Guide
RGPD et fichier clients lors d'une reprise d'entreprise
Reprendre un fichier clients : information des personnes avant la cession, opposition, registre des traitements. Règles lues sur les pages de la CNIL.
Mis à jour le
Un fichier clients contient des données personnelles : noms, adresses, adresses électroniques, historique d'achats. Dans une reprise, il change souvent de mains, et le repreneur doit savoir ce qu'il a le droit d'en faire. Cette page donne les règles lues sur les pages de la CNIL. Elle ne donne pas d'avis juridique : pour une opération précise, le conseil juridique tranche.
Ce que dit la CNIL sur la cession d'un fichier clients
Selon la CNIL, la cession de fichiers entre sociétés commerciales est possible « sous certaines conditions ». Les règles de protection des données n'interdisent pas de céder le fichier de ses clients à une autre société pour qu'elle leur adresse de la publicité. Les points à retenir, d'après la page de la CNIL :
- Information préalable. Avant la cession, la personne doit avoir été informée de sa faculté de s'opposer à ce que ses coordonnées postales soient mises à disposition d'organismes extérieurs à des fins de prospection.
- Consentement exprès pour l'électronique. Si la cession concerne l'adresse électronique, le consentement exprès est requis, selon l'article L34-5 du Code des postes et des communications électroniques.
- Calendrier. La page indique que ces démarches doivent être accomplies « préalablement » à la cession. Elle ne donne pas de délai : voir la source officielle.
Le registre des traitements
La CNIL rappelle que le registre doit indiquer les finalités du traitement, les personnes concernées, les catégories de données, les destinataires, les transferts hors Union européenne et une description des mesures de sécurité. Il doit aussi préciser les délais d'effacement, soit la durée de conservation, ou à défaut les critères pour la fixer.
Le registre est tenu par le responsable de traitement. Les entreprises de moins de 250 salariés bénéficient d'une dérogation, mais la CNIL précise qu'elle est « limitée à des cas très particuliers ». Elle recommande, en cas de doute, d'inscrire le traitement.
Méthode pour le repreneur
- Identifier qui est responsable du fichier avant la reprise : l'entreprise cédée, le repreneur, ou les deux.
- Vérifier comment le fichier a été constitué et si les personnes ont été informées de sa cession.
- Retirer les personnes qui se sont opposées à la prospection. Pour les autres données, demandez à votre conseil quelles sont les règles applicables : la page de la CNIL lue ici ne les détaille pas.
- Faire inscrire le traitement au registre du repreneur, avec sa durée de conservation.
- Informer les personnes dans les conditions fixées par votre conseil.
Tableau de contrôle
| Question | Réponse attendue |
|---|---|
| Qui est responsable du fichier ? | Identifié par écrit dans l'accord |
| Les personnes ont-elles été informées avant la cession ? | Oui, trace conservée |
| Les personnes opposées sont-elles retirées ? | Oui |
| Le registre est-il à jour ? | Traitement inscrit, durée notée |
| Le fichier est-il conservé dans un outil choisi pour cela ? | Oui, hors assistant grand public |
Ce que l'IA aide à faire, et ce qu'elle ne fait pas
L'IA peut rédiger un modèle de registre, lister les champs à compléter et préparer un texte d'information, sans données personnelles. Elle ne doit pas recevoir le fichier lui-même. Elle ne décide pas de la durée de conservation : c'est une décision du responsable de traitement, prise selon les règles lues sur la source officielle.
La CNIL rappelle aussi qu'il faut interroger le fournisseur d'un système d'IA sur sa conformité au RGPD, et ne pas saisir de données personnelles dans un service grand public. Ces points sont développés dans la page sur l'audit des documents.
Liens utiles
Les données des salariés suivent des règles distinctes, traitées dans la page sur l'information des salariés. Les contrats avec les clients, qui fondent souvent la collecte, se relisent avec la méthode de la page contrats. Le financement de la reprise est traité dans la page financement.
Un fichier clients se reprend après lecture de ses règles, pas après un export rapide.
Questions fréquentes
Peut-on reprendre le fichier clients d'une entreprise rachetée ?
La CNIL indique que la cession de fichiers entre sociétés commerciales est possible sous certaines conditions. Les personnes doivent être informées de leur faculté de s'opposer avant la cession, et le consentement exprès est exigé pour les adresses électroniques, selon la CNIL.
Faut-il un registre des traitements dans une petite entreprise ?
La CNIL indique que les entreprises de moins de 250 salariés bénéficient d'une dérogation, limitée à des cas très particuliers. En cas de doute, elle recommande d'inscrire le traitement au registre.
L'IA peut-elle trier le fichier clients avant la reprise ?
Pas avec les données personnelles. Un fichier de noms et d'adresses ne doit pas entrer dans un assistant grand public. Le tri se fait dans l'outil de l'entreprise, avec des règles écrites.
Sources
Pages consultées pour écrire cet article :