Due diligence RGPD : auditer avant de racheter (2026)

En 2016, Marriott rachète le groupe hôtelier Starwood. En septembre 2018, l’acquéreur découvre que la base de réservation de sa cible était compromise depuis 2014 : 339 millions d’enregistrements clients. Le 30 octobre 2020, l’ICO britannique inflige à Marriott — et non à Starwood — une amende de 18,4 millions de livres.

C’est tout le problème de la conformité dans une opération de croissance externe : le passif ne reste pas chez le vendeur. Il arrive au closing, avec la base clients, et il se chiffre sur le chiffre d’affaires du nouveau groupe. Voici comment auditer réellement une cible, ce qu’il faut demander, et ce qui doit faire bouger le prix.

Ce que vous rachetez vraiment dépend de la structure de l’opération

La première erreur, que je vois dans à peu près une opération sur deux, consiste à traiter toutes les acquisitions de la même façon. Or le régime RGPD change radicalement selon le montage retenu, parce que la question juridique n’est pas « qui possède les données » — personne ne « possède » des données personnelles — mais qui devient responsable de traitement.

Montage	Effet sur le responsable de traitement	Y a-t-il « transmission » de données ?
Cession de titres (share deal)	Aucun changement : la personne morale cible reste responsable	Non
Fusion-absorption, TUP, apport partiel d’actif	L’absorbante recueille le patrimoine et devient responsable	Non, transmission universelle
Cession de fonds de commerce, cession d’actifs (asset deal)	Le cessionnaire devient un nouveau responsable de traitement	Oui, communication à un tiers

Dans un share deal, la société cible conserve sa personnalité juridique : ses traitements se poursuivent à l’identique et aucune communication de données à un tiers n’intervient. Le passif, lui, reste intégralement logé dans la cible — que vous venez d’acheter. Vous n’avez rien à notifier aux personnes concernées, mais vous héritez de tout.

Dans une fusion-absorption ou une transmission universelle de patrimoine (art. L. 236-3 du code de commerce), l’absorbante recueille l’ensemble des droits et obligations : elle se substitue à l’absorbée comme responsable de traitement. Là encore, pas de « transfert » au sens du RGPD, mais une obligation de transparence : le changement d’identité du responsable est une information due au titre des Art. 13 et 14, et cela suppose a minima une mise à jour de la politique de confidentialité et une information active des personnes.

Dans un asset deal — cession de fonds de commerce, rachat d’une branche d’activité, reprise à la barre du tribunal — c’est un autre monde. Le fichier passe d’une entité A à une entité B qui sont deux responsables de traitement distincts. Il faut donc une base légale pour la communication, une information des personnes au titre de l’Art. 14 RGPD, et une vérification de ce que le fichier peut effectivement servir à faire.

La base légale de la transmission dans un asset deal

Il n’existe aucune disposition du RGPD consacrée aux opérations de restructuration. En pratique, la transmission du fichier client se fonde sur l’intérêt légitime du cédant au titre de l’Art. 6(1)(f), ce qui suppose de documenter le triple test : finalité légitime (assurer la continuité de la relation commerciale), nécessité (pas d’alternative moins intrusive), et mise en balance avec les attentes raisonnables des personnes. Un client qui a acheté chez un commerçant s’attend raisonnablement à ce que son contrat se poursuive si le fonds change de mains. Il ne s’attend pas nécessairement à recevoir les offres d’un groupe qu’il ne connaît pas.

