La cession d'un fichier clients est une étape presque incontournable de la vente d'une entreprise : le repreneur achète un savoir-faire, une enseigne, un emplacement, mais surtout une clientèle et les moyens de la contacter. Le RGPD ne l'interdit pas, à condition de distinguer les montages juridiques, de vérifier que le fichier a été constitué loyalement et d'informer les clients de ce changement. Pour le cédant comme pour le repreneur, un fichier non conforme est un risque autant qu'un actif : une base sans information des clients ni consentement valable pour la prospection peut perdre l'essentiel de sa valeur, voire exposer le nouveau propriétaire à une sanction.
Céder un fichier clients : ce que dit le RGPD
Le RGPD ne contient aucune disposition spécifique sur la cession d'entreprise ; il faut donc raisonner à partir de ses principes, et en particulier de la base légale et du principe de finalité. Les clients ont confié leurs données à une entreprise pour être servis, facturés, parfois sollicités ; la question est de savoir si leur transmission au repreneur reste compatible avec ces finalités et avec leurs attentes raisonnables. La CNIL a publié une fiche sur la vente de fichiers de clients et de prospects, qui rappelle les conditions de la cession et les obligations des deux parties.
Vente de titres ou vente du fonds : une différence essentielle
Lorsque le repreneur achète les parts ou les actions de la société, celle-ci reste la même personne morale : elle demeure responsable du traitement, le fichier ne change pas de mains et il n'y a pas, au sens du RGPD, de communication à un tiers. Les clients n'ont pas à être informés d'un changement de responsable, même si une information sur le changement d'actionnaire et de dirigeant reste une bonne pratique. Lorsque le repreneur achète le fonds de commerce, ou seulement le fichier, les données passent d'une personne morale à une autre : il y a transmission, et le cessionnaire devient un nouveau responsable du traitement.
Une transmission fondée sur l'intérêt légitime
Dans le cadre d'une cession de fonds, la transmission du fichier clients au repreneur peut en général reposer sur l'intérêt légitime des parties : assurer la continuité de l'activité et du service aux clients. Les clients d'une boulangerie, d'un garage ou d'un cabinet d'assurance s'attendent raisonnablement à ce que le nouveau gérant puisse honorer les commandes en cours, assurer le suivi des contrats et les garanties. Cette base légale suppose une mise en balance documentée, et elle ne couvre que les données nécessaires à la poursuite de la relation.
Le cas du fichier vendu seul
La vente d'un fichier isolé, sans le fonds qui va avec, est plus délicate. Elle s'apparente à une location ou à une vente de fichier à des fins de prospection et suppose que les personnes aient été informées de cette possibilité lors de la collecte et, pour la prospection électronique des particuliers, qu'elles y aient consenti. Un artisan qui cesse son activité et vend la liste de ses clients à un concurrent, sans les avoir prévenus et sans leur accord, s'expose à une contestation sérieuse de la licéité de la transmission.
Les vérifications du repreneur avant la signature
Le repreneur a tout intérêt à intégrer la protection des données dans son audit d'acquisition, au même titre que les comptes ou les contrats de travail. La première question porte sur l'existence et la qualité du registre des traitements : il renseigne sur l'origine des données, leurs finalités, leurs durées de conservation et les prestataires concernés. À défaut de registre, c'est souvent le premier signal d'une conformité fragile, qui doit être prise en compte dans le prix ou dans la garantie.
| Point à vérifier | Pourquoi c'est important |
|---|---|
| Origine des données | Un fichier acheté ou collecté sans information est fragile |
| Mentions d'information | Les clients savaient-ils comment leurs données seraient utilisées ? |
| Preuves de consentement à la prospection | Sans elles, les particuliers ne peuvent pas être démarchés par e-mail ou SMS |
| Durées de conservation | Des clients inactifs depuis dix ans ne sont plus prospectables |
| Données sensibles | Santé, opinions : régime renforcé et précautions particulières |
| Sous-traitants et outils | Logiciel de caisse, CRM, hébergeur : contrats et transferts |
| Incidents passés | Violations, plaintes, contrôles de la CNIL |
La qualité des consentements
La valeur commerciale d'un fichier dépend largement de ce que le repreneur pourra en faire. Pour les clients existants, l'envoi d'offres par courriel pour des produits analogues reste possible sans consentement préalable, sous réserve d'un droit d'opposition. Pour les prospects qui n'ont jamais acheté, il faut un consentement recueilli dans les règles, et la CNIL considère qu'un consentement donné à une entreprise ne s'étend pas automatiquement à son repreneur si l'identité du destinataire n'était pas prévisible. Le repreneur doit donc demander les preuves : formulaires, dates, textes affichés.
