Rachat de fichier clients : reprendre les accords

Le rachat d’une entreprise ne transforme pas ses abonnés en prospects utilisables pour toutes les offres de l’acquéreur. Le prix payé pour un fichier ne démontre ni la licéité de sa collecte initiale, ni celle de la campagne que vous voulez lancer. Avant de fusionner les bases, distinguez l’opération juridique, les usages nécessaires à la continuité de l’activité et les nouvelles campagnes commerciales — puis vérifiez canal par canal ce que vous pouvez réellement envoyer.

Identifier ce qui change réellement

Dans une acquisition de titres, la société qui exploite le fichier peut rester la même personne morale : le seul changement d’actionnaire ne remplace pas nécessairement le responsable de traitement. Dans une fusion-absorption, la société absorbée disparaît et son patrimoine est transmis par transmission universelle selon l’Art. L236-3 du Code de commerce ; cette règle de droit des sociétés ne dispense pas d’examiner chaque traitement au regard du RGPD. Dans une cession d’actifs ou de fichier seul (la « vente sèche »), les données passent à un nouveau responsable qui doit justifier sa propre base légale. Faites qualifier le montage avant d’appliquer cette fiche : elle concerne surtout l’exploitation d’un fichier cédé à une autre entité, pour prospecter des consommateurs sur des offres ordinaires. Les secteurs soumis à des interdictions particulières demandent un examen complémentaire.

Le RGPD impose une finalité déterminée et un fondement approprié, notamment aux Art. 5(1)(b) et 6(1) : principes du règlement. Aucune de ces trois opérations n’ouvre un droit automatique à utiliser le fichier pour n’importe quelle offre future.

Délimiter le fichier transmissible et informer les personnes

La fiche CNIL sur la vente de fichiers clients distingue les données encore utilisées commercialement des archives administratives. Elle exige également de vérifier les oppositions à la transmission et les consentements nécessaires avant la remise du fichier. Datée de 2022, cette fiche ne décrit pas le nouveau régime téléphonique de 2026.

Ne demandez donc pas « toute la base » pour faire le tri après livraison. Préparez les critères d’extraction avec le vendeur : finalité encore active, donnée nécessaire, durée justifiée, transmission permise et absence de refus incompatible avec l’usage prévu. Les pièces comptables peuvent appartenir à un autre dossier de l’acquisition ; leur conservation ne les rend pas utilisables pour une campagne.

Le référentiel CNIL commercial, section 7, recommande pour la prospection trois ans après la fin de la relation commerciale du client. Pour un prospect non client, il retient trois ans après la collecte ou le dernier contact émanant du prospect. Ce référentiel n’est pas contraignant ; toute durée retenue doit respecter la nécessité prévue par l’Art. 5(1)(e). Le rachat ne constitue pas un nouveau contact du prospect et ne remet pas mécaniquement le compteur à zéro.

L’acquéreur doit aussi préparer l’information de collecte indirecte. L’Art. 14(1) à (3) du RGPD prévoit notamment identité, finalités, base légale, catégories de données, source et droits. Le délai raisonnable ne dépasse pas un mois ; si les données servent à communiquer, l’information intervient au plus tard lors de la première communication, sous réserve des exceptions de l’Art. 14(5).

Prévoir un envoi au trentième jour ne suffit donc pas si une campagne intervient avant. Une notice correcte ne remplace pas non plus l’autorisation nécessaire à cette campagne.

Canal par canal : ce qui change pour la première campagne

Le RGPD fixe le cadre général, auquel peuvent s’ajouter des règles propres au canal de prospection. Vérifiez chacun séparément avant de constituer l’audience de la première campagne de l’acquéreur.

Email et SMS. L’Art. L. 34-5 du CPCE pose le principe du consentement préalable. Son exception client suppose une collecte lors d’une vente ou prestation, des offres analogues fournies par la même personne physique ou morale et une opposition simple dès la collecte puis à chaque message. Le simple achat d’un fichier par une autre société ne démontre pas ces conditions.

Le consentement recueilli pour un partenaire constitue une voie distincte de cette exception. La fiche CNIL sur la vente exige que l’acquéreur ait été identifié et que les personnes aient consenti à la transmission pour sa prospection électronique. Une catégorie générique de futurs acheteurs ou une simple information ne suffisent pas à établir cet accord. À défaut de consentement valable couvrant l’acquéreur, il faut organiser un recueil préalable conforme avant la campagne.

N’envoyez pas automatiquement une publicité pour demander l’autorisation d’en recevoir d’autres. Examinez le contenu et le mode de sollicitation envisagés : une demande promotionnelle peut elle-même relever de L. 34-5.

Téléphone. Depuis le 11 août 2026, l’Art. L. 223-1 du Code de la consommation, modifié par la loi du 30 juin 2025, prévoit le consentement préalable du consommateur. Le décret n° 2026-662 du 23 juillet 2026 précise les modalités de recueil, de preuve et de retrait.

Pour une reprise de fichier, vérifiez notamment le professionnel désigné, les biens ou services visés et la période acceptée, qui ne peut dépasser un an à compter du recueil. La preuve à conserver et la durée d’autorisation d’appeler sont deux questions distinctes. Un accord email ne démontre pas un accord téléphonique.