Trois limites méritent d’être posées clairement :

• Les données sensibles échappent à ce raisonnement. L’Art. 9 RGPD n’admet pas l’intérêt légitime comme condition de levée de l’interdiction. Une base contenant des données de santé, des convictions religieuses ou une appartenance syndicale ne peut pas être cédée sur ce fondement. Pour les cibles du secteur médical, paramédical ou assurantiel, c’est une question à traiter en amont de la LOI, pas au closing.
• La prospection électronique ne suit pas automatiquement. Le consentement recueilli au titre de l’article L. 34-5 du CPCE vaut pour la société qui l’a collecté et pour les partenaires nommément désignés au moment du recueil. La CNIL est explicite : le consentement n’est pas transmissible de partenaire en partenaire. Un cessionnaire qui n’apparaissait pas dans la liste des destinataires devra en principe recueillir lui-même le consentement avant toute campagne. Notre guide sur l’achat de fichier de prospection détaille cette mécanique.
• Le droit d’opposition doit avoir été respecté en amont. La CNIL rappelle que les données des personnes s’étant opposées à la transmission de leurs coordonnées à des fins de prospection postale ou téléphonique, et de celles n’ayant pas consenti pour la voie électronique, doivent être supprimées du fichier avant sa remise à l’acquéreur. C’est une obligation du cédant : vérifiez qu’elle a été exécutée, et faites-le écrire.

Les dix pièces à réclamer en data room

Une due diligence RGPD sérieuse ne se fait pas avec un questionnaire déclaratif de trois pages. Elle se fait avec des documents datés, et avec la preuve que ces documents décrivent la réalité. Voici la liste que j’utilise, par ordre de valeur informative décroissante.

1. Le registre des activités de traitement (Art. 30). C’est le document n° 1, et son absence est en soi un manquement. Un registre vide, générique ou non daté vous dit immédiatement le niveau de maturité réel de la cible.
2. Les mentions d’information et la politique de confidentialité, dans leurs versions successives. Vous cherchez la cohérence entre ce qui est annoncé aux personnes et ce que fait réellement la cible.
3. La preuve du consentement pour les bases marketing (Art. 7(1)) : horodatage, contenu du formulaire au moment du recueil, capture d’écran, journalisation. Sur ce point, voir notre guide du consentement RGPD.
4. Les contrats de sous-traitance (Art. 28(3)) et la cartographie des sous-traitants ultérieurs. Un contrat de sous-traitance RGPD absent sur un prestataire critique — CRM, hébergeur, prestataire de paie — est une non-conformité immédiate.
5. Le dossier des transferts hors UE : clauses contractuelles types 2021/914 signées, analyses d’impact des transferts, certifications DPF le cas échéant. Beaucoup d’ETI françaises découvrent en due diligence qu’elles transfèrent sans base juridique valable. Voir transferts de données hors UE et le modèle de TIA.
6. Le registre des violations de données (Art. 33(5)) et les notifications adressées à la CNIL. C’est le poste le plus révélateur : une entreprise sans aucune violation enregistrée depuis 2018 n’est pas une entreprise sans incident, c’est une entreprise qui ne détecte rien. Voir notification des violations de données.
7. Les analyses d’impact réalisées (Art. 35) et les avis du DPO. L’absence d’AIPD sur un traitement manifestement à risque élevé — vidéosurveillance, scoring, biométrie — est un manquement direct.
8. La désignation du DPO et sa notification à la CNIL, avec la lettre de mission et les rapports d’activité. Sur les cas d’obligation, voir notre page DPO.
9. La politique de durées de conservation et la preuve des purges effectives. Les durées de conservation déclarées et les données réellement présentes en base sont rarement les mêmes : demandez une requête d’ancienneté sur la base, pas un tableau Word.
10. L’historique contentieux : plaintes reçues, mises en demeure, contrôles CNIL passés ou en cours, réclamations d’exercice de droits non traitées. Une procédure de contrôle en cours change la nature de l’opération. Sur son déroulé, voir la procédure de sanction CNIL.

À cette liste s’ajoutent, selon la cible, les éléments propres au numérique : conformité de la bannière cookies (voir cookies RGPD), obligations AI Act si la cible développe ou déploie des systèmes d’IA, et certifications sectorielles (HDS, SecNumCloud, PCI-DSS).

