n’est pas prêt.

Les engagements que nous prenons sur la sécurité et la circulation des données sont détaillés sur la page Sécurité.

Ce texte est une information de nature générale, à jour au 14 septembre 2026, et ne remplace pas l’avis d’un conseil sur une situation particulière.