Dans une cession de PME, la base clients figure souvent en bonne place dans le mémorandum d’information : des dizaines de milliers de contacts, un taux d’ouverture, une part de clients récurrents. L’acheteur, lui, pose une autre question pendant la due diligence. Combien de ces contacts pourra-t-il exploiter demain sans risque, et sur quelles pièces le vendeur le démontre-t-il ?
Une étude publiée le 7 octobre 2026 par la CNPD luxembourgeoise, puis relayée le 16 octobre par la CNIL, documente ce moment. Elle est signée par les équipes d’analyse économique de 3 autorités de protection des données : la mission Analyse économique de la CNIL, le département Economic Analysis de l’ICO britannique et le département Dispositifs de confiance de la CNPD. Son titre : « De la protection des données à la création de valeur en finance ».
L’étude ne crée aucune obligation : elle décrit comment acheteurs et investisseurs lisent déjà un fichier clients, et ce qui se passe quand la preuve manque.
Ce que l’étude a mesuré, et auprès de qui
La méthode combine une revue de littérature, 12 entretiens semi-directifs menés de mars à mai 2026 avec des auditeurs, des avocats, des agences de notation, des places boursières et des autorités de marché, un atelier tenu à la CNPD le 6 juillet 2026, et une enquête en ligne auprès de délégués à la protection des données en mai 2026. En France, l’enquête a recueilli 204 réponses d’entreprises privées réalisant plus de 5 millions d’euros de chiffre d’affaires. Au Luxembourg, le rapport donne un taux de réponse de 30 % sans publier l’effectif. Aucune enquête n’a été conduite au Royaume-Uni, faute de temps selon les auteurs.
L’annonce de la CNIL évoque « plusieurs centaines de réponses ». Le document lui-même n’en chiffre que 204, côté français. Les auteurs signalent aussi 2 limites : l’échantillon surreprésente les grandes entreprises, et les liens mesurés sont des corrélations, pas des causalités.
Sur les opérations de fusion-acquisition, les chiffres français, déclaratifs et datés de mai 2026, portent sur de petits effectifs. Parmi 67 entreprises ayant participé à une opération ces 5 dernières années et interrogées sur la découverte de données non conformes, 33 répondent qu’elle n’a eu aucun impact, 13 qu’elle a conduit à des garanties de passif spécifiques, 3 à une baisse du prix et 2 à l’annulation de l’opération. Sur 76 répondantes, 48 indiquent que les bases acquises n’ont été examinées qu’au premier niveau de l’audit juridique et informatique général. Sur 72, 38 déclarent n’avoir pas valorisé du tout les bases clients acquises.
Constater, recommander : 2 registres à ne pas confondre
Le constat est sévère. Le plus souvent, écrivent les auteurs, la due diligence se traduit par « une déclaration générale de conformité de la part de l’entreprise cible, qui, par construction, ne peut pas faire l’objet d’un audit ». Ils qualifient cette pratique de « cocher les cases » et la jugent sous-optimale pour les 2 parties, parce qu’elle laisse intacte l’asymétrie d’information entre celui qui connaît son fichier et celui qui l’achète.
Les recommandations relèvent d’un autre registre. Le rapport propose une matrice d’audit des données en 2 étapes : décrire les données, leur volume, leur qualité, leurs risques et le niveau de conformité, puis en tirer les conséquences sur le prix et les clauses. Il suggère un rapport de due diligence établi par le vendeur, des compléments de prix conditionnés à la mise en conformité, et désigne comme « bonne pratique la plus importante » une feuille de route « données et conformité » pour l’après-opération. La CNPD le précise : ces pistes ne sont « ni des prescriptions juridiques, ni des lignes directrices ».
Pourquoi un fichier sans preuve perd de la valeur
Le mécanisme part d’une phrase recueillie en entretien et citée par le rapport : « la conformité protège la valeur en garantissant que les données peuvent générer légalement et durablement des flux de trésorerie futurs ». Un acheteur valorise des revenus futurs. Un contact qu’il ne pourra pas solliciter légalement n’en produira aucun, et un contact dont il ignore le statut produit un risque qu’il fera payer.