Les red flags qui doivent faire bouger le prix

Toutes les non-conformités ne se valent pas. Certaines se corrigent en trois mois avec un budget modeste. D’autres détruisent la valeur de l’actif que vous croyez acheter.

Une base de prospection sans preuve de consentement vaut zéro. Ce n’est pas une figure de style. La délibération SAN-2025-001 du 15 mai 2025 a coûté 900 000 € à SOLOCAL MARKETING SERVICES, assortis d’une injonction sous astreinte de 10 000 € par jour de retard. Le manquement retenu : avoir utilisé des données achetées à des courtiers sans être en mesure de démontrer la validité du consentement recueilli en amont. La CNIL a explicitement jugé que les exigences contractuelles imposées aux fournisseurs et les vérifications déclarées « étaient manifestement insuffisantes ». Autrement dit : la responsabilité pèse sur l’utilisateur final des données, pas sur le courtier. Si vous rachetez une base de 400 000 prospects sans journal de consentement, vous rachetez un fichier que vous ne pourrez pas exploiter — et un risque de sanction.

Le démarchage téléphonique a changé de régime le 11 août 2026. La loi du 30 juin 2025 contre les fraudes aux aides publiques a inversé le principe : les consommateurs ne peuvent plus être démarchés par téléphone sans consentement préalable explicite, hors contrat en cours. Une base de numéros de téléphone B2C valorisée dans le business plan de la cible sur des hypothèses d’appels sortants doit être réexaminée intégralement.

Une violation de données non notifiée est un passif dormant. L’obligation de notification sous 72 heures (Art. 33) ne s’éteint pas parce que l’incident est ancien. Si la due diligence révèle une compromission non notifiée, la question devient : notifie-t-on avant ou après le closing, et qui en supporte les conséquences ? C’est une clause à négocier, pas un détail à traiter en post-closing.

Un registre inexistant vous prive de tout moyen d’intégration. Sans registre, vous ne pouvez ni évaluer le périmètre des traitements repris, ni construire le plan d’intégration, ni démontrer votre propre conformité après le closing. Le coût de reconstitution — cartographie complète, entretiens métiers, revue contractuelle — se chiffre facilement en dizaines de milliers d’euros sur une ETI.

L’exposition se calcule sur le nouveau groupe. C’est le point que les dirigeants sous-estiment le plus. Les plafonds de l’Art. 83 RGPD — 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu — s’apprécient au niveau de l’« entreprise » au sens du droit de la concurrence, c’est-à-dire de l’unité économique. Une non-conformité héritée d’une cible réalisant 8 M€ de chiffre d’affaires s’apprécie, après intégration, sur le chiffre d’affaires consolidé du groupe acquéreur. Le même manquement change d’ordre de grandeur en changeant de propriétaire. Notre panorama des sanctions RGPD donne des repères chiffrés.

Sécuriser la data room : elle est elle-même un traitement

On l’oublie systématiquement : ouvrir une data room contenant des données personnelles constitue un traitement, dont le cédant est responsable. Le principe de minimisation de l’Art. 5(1)© s’y applique pleinement.

En pratique, cela signifie qu’il ne faut jamais déposer la base clients complète en data room. Les bonnes pratiques que j’applique :

• Travailler sur données pseudonymisées ou agrégées en phase 1. Un acquéreur a besoin de connaître la structure de la base — volumétrie, ancienneté, taux d’opt-in, répartition géographique, taux de churn — pas les noms. Voir pseudonymisation et anonymisation et notre méthode pour anonymiser une base sans perdre sa valeur.
• Constituer une clean team : un cercle restreint et nommément identifié, souvent composé de conseils externes, seul habilité à accéder aux données identifiantes, avec engagement de confidentialité individuel.
• Tracer les accès. La data room doit journaliser qui a consulté quoi et quand. C’est une exigence de sécurité (Art. 32) et une protection en cas de fuite pendant la négociation.
• Prévoir la restitution ou la destruction des données en cas d’échec des négociations, avec attestation. Une négociation qui n’aboutit pas laisse trop souvent des exports de bases dans les boîtes mail des conseils.