L'âge et la propreté des données
Un fichier qui accumule des clients inactifs depuis des années, des doublons et des coordonnées obsolètes n'a pas la valeur annoncée et révèle un non-respect du principe de limitation de la conservation. La CNIL retient en général trois ans après la fin de la relation commerciale pour la prospection des anciens clients. Il est utile de demander une extraction statistique par ancienneté du dernier achat avant de valoriser le fichier.
Les garanties contractuelles
L'acte de cession doit prévoir une déclaration du cédant sur la conformité du fichier, une garantie en cas de réclamation ou de sanction liée à des faits antérieurs, et la remise de la documentation (registre, mentions, preuves de consentement, contrats de sous-traitance). Le cédant s'engage aussi à supprimer de son côté les données transmises qu'il n'a plus de raison de conserver, sauf obligation légale, comme les factures qu'il doit garder dix ans.
Informer les clients du changement
Lorsque le fichier change de responsable, les clients doivent être informés de l'identité du nouveau responsable, des finalités pour lesquelles il utilisera leurs données et de leurs droits, en application de l'article 14 du RGPD relatif aux données non collectées directement auprès de la personne. Cette information doit intervenir dans un délai raisonnable, au plus tard un mois après la cession ou lors du premier contact. Elle peut être faite par un courrier ou un courriel commun du cédant et du repreneur, ce qui rassure les clients et sert la continuité commerciale. Les règles sont détaillées dans le guide de l'information des personnes.
Le droit d'opposition des clients
L'information doit rappeler aux clients qu'ils peuvent s'opposer à la poursuite du traitement par le repreneur, notamment pour la prospection, et indiquer comment le faire simplement. Une partie des clients choisira de ne plus être sollicitée, ce qui fait partie du jeu. Les oppositions doivent être enregistrées et respectées immédiatement.
Un exemple de message
Un courriel du type « La société Martin Élec, que vous connaissez, a été reprise le 1er décembre 2026 par la société Durand Énergies, qui poursuivra le suivi de vos installations et de vos contrats d'entretien. Vos coordonnées et l'historique de vos interventions lui ont été transmis à cette fin. Vous pouvez vous opposer à cette transmission ou à toute sollicitation commerciale en répondant à ce message » répond à l'essentiel, complété par un lien vers la politique de confidentialité du repreneur. L'exemple est fictif et doit être adapté.
Les cas particuliers de la transmission
Certaines activités appellent des précautions renforcées en raison de la nature des données ou d'un secret professionnel. La transmission d'une patientèle médicale ou paramédicale, par exemple, ne peut pas se faire comme celle d'un fichier commercial : le secret médical impose que le successeur ne reçoive les dossiers qu'avec l'accord des patients, informés du changement, et l'hébergement des dossiers doit rester conforme aux règles de la santé. Les mêmes précautions valent, avec des nuances, pour les cabinets d'avocats, d'expertise comptable ou de courtage, soumis à des règles déontologiques propres.
Le départ à la retraite sans repreneur
Lorsqu'un dirigeant cesse son activité sans repreneur, il doit organiser la fin de ses traitements : conserver en archivage les données que la loi impose de garder (factures, documents sociaux), supprimer les autres, et ne pas céder le fichier à un tiers sans base légale. Une liquidation n'efface pas ces obligations, qui pèsent alors sur le liquidateur.
L'accompagnement de la transmission
La cession d'une entreprise mobilise de nombreux interlocuteurs : expert-comptable, avocat, notaire, conseil en transmission, banque. Intégrer la question des données dès la préparation de la vente, au même titre que l'inventaire des contrats et des actifs, permet d'éviter qu'elle ne surgisse au dernier moment et ne fragilise la négociation. Le guide du RGPD pour les TPE et PME rappelle les fondamentaux à mettre en ordre en amont.