Le droit français a déjà tranché un cas extrême. Le 25 juin 2013, la Cour de cassation a jugé qu’un fichier de clientèle informatisé non déclaré à la CNIL « n’est pas dans le commerce, et sa vente a un objet illicite ». L’arrêt visait une formalité de déclaration que le RGPD a supprimée en 2018. L’étude en tire une règle plus large, selon laquelle un fichier non conforme « ne peut être légalement cédé », sans citer de décision postérieure : c’est sa lecture, pas une jurisprudence établie sous le RGPD.
Le RGPD déplace la question vers la preuve. Son article 5 oblige le responsable du traitement à être « en mesure de démontrer » le respect des principes, et son article 7 impose la même charge pour le consentement. En due diligence, 4 maillons se vérifient pour chaque catégorie de contacts. La base légale, d’abord : contrat, consentement ou intérêt légitime, documentée pour chaque finalité. L’information, ensuite : quand les données ont été obtenues auprès d’un tiers, la personne doit être informée dans un délai qui ne dépasse pas un mois. Le consentement, là où il est requis, avec sa date, son texte et son canal. La durée de conservation enfin, qui ne doit pas excéder celle nécessaire à la finalité.
Chaque maillon manquant retire des contacts de la base exploitable, ou les fait passer dans la colonne des risques. Notre analyse de la sanction d’AS MEDIA montre que, depuis le 11 août 2026, démarcher un particulier par téléphone exige son consentement préalable, et qu’il revient au professionnel de le prouver : un fichier téléphonique sans ces preuves ne vaut plus son volume. Celle consacrée aux adresses électroniques devinées établit qu’en prospection entre professionnels, l’intérêt légitime n’est « ni automatique ni systématique » selon la CNIL : une base reconstituée sans trace de cette appréciation porte une question ouverte sur chaque ligne.
Dans une cession, un contact vaut ce que le vendeur peut prouver de sa collecte, de l’information donnée et de sa durée de conservation.
Qui décide quoi
Les autorités ne fixent aucun prix. Leur poids reste indirect : leurs contrôles et leurs sanctions forment le risque que l’acheteur cherche à couvrir. Le partage réel des décisions se fait entre les parties.
Le vendeur décide de ce qu’il apporte en salle de données. Selon le rapport, une due diligence peut durer de 6 à 18 mois : la documentation d’une base clients se prépare donc avant le mémorandum d’information. L’acheteur et ses conseils décident de la traduction financière, qui va de l’exclusion d’un segment à la garantie de passif, au complément de prix ou à la baisse de prix. Dans l’enquête française, la garantie de passif est la conséquence la plus citée, loin devant la baisse de prix. Le risque ne disparaît donc pas du contrat : il reste à la charge du vendeur pendant la durée de la garantie.
Le DPO de la cible, enfin, détient les pièces mais pas la décision. Les auteurs ont d’ailleurs demandé aux DPO de répondre avec l’aide de leur direction financière, pour rapprocher 2 équipes qui se parlent peu, car la question posée en due diligence porte aussi sur la part de la base qui produira des revenus. Une levée de fonds pose la même question, avec un investisseur à la place de l’acheteur.
Le prix d’une base clients se négocie en salle de données, et c’est le vendeur qui choisit d’y arriver avec des preuves ou avec une simple déclaration.
Le fait à surveiller
La CNPD présentera l’étude le 10 novembre 2026 lors d’une conférence à la Chambre de commerce de Luxembourg, et les auteurs écrivent vouloir « poursuivre les discussions avec les acteurs des fusions-acquisitions » sur leur méthode d’évaluation. Si l’une des 3 autorités publie d’ici fin 2026 un outil de due diligence des données, une fiche pratique ou un référentiel tiré de cette matrice, le document changera de statut et deviendra une référence de place. Si rien ne suit la conférence, l’étude restera un rapport exploratoire, et la grille de valeur prouvable restera l’affaire des parties.
Les faits proviennent du rapport conjoint de la CNIL, de l’ICO et de la CNPD publié en octobre 2026, lu dans son intégralité, de l’annonce de la CNPD du 7 octobre 2026, de celle de la CNIL du 16 octobre 2026, du sommaire officiel de l’arrêt de la Cour de cassation du 25 juin 2013 et du texte du RGPD. Les résultats d’enquête sont déclaratifs, portent sur la France en mai 2026 et sur de petits effectifs pour les questions de fusion-acquisition. La grille est une méthode de travail, pas une description de pratiques observées chez une entreprise.
