Cession du fichier clients : ce que le RGPD impose en cas de vente ou de cessation d'activite
Publie le 16/10/2026 · Temps de lecture : 10 min
Le fichier clients figure presque toujours au bilan, parfois meme comme l'un des actifs les plus valorises d'une TPE ou d'une PME au moment de sa vente. Mais contrairement a un local commercial ou a un stock de marchandises, ce fichier contient des donnees a caractere personnel : il reste soumis au RGPD jusqu'au dernier jour de l'entreprise, et au-dela, chez le repreneur. Vendre une entreprise ne dispense pas de respecter les droits des personnes dont les donnees figurent dans ce fichier, que la vente porte sur un fonds de commerce, des parts sociales, ou qu'elle s'accompagne d'une cessation d'activite pure et simple.
Cet article detaille ce que le RGPD impose concretement dans chacune de ces situations : quand informer les clients, quand respecter leur droit d'opposition, et ce qui change selon la nature juridique de l'operation.
Sommaire
- 1. Un actif de l'entreprise, mais pas comme les autres
- 2. Cession de titres ou cession de fonds de commerce : deux regimes differents
- 3. Informer les clients avant le transfert effectif
- 4. Le droit d'opposition : ce qu'il implique pour le repreneur
- 5. Les clauses a prevoir dans l'acte de cession
- 6. Cessation d'activite sans repreneur : que faire du fichier ?
- 7. Checklist avant la signature
- Questions frequentes
1. Un actif de l'entreprise, mais pas comme les autres
Un fichier clients se cede juridiquement comme n'importe quel autre element d'actif : il peut etre inclus dans le perimetre d'une cession de fonds de commerce, apporte a une nouvelle structure, ou transfere avec l'ensemble des contrats en cours. Sur ce point, le droit commercial ne distingue pas un fichier clients d'un autre actif immateriel.
La difference tient au RGPD : les personnes dont les donnees figurent dans ce fichier n'ont pas de lien contractuel avec l'operation de cession elle-meme, mais elles conservent l'integralite de leurs droits (acces, rectification, opposition, effacement) a l'egard de qui que ce soit traite leurs donnees, hier comme demain. Le principe de limitation des finalites (article 5.1.b du RGPD) impose que toute nouvelle utilisation des donnees, y compris par un repreneur, reste compatible avec la finalite pour laquelle elles ont ete collectees a l'origine. L'article 6.4 du RGPD fixe les criteres de ce test de compatibilite : le lien entre la finalite initiale et la nouvelle, le contexte de la collecte, la nature des donnees, les consequences possibles pour les personnes, et les garanties mises en place.
2. Cession de titres ou cession de fonds de commerce : deux regimes differents
La premiere question a trancher est juridique, pas technique : quelle est la structure de l'operation ?
Dans une cession de titres (rachat de parts sociales ou d'actions), la personne morale qui exploite le fichier clients ne change pas. C'est la meme societe, identifiee par le meme numero SIREN, qui reste responsable du traitement avant et apres la vente ; seul son actionnariat ou sa direction change de mains. En principe, le RGPD n'impose pas d'information nouvelle aux clients pour ce seul motif, puisqu'il n'y a pas de nouveau destinataire des donnees. La vigilance porte alors sur un audit prealable : le registre des traitements est-il a jour, les contrats de sous-traitance (hebergeur, logiciel de facturation, prestataire d'emailing) respectent-ils bien les clauses de l'article 28 du RGPD, les durees de conservation sont-elles respectees ?
Dans une cession de fonds de commerce ou un apport d'actifs a une nouvelle structure, la situation est different : le fichier clients change de responsable de traitement. C'est une nouvelle personne morale, avec un SIREN different, qui va desormais traiter les donnees. Ce changement de destinataire declenche en principe une obligation d'information prealable des personnes concernees, et ouvre la question du droit d'opposition.