Pour les données RH — dossiers salariés, évaluations, données de santé liées à la médecine du travail —, la règle est plus stricte encore : anonymisation ou agrégation par défaut, accès nominatif limité aux seuls collaborateurs dont le transfert est juridiquement acquis.

Les clauses à négocier dans le protocole

La due diligence identifie le risque ; le contrat le répartit. Quatre briques méritent d’être discutées explicitement.

Des déclarations et garanties spécifiques. Les reps & warranties génériques sur le « respect des lois applicables » ne suffisent pas : la conformité RGPD n’est pas binaire, et un vendeur de bonne foi peut sincèrement se croire conforme. Il faut des déclarations précises : existence et exactitude du registre, obtention et conservation de la preuve des consentements, absence de violation de données non notifiée, existence des contrats Art. 28 avec les sous-traitants listés, licéité des transferts hors UE, absence de procédure CNIL en cours ou annoncée.

Une garantie de passif dédiée. Le risque RGPD justifie une ligne distincte, avec son propre plafond, parce que sa temporalité ne correspond pas à celle des garanties fiscales ou sociales. En pratique, il est prudent d’aligner la durée de cette garantie sur l’horizon réel des contrôles : la CNIL remonte couramment sur trois exercices, et une plainte individuelle peut réveiller un manquement bien plus ancien.

Une condition suspensive pour les non-conformités bloquantes. Lorsqu’un manquement est identifié et qu’il conditionne la valeur de l’actif — typiquement une base de prospection sans preuve de consentement —, il est plus efficace d’exiger sa régularisation avant closing que de la financer par une garantie.

Une clause de coopération post-closing. Le vendeur détient l’historique : contexte de collecte, versions successives des formulaires, correspondances avec la CNIL. Prévoyez son obligation de coopérer pendant 24 à 36 mois si une réclamation ou un contrôle survient sur des faits antérieurs.

Les 90 jours après le closing

L’intégration est la phase où le risque se matérialise — c’est exactement ce que montre le dossier Marriott, où l’ICO a sanctionné non pas le défaut de détection à l’acquisition, mais l’insuffisance des mesures prises après la prise de contrôle. Le plan minimal :

1. Fusionner les registres de traitement et re-qualifier les rôles (responsable conjoint, sous-traitant) entre les entités du groupe.
2. Mettre à jour les mentions d’information et notifier activement les personnes du changement de responsable de traitement, en respectant le délai d’un mois de l’Art. 14(3) dans les asset deals.
3. Rejouer la base légale de chaque traitement repris, en particulier les traitements marketing.
4. Renégocier ou faire adhérer les sous-traitants au cadre contractuel du groupe.
5. Notifier la CNIL de la nouvelle désignation du DPO si l’organisation change.
6. Purger avant de migrer. Ne transférez jamais dans votre système d’information des données dont la durée de conservation est expirée : vous importeriez le manquement dans votre propre environnement.
7. Lancer un audit de sécurité indépendant sur les systèmes repris, dans les 90 jours. C’est le poste sur lequel Marriott a été sanctionné.

Sur la structuration de l’ensemble de la documentation post-intégration, notre guide du dossier de conformité RGPD détaille ce que la CNIL vérifie effectivement en contrôle, et notre méthode d’audit RGPD donne la trame d’évaluation.

Cette cartographie — registre consolidé, base légale par traitement, contrats sous-traitants, durées de conservation — représente le gros du travail d’intégration. C’est précisément ce type de consolidation multi-entités que Legiscope automatise, en maintenant un registre unique à jour à mesure que le périmètre du groupe évolue.

