Les dossiers du personnel peuvent-ils être centralisés au niveau d'un groupe ?
Réponse courte
Oui pour l'hébergement, non pour les responsabilités. Chaque entité du groupe qui emploie des salariés reste responsable du traitement à leur égard, et la centralisation technique ne transfère ni la responsabilité, ni les obligations locales.
Trois d'entre elles restent intégralement à la charge de l'employeur luxembourgeois. Produire les documents à l'ITM dans les meilleurs délais (L.614-4), quel que soit le lieu d'hébergement. Répondre aux demandes d'accès des salariés dans le mois. Et tenir les registres imposés — temps de travail, dimanche, jours fériés — qui ne se délocalisent pas.
Sur le plan des données, la centralisation suppose de qualifier les rôles : responsable conjoint ou sous-traitance intragroupe, avec un contrat au sens de l'article 28 du RGPD et une information des salariés sur les destinataires.
Définition
La centralisation regroupe les données de plusieurs entités dans un système unique. Elle est un choix d'organisation, non un transfert de responsabilité.
La responsabilité du traitement appartient à l'entité qui détermine les finalités et les moyens. Dans un groupe, elle reste le plus souvent locale, quelle que soit l'infrastructure.
Conditions d’exercice
Ce qui se centralise est l'infrastructure ; ce qui reste local est l'obligation.
| Élément | Localisation | Base |
|---|---|---|
| Hébergement et outil | Centralisable | Aucun texte contraire |
| Responsabilité du traitement | Locale, au niveau de l'employeur | RGPD, article 24 |
| Production à l'ITM | Locale, dans les meilleurs délais | L.614-4 |
| Registres du Code du travail | Locaux, présentés à toute demande | L.211-29, L.231-10, L.232-8 |
| Documents des salariés détachés | Sur le lieu de travail ou à l'adresse déclarée | L.142-3 |
| Réponse aux demandes d'accès | Locale, dans le mois | RGPD, articles 12 et 15 |
Modalités pratiques
La qualification des rôles conditionne tout le reste du dispositif.
| Geste | Marche à suivre |
|---|---|
| Rôles | Qualifier chaque entité : responsable, responsable conjoint ou sous-traitant |
| Contrat | Formaliser par un accord intragroupe au sens de l'article 28 ou 26 |
| Information | Mentionner les destinataires et les transferts éventuels |
| Accès | Cloisonner les données par entité, pour éviter les accès croisés |
| Extraction locale | Garantir la capacité de produire sans passer par le siège |
| Registre des traitements | Le tenir localement, en décrivant la centralisation |
Pratiques et recommandations
Le cloisonnement par entité est la mesure la plus souvent négligée. Un système centralisé qui donne à chaque service du personnel l'accès aux dossiers de toutes les filiales crée des accès sans base légale, sans que personne ne l'ait décidé.
La capacité d'extraction locale conditionne la conformité aux contrôles. L'ITM fixe un délai, et l'entreprise luxembourgeoise qui doit attendre l'intervention d'un siège situé ailleurs supporte seule les conséquences du retard.
La centralisation ne dispense jamais des registres locaux. Le registre du temps de travail se tient là où le travail s'exécute et se présente à toute demande : aucune organisation de groupe ne modifie cette exigence.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 24 | Responsabilité du responsable du traitement |
| RGPD, article 26 | Responsables conjoints du traitement |
| RGPD, article 28 | Contrat de sous-traitance, y compris intragroupe |
| RGPD, chapitre V | Transferts hors Union européenne |
| Article L.614-4 du Code du travail | Communication des documents à l'ITM dans les meilleurs délais |
| Article L.211-29 du Code du travail | Registre du temps de travail, présenté à toute demande |
Note
L'infrastructure se centralise, les responsabilités restent locales. Cloisonnez les accès par entité et garantissez l'extraction locale : l'ITM fixe un délai que l'organisation du groupe ne suspend pas.