Registre de mouvements de titres dématérialisé et RGPD
Le registre des mouvements de titres est un document légal incontournable pour toute société par actions (SAS, SA, etc.). Il retrace l’historique des cessions, apports, transmissions ou donations de titres au sein de l’entreprise. Longtemps tenu sur support papier, ce registre peut aujourd’hui être dématérialisé, sous certaines conditions, notamment via un dispositif d’enregistrement électronique partagé (DEEP). Mais au-delà de sa fonction juridique, il comporte aussi de nombreuses données à caractère personnel, telles que l’identité des actionnaires, leurs coordonnées ou encore le nombre de titres détenus. À ce titre, sa gestion est également soumise au Règlement Général sur la Protection des Données (RGPD).
Ce double cadre, droit des sociétés et réglementation des données personnelles, impose aux entreprises une vigilance particulière.
Le registre des mouvements de titres : un document à portée juridique et personnelle
Le registre des mouvements de titres est un document obligatoire pour toutes les sociétés par actions. Il permet d’assurer la traçabilité des transferts de propriété des titres (actions, parts sociales…), qu’il s’agisse de cessions, de donations, d’apports ou de transmissions. Selon l’article R.228-8 du Code de commerce, ce registre peut être tenu soit sur un support papier coté et paraphé par le greffe, soit sous forme dématérialisée à condition de respecter les garanties légales, notamment via un DEEP.
Ce registre contient des informations nominatives, telles que :
- l’identité des anciens et nouveaux titulaires de titres ;
- leur nombre de titres détenus ;
- la date, la nature et la chronologie de chaque opération.
Ces données relèvent du RGPD, car elles permettent d’identifier directement ou indirectement une personne physique. Le registre devient donc une base de données à caractère personnel, soumise aux exigences de traitement licite, de sécurité, de transparence et de limitation de la conservation.
RGPD et registre des titres : quelles obligations ?
La tenue d’un registre des mouvements de titres implique, par sa nature, un traitement de données personnelles. Ce traitement doit donc respecter les principes fondamentaux du RGPD, à commencer par ceux de l’article 5 du règlement :
- Licéité, loyauté et transparence, car les personnes concernées (actionnaires, bénéficiaires effectifs…) doivent être informées de la finalité du registre et de leurs droits.
- Les données ne peuvent être utilisées que pour des raisons de suivi légal et de respect des règles.
- Minimisation des données, sachant que seules les informations strictement nécessaires doivent être collectées (exclusion des données non exigées par la loi).
- Les fiches des actionnaires doivent être mises à jour à chaque changement pour être précises.
- Limitation de la conservation avec une durée de conservation justifiée par la finalité.
- Protéger les données avec des méthodes techniques et des règles pour éviter les accès non autorisés, les modifications ou les pertes.
Cycle de vie des données : de la base active à l’archivage
La CNIL recommande une gestion structurée des données selon 3 étapes :
- Une base active : les données du registre sont directement accessibles et utilisées pour la gestion courante de l’actionnariat.
- Un archivage intermédiaire : après un certain délai, les données peuvent être conservées, mais dans un espace sécurisé, avec un accès restreint (par exemple, en cas de contentieux ou d’audit).
- Un archivage définitif ou une suppression : passé un délai légal ou prescriptif, les données doivent être supprimées ou anonymisées, sauf exception prévue par la loi.
Le registre des mouvements de titres, en tant que pièce juridique probatoire, peut être conservé au minimum 10 ans, voire jusqu’à la dissolution de la société (recommandations ANSA).
Droits des personnes concernées
Les personnes physiques identifiées dans le registre disposent de droits garantis par les articles 13 à 15 du RGPD, elles ont un :
- droit d’accès pour connaître les données enregistrées à leur sujet.
- droit de rectification pour corriger une erreur ou une information inexacte.
- droit d’opposition pour s’opposer, dans certains cas, à l’utilisation de leurs données (hors obligations légales).
Attention :
Ces droits ne peuvent être exercés que dans le respect du cadre légal. Par exemple, l’opposition ne peut remettre en cause une inscription obligatoire dans un registre légal.
Qui est responsable du traitement ?
Le responsable légal de la tenue du registre est en principe l’organe de direction de la société (président de SAS, gérant de société, etc.). En pratique, la gestion peut être confiée à un prestataire externe, mais la responsabilité de conformité RGPD reste du ressort de l’entreprise.
Cela implique :
- la tenue d’un registre des traitements (article 30 RGPD) ;
- l’inclusion du registre des titres dans les analyses de risque (PIA si nécessaire) ;
- la formalisation des procédures d’accès, de rectification et de suppression ;
- la sécurisation de la plateforme utilisée (hébergement, chiffrement, accès restreint, journalisation).
Bon à savoir :
Les solutions comme Ubikap, adossées à un DEEP et dotées de fonctionnalités de sécurisation, simplifient cette mise en conformité.
Combien de temps conserver un registre de mouvements de titres ?
Une obligation légale de long terme
Le registre des mouvements de titres constitue la preuve officielle de la propriété des titres et de leur historique de transmission. En conséquence, sa conservation n’est pas limitée dans le temps.
Selon la position de l’ANSA (Association nationale des sociétés par actions), la durée de conservation de ce registre doit couvrir l’ensemble de la vie sociale de l’entreprise, jusqu’à sa dissolution, voire au-delà en cas de liquidation ou de contentieux post-clôture.