Ce qu’il faut retenir

• Le régime RGPD dépend du montage : en share deal et en fusion, il n’y a pas de transmission de données mais un passif intégralement hérité ; en asset deal, il y a communication à un tiers, donc base légale et information des personnes au titre de l’Art. 14.
• La transmission d’un fichier dans un asset deal se fonde sur l’intérêt légitime (Art. 6(1)(f)), mais ce fondement est fermé pour les données sensibles (Art. 9) et ne fait pas suivre le consentement à la prospection électronique.
• Dix pièces suffisent à évaluer une cible : registre, mentions d’information, preuve des consentements, contrats Art. 28, dossier transferts, registre des violations, AIPD, désignation du DPO, politique de conservation, historique contentieux.
• Une base de prospection sans preuve de consentement n’a pas de valeur exploitable : SAN-2025-001 (900 000 €) a sanctionné l’utilisateur des données, pas le courtier qui les avait collectées.
• Depuis le 11 août 2026, le démarchage téléphonique B2C exige un consentement préalable explicite : toute valorisation fondée sur une base de numéros doit être réexaminée.
• Le plafond de l’Art. 83 s’apprécie sur le chiffre d’affaires mondial du nouveau groupe : un manquement change d’ordre de grandeur en changeant de propriétaire.
• La data room est elle-même un traitement : pseudonymisation en phase 1, clean team, journalisation des accès, destruction attestée en cas d’échec.

FAQ

Faut-il informer les clients d’un rachat d’entreprise au titre du RGPD ?

Cela dépend du montage. En cession de titres, le responsable de traitement ne change pas et aucune information spécifique n’est due, même s’il est recommandé d’actualiser la politique de confidentialité. En fusion-absorption comme en cession de fonds de commerce, l’identité du responsable change : les personnes doivent en être informées, au plus tard dans un délai d’un mois ou lors du premier contact dans le cas d’un asset deal (Art. 14(3)).

Peut-on prospecter les clients d’une société rachetée ?

Pas automatiquement. Si l’opération emporte transmission universelle de patrimoine, la relation contractuelle se poursuit et l’exception « client existant » de l’article L. 34-5 du CPCE peut continuer de s’appliquer pour des produits analogues. En revanche, si le fichier a simplement été cédé à une entité distincte qui ne figurait pas parmi les destinataires annoncés lors de la collecte, il est nécessaire de recueillir un nouveau consentement pour la prospection par voie électronique.

Le vendeur peut-il refuser de communiquer sa base clients en data room ?

Il le peut, et c’est souvent la bonne réponse juridique. La communication de données identifiantes à un acquéreur potentiel avant signature est un traitement soumis au principe de minimisation. Il est d’usage de ne fournir en phase préliminaire que des données agrégées ou pseudonymisées, l’accès aux données identifiantes étant réservé à une équipe restreinte sous engagement de confidentialité, voire reporté après signature.

Quelle durée retenir pour une garantie de passif RGPD ?

Il n’existe pas de durée standard. En pratique, une garantie de 24 à 36 mois couvre l’essentiel du risque de contrôle, mais elle laisse subsister les réclamations individuelles plus tardives. Le choix dépend surtout du profil de la cible : une entreprise traitant des données sensibles ou opérant en B2C de masse justifie une garantie plus longue et un plafond distinct de celui des garanties fiscales et sociales.

L’acquéreur peut-il être sanctionné pour des manquements antérieurs au closing ?

Oui. En cession de titres comme en fusion, la personne morale responsable demeure ou se voit substituée, et la CNIL peut poursuivre des faits antérieurs. Le dossier Marriott illustre la logique retenue par les autorités : l’acquéreur est jugé sur les mesures qu’il prend une fois le contrôle acquis, ce qui rend le plan d’intégration des 90 premiers jours déterminant.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL, jurisprudence CJUE, évolutions réglementaires : une lecture par semaine pour rester à jour sans y passer vos journées. Inscrivez-vous à la newsletter.