3. Informer les clients avant le transfert effectif
Lorsque la cession fait apparaitre un nouveau responsable de traitement, les articles 13 et 14 du RGPD imposent d' informer les personnes concernees de ce changement, dans un langage clair et accessible. Cette information doit en pratique preceder ou accompagner le transfert effectif des donnees, et preciser au minimum : l'identite du repreneur, les finalites pour lesquelles il va continuer (ou non) a traiter les donnees, et la maniere d'exercer ses droits, notamment le droit d'opposition.
Le canal de cette information suit generalement celui utilise habituellement par l'entreprise pour communiquer avec ses clients (e-mail, courrier, encart sur l'espace client), afin que l'information soit effectivement recue et comprehensible, et non noyee dans des conditions generales modifiees sans signalement particulier.
4. Le droit d'opposition : ce qu'il implique pour le repreneur
L'article 21 du RGPD distingue deux cas. Pour un traitement fonde sur l'interet legitime ou une mission d'interet public, la personne doit justifier sa demande par des motifs tenant a sa situation particuliere, et le responsable de traitement peut dans certains cas maintenir le traitement s'il demontre des motifs legitimes et imperieux. Mais pour la prospection commerciale (article 21.2), le droit d'opposition est absolu : la personne n'a pas a se justifier, et le repreneur ne peut opposer aucun motif pour continuer a utiliser ses donnees a cette fin une fois l'opposition exprimee.
Concretement, cela signifie que le repreneur doit laisser un delai raisonnable aux clients pour exprimer leur opposition avant de reutiliser le fichier a des fins de prospection, et mettre en place un moyen simple de le faire (lien de desinscription, adresse de contact dediee). Si la base legale initiale de la prospection etait un consentement specifique donne a l' entreprise cedante, ce consentement ne se transfere pas automatiquement au repreneur : par prudence, un nouveau consentement doit generalement etre recueilli avant l'envoi de nouvelles campagnes commerciales, en dehors des communications necessaires a l'execution des contrats en cours (SAV, garantie, facturation).
5. Les clauses a prevoir dans l'acte de cession
Au-dela de l'information des clients, l'acte de cession lui-meme doit encadrer le transfert des donnees entre le cedant et le repreneur. Plusieurs points meritent d'etre formalises par ecrit :
- un rappel explicite que les donnees transferees ne pourront etre utilisees que pour des finalites compatibles avec celles annoncees aux personnes concernees lors de leur collecte ;
- la communication au repreneur du registre des traitements et des preuves de consentement deja recueillies, pour qu'il puisse demontrer la conformite du fichier repris en cas de controle ;
- une repartition claire des responsabilites en cas de demande d'exercice de droits (acces, effacement) formulee par un client avant ou juste apres la date de transfert ;
- une garantie du cedant sur l'absence de manquement connu au RGPD au moment de la cession, au meme titre que les garanties classiques de passif social ou fiscal.
Ces clauses s'ajoutent, sans s'y substituer, a la revision des durees de conservation applicables au fichier repris : un repreneur herite d'un fichier, pas d'une duree de conservation remise a zero.
6. Cessation d'activite sans repreneur : que faire du fichier ?
Lorsqu'une entreprise cesse definitivement son activite sans qu'aucun repreneur ne poursuive tout ou partie de celle-ci, le fichier clients ne peut pas etre vendu isolement, comme un simple actif commercial detache de toute activite, a une structure sans rapport avec le service d'origine. Une telle cession violerait le principe de limitation des finalites : les clients n'ont jamais consenti a ce que leurs donnees servent les interets commerciaux d'un tiers totalement etranger a la relation initiale.
En l'absence de reprise d'activite, le fichier doit simplement suivre son cycle de vie normal : conservation pendant la duree encore necessaire a l'execution des obligations legales et comptables de l'entreprise (garanties, prescription commerciale), puis suppression. Les obligations comptables et fiscales qui imposent de conserver certains documents (factures, pieces justificatives) pendant plusieurs annees ne justifient pas de conserver l'ensemble du fichier clients dans son usage commercial habituel : seules les donnees strictement necessaires a ces obligations peuvent etre archivees, avec un acces restreint, au-dela de la duree d'utilisation commerciale.