Conservation : distinguer les régimes applicables
Pour mieux comprendre, il faut visualiser la distinction entre plusieurs logiques de conservation :
Même si le RGPD impose une durée de conservation limitée, cette limite ne s’applique pas lorsque la loi exige une conservation prolongée. En revanche, les modalités d’accès aux données doivent être ajustées (base active vs archivage intermédiaire).
Exemples de pratiques internes
Certaines entreprises formalisent ces règles dans un protocole interne de conservation, qui peut inclure :
- la liste des registres concernés (mouvements de titres, AG, etc.) ;
- la durée de conservation prévue pour chaque document ;
- les mesures de sécurisation en archivage intermédiaire ;
- les conditions de suppression à la fin de la durée légale.
Ces protocoles peuvent être intégrés à un registre des traitements RGPD ou à une politique d’archivage.
Code civil et prescription quinquennale
L’article 2224 du Code civil prévoit un délai de prescription de 5 ans pour toute action personnelle ou mobilière, à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer.
Cela signifie que certaines actions contentieuses liées à des cessions de titres ou des irrégularités d’inscription peuvent être prescrites après 5 ans, ce qui peut être un repère utile pour organiser l’archivage intermédiaire, sans toutefois remettre en cause la nécessité de conserver le registre dans sa globalité.
Dématérialisation et conformité RGPD : quels enjeux spécifiques ?
La dématérialisation n’exonère pas du respect du RGPD
Passer à un registre des mouvements de titres dématérialisé ne dispense en rien l’entreprise de ses obligations légales en matière de protection des données personnelles.
Au contraire : la numérisation implique une responsabilité accrue en matière de cybersécurité, de documentation RGPD et de preuve de conformité.
Les principes fondamentaux du RGPD (finalité, limitation, exactitude, sécurité, droits des personnes, etc.) continuent de s’appliquer. Le registre numérique reste un traitement de données à caractère personnel, soumis aux mêmes règles qu’un fichier papier… avec plus de points de contrôle.
Sécurisation des accès et traçabilité des traitements
Un registre dématérialisé conforme doit intégrer des garanties robustes comme :
- Un accès restreint et authentifié pour que seuls les utilisateurs autorisés puissent consulter ou modifier le registre.
- Un hébergement des données en France sur des serveurs sécurisés conformes à la norme ISO 27001.
- La journalisation des actions (consultation, modification, suppression) pour assurer une traçabilité continue.
- Des sauvegardes régulières et des protocoles de restauration.
À noter :
La sécurité des données est soumise à une obligation de résultat en vertu de l’article 32 du RGPD.
Horodatage, signature, preuve d’intégrité : l’approche Ubikap
La solution Ubikap a été conçue pour répondre à la fois :
- aux exigences du droit des sociétés ;
- et aux obligations du RGPD.
Elle intègre notamment :
- L’horodatage qualifié des écritures, puisque chaque inscription dans le registre est datée avec valeur probante.
- La signature électronique certifiée eIDAS pour authentifier les documents (feuilles de présence, procès-verbaux, ordres de mouvement, etc.).
- Le chiffrement et des cachets électroniques qui garantissent l’intégrité des données et empêchent toute altération a posteriori.
- L’archivage sécurisé dans un coffre-fort numérique à valeur probante, ce qui est indispensable pour garantir la conservation des données personnelles sur le long terme.
Une valeur légale assurée par le DEEP
Depuis le décret n°2018-1226 du 24 décembre 2018, les registres de mouvements de titres peuvent être tenus de manière entièrement numérique, à condition de passer par un Dispositif d’Enregistrement Électronique Partagé (DEEP), autrement dit une blockchain conforme.
En cas de contrôle ou de contentieux, un registre géré via DEEP offre :
- une valeur juridique équivalente à un registre papier coté et paraphé ;
- des certificats de conformité vérifiables ;
- et une preuve irréfutable de l’ordre chronologique des mouvements de titres.
Ubikap repose précisément sur cette architecture, combinant sécurité, conformité RGPD et valeur légale.
Risques en cas de non-conformité
Un registre des mouvements de titres non conforme au RGPD ou au Code de commerce peut exposer l’entreprise à :
- Des sanctions administratives telles que des amendes pouvant atteindre 4 % du CA mondial en cas de manquements graves au RGPD (art. 83).
- Des litiges internes, car un registre mal tenu ou obsolète peut être inopposable aux tiers ou contesté par les actionnaires.
- Des risques juridiques, puisque, en cas de transfert non inscrit, la validité de l’opération peut être remise en cause.
- Des recours civils, car les personnes concernées peuvent demander réparation du préjudice subi.
Exemples courants :
- registre papier non sécurisé ;
- absence de journalisation ;
- fiches non mises à jour ;
- absence d’accès pour les ayants droit.
Bonnes pratiques pour un registre conforme et sécurisé
Voici les gestes-clés à adopter pour concilier conformité juridique et RGPD :
- Élaborer une politique de conservation claire (durée, base légale, modalités).
- Mettre à jour les fiches actionnaires après chaque mouvement (cession, donation, augmentation de capital…).
- Choisir une solution sécurisée comme Ubikap, qui combine DEEP, cryptographie, horodatage et signature électronique.
- Tracer chaque consultation ou modification, et restreindre les accès aux personnes habilitées.
Tableau récapitulatif : obligations croisées registre / RGPD
En somme, le registre des mouvements de titres est aussi un traitement de données personnelles soumis aux règles strictes du RGPD. Sa tenue, qu’elle soit papier ou dématérialisée, doit donc respecter un double cadre juridique.
Pour conjuguer conformité, sécurité et efficacité, les solutions numériques comme Ubikap offrent de quoi simplifier la gestion du registre tout en répondant aux exigences de protection des données.
