Un groupe multinational doit-il centraliser l’information au Luxembourg ou dans chaque État membre ?
Réponse courte
Un groupe multinational opérant au Luxembourg doit conserver et rendre accessibles sur le territoire luxembourgeois l’ensemble des documents sociaux exigés par la législation locale, même en cas de centralisation de l’information dans un autre État membre. La centralisation à l’étranger n’est admise que si une copie complète, à jour et immédiatement accessible des documents est disponible au Luxembourg pour les autorités compétentes.
Il est donc recommandé de centraliser l’information au Luxembourg pour les entités luxembourgeoises afin de garantir la conformité avec les obligations légales, notamment vis-à-vis de l’Inspection du travail et de la CNPD. Si la centralisation est effectuée dans un autre État, il est impératif de maintenir une gestion documentaire rigoureuse au Luxembourg, avec un responsable local désigné et des mesures garantissant l’accessibilité permanente des données.
Définition
La centralisation de l’information désigne, dans le contexte d’un groupe multinational, la conservation, le traitement et la gestion des données relatives aux salariés et à l’activité de l’entreprise au sein d’un point unique, généralement le siège social ou une entité désignée. Cette centralisation peut concerner des données administratives, sociales, fiscales ou relatives à la gestion du personnel. Au Luxembourg, la question de la centralisation se pose principalement au regard des obligations légales en matière de tenue de documents sociaux, de protection des données à caractère personnel et de contrôle des autorités nationales.
Conditions d’exercice
Au Luxembourg, chaque entité juridique est tenue de conserver sur le territoire national l’ensemble des documents sociaux exigés par le Code du travail, notamment les registres du personnel, les contrats de travail, les bulletins de salaire et les documents relatifs au temps de travail. L’article L.140-1 du Code du travail impose la tenue et la conservation de ces documents sur le lieu de travail ou dans un lieu accessible à l’Inspection du travail et des mines (ITM). La centralisation à l’étranger n’est admise que si une copie complète et à jour des documents est disponible au Luxembourg, accessible sans délai en cas de contrôle.
En matière de protection des données, la loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données (CNPD) et du régime général sur la protection des données (RGPD) s’applique. Les transferts de données à caractère personnel hors du Luxembourg sont soumis à des conditions strictes, notamment l’information préalable des salariés et la garantie d’un niveau de protection adéquat.
Modalités pratiques
Pour centraliser l’information au Luxembourg, chaque entité doit mettre en place un système de gestion documentaire conforme aux exigences du Code du travail. Les documents doivent être conservés sous format papier ou électronique, à condition que l’authenticité, l’intégrité et la lisibilité soient garanties pendant toute la durée légale de conservation. En cas de centralisation dans un autre État, il est impératif de maintenir une copie complète et actualisée au Luxembourg, accessible à tout moment pour les autorités compétentes.
Les transferts de données à des entités du groupe situées à l’étranger nécessitent la mise en œuvre de mesures techniques et organisationnelles appropriées, ainsi que la formalisation d’accords intra-groupe conformes à la législation luxembourgeoise sur la protection des données. Toute centralisation doit également respecter le principe de finalité et de proportionnalité dans la collecte et le traitement des données.
Pratiques et recommandations
Il est recommandé de privilégier la centralisation de l’information au Luxembourg pour les entités luxembourgeoises, afin de garantir la conformité avec les exigences de l’ITM et de la CNPD. En cas de centralisation à l’étranger, il convient de s’assurer que les copies des documents sociaux sont systématiquement mises à jour et immédiatement accessibles depuis le Luxembourg. Il est conseillé de désigner un responsable local de la gestion documentaire et de la protection des données, chargé de veiller au respect des obligations légales et de répondre aux demandes des autorités.
Les groupes multinationaux doivent également veiller à informer les salariés sur la nature, la finalité et la destination des données transférées, conformément à l’article 13 du RGPD et à la loi luxembourgeoise. Toute politique de centralisation doit faire l’objet d’une analyse d’impact relative à la protection des données, lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées.
Cadre juridique
- Code du travail luxembourgeois, notamment articles L.140-1 et suivants relatifs à la tenue et la conservation des documents sociaux.
- Loi modifiée du 1er août 2018 portant organisation de la CNPD et du régime général sur la protection des données.
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), tel qu’applicable au Luxembourg.
- Jurisprudence nationale relative à l’accessibilité et à la disponibilité des documents sociaux lors des contrôles de l’ITM.
- Recommandations et lignes directrices publiées par la CNPD concernant les transferts intra-groupe et la conservation des données.
Note
En cas de contrôle, l’absence de documents sociaux accessibles immédiatement au Luxembourg expose l’entité à des sanctions administratives et pénales. Il est donc impératif d’organiser la gestion documentaire de manière à garantir la disponibilité permanente des informations requises sur le territoire luxembourgeois.