7. Checklist avant la signature
Avant de signer un acte de cession impliquant un fichier clients, quelques verifications simples permettent d'eviter le risque juridique le plus frequent : decouvrir le probleme apres coup, quand le repreneur a deja commence a exploiter les donnees.
- Identifier precisement la nature de l'operation (titres ou fonds de commerce) et ses consequences sur le responsable de traitement ;
- Verifier que le registre des traitements du cedant est a jour et communicable au repreneur ;
- Preparer le message d'information aux clients, avec une description claire de leur droit d'opposition ;
- Fixer un delai raisonnable avant toute reutilisation commerciale du fichier par le repreneur ;
- Inserer dans l'acte les clauses de garantie et de repartition des responsabilites evoquees plus haut ;
- Verifier la compatibilite des bases legales existantes avec les futurs usages prevus par le repreneur.
Gardez un registre a jour, meme en cas de cession
ConformiteFacile centralise votre registre des traitements et vos preuves de consentement : des documents precieux a transmettre a un repreneur, ou a presenter en cas de controle.
Decouvrir les tarifsQuestions frequentes
Dois-je demander le consentement de mes clients avant de vendre mon fichier clients ?
Pas necessairement un nouveau consentement, mais une information prealable est obligatoire dans la plupart des cas. Si la cession (vente de fonds de commerce, apport d'actifs) fait apparaitre un nouveau responsable de traitement, les articles 13 et 14 du RGPD imposent d'informer les personnes concernees de ce changement de destinataire. Pour la prospection commerciale en particulier, le droit d'opposition prevu a l'article 21.2 du RGPD est absolu : le client peut refuser que ses donnees servent a cette finalite chez le repreneur, sans avoir a justifier son refus.
Que se passe-t-il si je vends seulement des parts ou des actions de ma societe ?
Dans une cession de titres (rachat de parts sociales ou d'actions), la personne morale qui traite les donnees ne change pas : c'est la meme entite juridique qui reste responsable du traitement, seul son actionnariat change. En principe, il n'y a donc pas de nouvelle information a envoyer aux clients au titre du RGPD pour ce seul motif. La vigilance porte plutot sur l'audit du registre des traitements et des contrats de sous-traitance existants avant la signature, pour verifier qu'ils sont a jour.
Puis-je transmettre mon fichier clients si mon entreprise cesse definitivement son activite, sans repreneur ?
Un fichier clients ne peut pas etre cede isolement, comme un simple actif commercial, a une entreprise qui n'a aucun lien avec l'activite d'origine : cela violerait le principe de limitation des finalites de l'article 5.1.b du RGPD, puisque les personnes n'ont jamais consenti a ce que leurs donnees servent les interets d'un tiers sans rapport avec le service initial. En l'absence de reprise d'activite, le fichier doit suivre les durees de conservation habituelles, puis etre supprime ou archive selon les obligations legales et comptables qui s'appliquent par ailleurs a l'entreprise.
Le repreneur peut-il immediatement faire de la prospection commerciale auprès des clients repris ?
Seulement si la finalite reste compatible avec celle pour laquelle les donnees ont ete collectees a l'origine, et apres avoir laisse aux clients un delai raisonnable pour exercer leur droit d'opposition. Si la base legale initiale etait un consentement specifique a l'entreprise cedante pour de la prospection par e-mail, ce consentement ne se transfere pas automatiquement : le repreneur doit en principe recueillir un nouveau consentement avant d'adresser ses propres campagnes, sauf si la relation contractuelle en cours (livraison, SAV, garantie) justifie une base legale distincte.
Faut-il mettre a jour le registre des traitements lors d'une cession ?
Oui. Le registre des traitements documente notamment les destinataires des donnees et les responsables de traitement. Un changement de proprietaire, de forme juridique ou de perimetre d'activite doit y etre reporte, avec la date du transfert et l'analyse de compatibilite des finalites qui a justifie la poursuite du traitement par le repreneur.
A lire aussi
Delegue a la protection des donnees (DPO) : votre PME est-elle obligee d'en designer un ?
Lire
Enregistrement des appels telephoniques : ce que le RGPD impose a une TPE ou une PME
Lire