Dans beaucoup d'acquisitions, la base clients justifie une part importante du prix. Elle n'est pourtant exploitable par le repreneur que si elle a été constituée régulièrement et si son usage futur reste conforme à ce qui avait été annoncé aux personnes concernées. Le volet protection des données n'est plus un contrôle de forme : il conditionne la valeur de l'actif principal de certaines cibles.
Premier point : l'existence et la tenue du registre
Le premier document à demander est le registre des activités de traitement. L'autorité de contrôle décrit un document qui doit recenser l'ensemble des traitements mis en œuvre, comporter le nom et les coordonnées de l'organisme et, le cas échéant, de son délégué à la protection des données, être mis à jour au fil des évolutions fonctionnelles et techniques, et pouvoir être communiqué sur demande. Une fiche doit être établie pour chaque activité de traitement. Le modèle publié par la CNIL fixe le niveau de détail attendu.
Une société qui ne peut pas produire ce registre ne sait pas quelles données elle détient, ni depuis quand, ni pourquoi. Le constat ne se corrige pas en quelques jours et il conditionne tous les points suivants.
Deuxième point : la base légale des traitements de prospection
Un fichier de prospects n'a de valeur que s'il peut être utilisé. L'audit vérifie donc sur quel fondement chaque traitement repose, et notamment si les personnes ont été informées de la finalité annoncée et de la possibilité que leurs données soient transmises.
C'est sur ce point que la cession elle-même pose une question. Transférer un fichier à un repreneur dont l'activité est identique et qui poursuit la même finalité n'a pas la même portée qu'un transfert vers une entité au modèle différent. Une base constituée pour un usage restreint ne devient pas exploitable plus largement du seul fait qu'elle change de propriétaire.
Troisième point : les durées de conservation
L'audit demande la politique de conservation et la compare à la réalité de la base. La synthèse officielle des obligations en matière de protection des données personnelles rappelle le cadre applicable aux entreprises et sert de référence commune aux deux parties. L'écart est presque toujours important, parce que la suppression est le geste que personne n'exécute.
Une base gonflée d'enregistrements anciens n'a pas seulement un problème de conformité, elle a un problème de valeur : le repreneur qui découvre que la moitié des contacts n'ont plus interagi depuis des années a payé pour une audience qui n'existe pas. Ce contrôle est donc autant financier que juridique, et il justifie souvent une révision du prix attribué à cet actif.
Quatrième point : les sous-traitants
Hébergeur, prestataire de maintenance, service d'envoi de messages, outil de gestion de la relation client : chacun traite des données pour le compte de la société et relève du statut de sous-traitant, ce qui impose un encadrement contractuel précis de la relation, avec des instructions documentées et une durée de conservation définie.
L'audit vérifie l'existence de ces contrats, leur contenu, la localisation des serveurs, les conditions de réversibilité et la capacité effective à récupérer les données en cas de changement de prestataire. Ce dernier point rejoint une préoccupation classique de l'acquéreur : une dépendance technique non documentée est un risque d'exploitation autant qu'un risque juridique.
Cinquième point : les droits des personnes
La société doit être capable de répondre à une demande d'accès, de rectification, d'effacement ou d'opposition. L'audit ne se contente pas de la procédure écrite, il demande le registre des demandes reçues et le délai moyen de réponse.
Une société qui n'a jamais reçu la moindre demande n'est pas nécessairement exemplaire : elle n'a peut-être jamais donné aux personnes le moyen d'en formuler une. À l'inverse, une société qui traite régulièrement ces demandes dispose d'une chaîne fonctionnelle, ce qui est un bon signal sur l'ensemble de son organisation.
Sixième point : la sécurité et les incidents passés
L'audit demande l'historique des violations de données, les notifications éventuellement adressées à l'autorité de contrôle et aux personnes concernées, ainsi que les mesures correctrices mises en place.
Un incident passé et correctement traité est moins inquiétant qu'une absence totale de journalisation qui rendrait indétectable toute compromission. La question à poser n'est pas seulement si un incident s'est produit, mais si la société serait en mesure de le savoir.
Septième point : la data room elle-même
Le paradoxe de ce volet est qu'il produit son propre risque. Auditer la conformité suppose d'ouvrir à des tiers des documents contenant des données de salariés, de clients et de fournisseurs.
Trois précautions minimales s'imposent : ne déposer que les pièces nécessaires, en pseudonymisant ce qui peut l'être, notamment les contrats de travail et les fichiers clients dont un échantillon anonymisé suffit souvent ; encadrer contractuellement les conseils et l'hébergeur ; et clôturer effectivement les accès après la signature, avec une trace de cette clôture.
Ce que le volet produit concrètement
Comme les autres volets de l'audit, celui-ci ne vaut que par sa traduction contractuelle. Une absence de registre justifie une condition suspensive de régularisation. Une base dont la constitution est douteuse justifie une révision du prix affecté à cet actif. Un contrat de sous-traitance manquant justifie une garantie spécifique.
Le sujet rejoint enfin le volet propriété intellectuelle, puisque la même logique de preuve s'applique aux actifs immatériels : ce que la société croit détenir ne vaut que par les registres qui l'attestent, à commencer par les bases publiques de l' Institut national de la propriété industrielle .
Commentaires
No comments yet