Le piège classique
Le considérant 37 definit la notion de groupe d'entreprises qui irrigue plusieurs dispositifs opérationnels du RGPD : DPO mutualise (art. 37(2)), intérêt légitime intra-groupe (cons. 48), règles d'entreprise contraignantes (art. 47), guichet unique. La CNPD et la CNIL sanctionnent régulièrement les holdings luxembourgeoises qui revendiquent l'appartenance a un groupe pour partager des données RH, clients ou marketing, sans jamais avoir formalise le périmètre de contrôle ni démontré l'influence dominante. Résultat : la base légale s'effondre et chaque entité redevient un responsable de traitement isole, exposé individuellement.
Le test 'influence dominante' applique au tissu luxembourgeois
Au Luxembourg, les structures holding (SOPARFI, family office, SICAR) creent une complexité particulière : detention indirecte via fiducie, participation minoritaire avec pacte d'actionnaires, mandat de gestion confie a une société de domiciliation. Le considérant 37 exige de démontrer concretement qui peut imposer les règles de protection des données. Les critères a documenter :
- Detention capitalistique directe ou indirecte (seuil de contrôle effectif, pas seulement 50% + 1)
- Pouvoir de nomination des administrateurs et du DPO
- Existence d'une politique groupe de protection des données opposable a toutes les filiales
- Mécanismes de remontee des violations vers la société controlante
- Convention intra-groupe de partagé de données signee par chaque entité
- Cartographie des flux RH, clients et fournisseurs entre entités du périmètre
Sans cette documentation, impossible d'invoquer l'intérêt légitime intra-groupe du considérant 48, ni de mutualiser un DPO entre filiales luxembourgeoises et soeurs françaises ou belges.
Comment Luxgap automatise ce risque
Notre Luxgap Group Perimeter Mapper materialise en temps reel le périmètre groupe d'entreprises au sens du considérant 37, en croisant vos données capitalistiques et opérationnelles plutot qu'en demandant a votre direction juridique de remplir un tableur. L'outil ingere automatiquement votre extrait RCS Luxembourg, les registres BCE belge et Infogreffe français, vos pactes d'actionnaires deposes chez le notaire, et vos flux Azure AD inter-tenant pour reconstituer la chaîne de contrôle reelle.
- Scanne le RCS et les registres beneficiaires effectifs (RBE Luxembourg) pour détecter automatiquement les liens capitalistiques entre toutes les entités de votre périmètre.
- Calcule un score d'influence dominante pour chaque relation en combinant detention directe, droits de vote, pouvoir de nomination et clauses des pactes d'actionnaires.
- Detecte les filiales orphelines : entités operationnellement intégrées au groupe mais sans rattachement juridique formel, source numéro un de litige avec la CNPD.
- Genere la convention intra-groupe de partagé de données prete a signer, avec annexes par typologie (RH, CRM, finance, IT shared services).
- Produit un rapport PDF horodate opposable a la CNPD lors d'un contrôle, demontrant que votre invocation du considérant 37 repose sur des faits documentes et non sur une auto-declaration.
- Alerte en temps reel quand une cession, une fusion ou un changement de pacte modifie le périmètre, pour eviter de continuer a invoquer un groupe qui n'existe plus.
Disponible en complement d'un mandat DPO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur votre structure capitalistique reelle, avec un audit blanc gratuit sous 48h pour mesurer la solidite juridique de votre périmètre groupe avant tout engagement.
