La filiale française. Une entité juridique immatriculée en France répond de ses obligations RGPD, DORA ou NIS2 devant les régulateurs français et européens, même si son informatique est intégralement opérée par la maison-mère depuis l'étranger. La gestion peut se déléguer ; la responsabilité, non.
Le cas est extrêmement répandu : un groupe étranger ouvre ou rachète une filiale française, et l'informatique est fournie par le siège — tenant du groupe, DSI centrale, prestataires choisis par la maison-mère. Opérationnellement, tout fonctionne. Juridiquement, un angle mort se crée : la filiale française est une entité de plein droit face à la CNIL, à l'ACPR ou à l'ANSSI, et « c'est le groupe qui gère » n'est pas une réponse recevable lors d'un contrôle.
Le test simple : si la CNIL demande demain à votre filiale son registre des traitements, ou si votre régulateur sectoriel demande le registre de vos prestataires TIC, pouvez-vous les produire — en français, à jour, pour le périmètre de l'entité française ? Si la réponse dépend d'un e-mail au siège, le dispositif n'est pas conforme dans les faits.
Le RGPD attribue la responsabilité à l'entité qui détermine les finalités et les moyens des traitements. Pour ses salariés, ses clients et ses fournisseurs, la filiale française est en général responsable de traitement, ou co-responsable avec le groupe. La DSI du groupe qui opère les systèmes agit alors comme sous-traitant intragroupe — ce qui suppose un contrat conforme à l'article 28 du RGPD, y compris entre entités du même groupe. Un accord intragroupe informel ne suffit pas.
Si la maison-mère est établie hors Union européenne, les flux de données vers le siège constituent des transferts internationaux à encadrer : décision d'adéquation le cas échéant, clauses contractuelles types ou règles d'entreprise contraignantes (BCR). Ce point est systématiquement examiné lors des contrôles.
Si la filiale française est une entité financière régulée (assurance, gestion, paiement…), DORA s'applique à elle, sous la supervision de son autorité française. Conséquence contre-intuitive mais centrale : les services informatiques fournis par la maison-mère sont, au sens de DORA, des services TIC fournis par un prestataire intragroupe. Ils doivent figurer au registre d'information de la filiale, être couverts par un accord écrit répondant aux exigences de l'article 30, et la filiale doit disposer d'une stratégie de sortie — même vis-à-vis de son propre groupe.
En pratique, cela impose une gouvernance locale : un responsable identifié en France, une documentation accessible en français, et la capacité de notifier un incident majeur au régulateur français dans les délais — ce que le circuit de décision d'un siège étranger, avec ses fuseaux horaires et ses priorités, ne permet pas toujours.
La directive NIS2 élargit les obligations de cybersécurité à de nombreux secteurs, avec des critères de taille et d'activité qui s'apprécient entité par entité — l'appartenance à un groupe étranger n'exonère pas une filiale française qui entre dans le champ. La transposition française est en cours de déploiement sous l'égide de l'ANSSI ; les groupes internationaux ont intérêt à cartographier dès maintenant lesquelles de leurs entités européennes sont concernées, pays par pays, car les transpositions nationales divergent dans les détails.
La solution n'est pas de dupliquer une DSI en France, mais d'installer un relais local de conformité et d'exploitation : un prestataire français qui opère ou co-opère le périmètre de la filiale, tient sa documentation aux standards des régulateurs français, sert d'interlocuteur technique lors des audits, et s'articule avec la DSI du groupe plutôt que de s'y substituer. Le siège garde la cohérence technologique ; la filiale gagne la démontrabilité locale. C'est précisément la configuration que nous opérons pour des filiales françaises de groupes européens régulés.
Oui, un groupe peut standardiser ses outils. Mais la filiale doit s'assurer que leur usage respecte ses obligations locales : base légale des traitements, localisation des données, encadrement des transferts, capacité d'audit. La standardisation ne dispense pas de la conformité locale.
L'entité française. La notification CNIL (72 heures pour une violation de données personnelles) et la notification au régulateur sectoriel incombent à l'entité juridique française, même si l'incident s'est produit sur une infrastructure opérée par le groupe.
Oui. Le RGPD ne connaît pas d'exception de groupe : deux entités juridiques distinctes doivent formaliser leur relation de sous-traitance (article 28). DORA applique la même logique aux services TIC intragroupe, qui doivent figurer au registre d'information.
DIGICAB opère des environnements Microsoft 365 et Azure pour des filiales françaises de groupes internationaux régulés : documentation locale, articulation avec la DSI groupe, conformité démontrable. 30 minutes avec un ingénieur, sans démarchage ni engagement.
Prendre rendez-vous