L’exception du contrat en cours exige une sollicitation dans le cadre de son exécution, en rapport avec son objet. Il faut donc établir l’existence et le sort de ce contrat dans l’opération de reprise. Un ancien achat exécuté et soldé ne suffit pas. Le guide du démarchage téléphonique traite les autres conditions et les interdictions sectorielles ; l’absence d’opposition dans un ancien export ne prouve pas le consentement désormais requis.

Courrier postal. L’Art. 6(1)(f) peut fonder une prospection si l’intérêt poursuivi, la nécessité et la mise en balance avec les droits des personnes le permettent. La disponibilité d’une adresse ne suffit pas à cette démonstration. L’Art. 21(2) et (3) impose d’arrêter le traitement pour cette prospection en cas d’opposition ; prévoyez un moyen simple de l’exercer.

Solocal : vérifier les formulaires, pas seulement le contrat

La délibération SAN-2025-001 du 15 mai 2025 prononce une amende de 900 000 euros contre Solocal Marketing Services pour les manquements à L. 34-5 et à l’Art. 7 du RGPD. Le dispositif comporte aussi une injonction assortie d’une astreinte de 10 000 euros par jour après neuf mois suivant la notification.

Les motifs distinguent des formulaires qui ne recueillaient pas un consentement valable et, pour un autre fournisseur, l’impossibilité d’en démontrer le recueil. Au point 71, la CNIL explique que les engagements contractuels des collecteurs ne dispensent pas le destinataire de vérifications concrètes.

Cette affaire concerne des données achetées à des fournisseurs, pas une fusion. Elle aide à définir le contrôle d’un fichier repris : demander les versions des formulaires, les examiner et relier les preuves aux personnes concernées. La garantie du vendeur ne remplace pas ce travail.

Le dossier de reprise à constituer

Cette liste ne remplace pas l’inventaire complet demandé pendant la due diligence ; elle sert à trancher, fichier par fichier et canal par canal, ce qui peut être activé sans nouvelle collecte.

Préparer la première campagne de l’acquéreur

Décrivez l’émetteur, le contenu et les destinataires envisagés avant de constituer l’audience. Un nouveau catalogue, une société sœur ou une nouvelle marque du groupe acquéreur peuvent sortir du périmètre initialement accepté par les personnes. Informer du changement d’organisation n’est pas une occasion d’inscrire automatiquement tout le fichier à des offres différentes de celles pour lesquelles les données avaient été collectées.

Avant l’intégration au CRM, bloquez les statuts sans justification retrouvée et rapprochez les exclusions de chaque canal. Le fonctionnement d’un outil comme Mailchimp ne permet pas de déduire la licéité du nouvel usage à partir du seul statut « abonné » importé. La reprise du fichier doit préserver les preuves lors d’une migration emailing, pas seulement les adresses, et conserver une liste d’opposition qui survit au réimport.

Vérifier le passage du dossier à l’audience

Une fois les pièces réunies, demandez un rapprochement entre l’extraction approuvée et l’import prévu. La fiche de décision peut indiquer le nom de l’émetteur, le canal, la famille d’offres, les références des preuves et les exclusions appliquées. Un statut global « conforme » masque ces limites et devient difficile à réutiliser lors de la campagne suivante.

Si une partie du fichier ne dispose que d’une case « partenaire : oui », recherchez la version du formulaire correspondante et la liste présentée à cette date. Le fichier transmis aujourd’hui par le vendeur ne prouve pas ce qui était visible lors du choix. Laissez les contacts concernés hors campagne tant que cette justification manque ; documentez leur sort et la durée de cette attente, sans créer une conservation indéfinie.

Organisez enfin les refus arrivant entre l’extraction et l’envoi. Attribuez au vendeur et à l’acquéreur des contacts opérationnels et un mode de transmission sécurisé. La réception technique de l’export ne clôt pas les demandes encore en cours. Ces contrôles sont une méthode proposée pour préparer la reprise, pas le récit d’un audit effectivement réalisé.

Ce qu’il faut retenir

• Identifiez l’acteur et les finalités après l’opération juridique.
• Séparez archives, données actives et restrictions avant la transmission.
• Distinguez consentement partenaire et exception des produits analogues du même fournisseur.
• Vérifiez le régime propre à chaque canal et la preuve correspondante.
• Préparez l’information, les exclusions et les droits jusqu’au premier envoi.

FAQ

Un changement d’actionnaire impose-t-il toujours un nouvel accord ?

Non, il faut examiner si le responsable, les finalités et les destinataires changent réellement. L’absence de changement de personne morale n’autorise toutefois pas des finalités nouvelles et indéfinies pour autant.

La garantie du vendeur suffit-elle à exploiter le fichier ?

Non. Elle organise les relations entre les parties. Le destinataire reste tenu de vérifier les conditions de ses propres traitements ; demandez les pièces de recueil et les preuves associées, puis contrôlez les restrictions reprises.

Peut-on démarcher par téléphone les clients d’une entreprise rachetée ?

Pas automatiquement. Depuis le 11 août 2026, il faut un consentement préalable ou un contrat réellement en cours dont l’objet correspond à l’appel envisagé. Une vente déjà exécutée avant le rachat ne constitue pas ce contrat en cours.

Faut-il informer les clients avant la première campagne de l’acquéreur ?

L’Art. 14(3) impose notamment l’information au plus tard lors de la première communication si les données servent à communiquer, et dans un délai raisonnable ne dépassant pas un mois, sous réserve des exceptions de l’Art. 14(5).

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.