Lorsqu’une entreprise cesse son activité, son fichier clients peut représenter une part importante de la valeur transmise au repreneur. Mais une base de contacts n’est pas un simple actif commercial : elle contient des données personnelles, dont la vente, la location ou le partage sont encadrés par le RGPD. La cession d’activité ne fait donc disparaître ni les droits des personnes ni les responsabilités du vendeur et de l’acquéreur.
Avant de transmettre un fichier, il faut pouvoir retracer l’origine des coordonnées, les informations données lors de leur collecte et les choix exprimés par les personnes. Les usages permis varient aussi selon le canal envisagé : un courriel publicitaire, un SMS, un courrier postal ou une sollicitation professionnelle ne répondent pas aux mêmes règles. La question déterminante n’est pas seulement de savoir si le fichier peut être vendu, mais de préciser qui pourra l’utiliser, pour quelle finalité et avec quelles preuves.
En bref :
- Le RGPD n’interdit pas la vente d’un fichier clients, mais impose un examen préalable de sa conformité et de ses usages.
- Les consentements, les informations fournies et les oppositions doivent être documentés et transmis de manière exploitable.
- Un fichier ancien, incomplet ou rempli de contacts désinscrits peut avoir une valeur commerciale faible, même s’il est volumineux.
- À la fermeture, les données qui doivent être conservées pour respecter des obligations légales doivent être archivées avec un accès restreint ; les autres doivent être supprimées de façon sécurisée.
Vente d’un fichier clients lors d’une cessation d’activité : ce qu’autorise le RGPD
La vente de données n’est pas interdite en soi. Elle constitue toutefois un transfert de données personnelles et doit reposer sur une collecte licite, une finalité compatible et une information adéquate des personnes. Un contrat de cession ne peut pas rendre conforme, après coup, un fichier constitué sans base légale ou sans gestion des demandes d’opposition.
Imaginons une boutique en ligne qui transmet au repreneur ses contacts et l’historique de commandes. Avant la signature, le vendeur doit vérifier d’où proviennent les coordonnées, à quelle date elles ont été recueillies, quelles utilisations avaient été annoncées et si les clients pouvaient refuser la prospection ou le partage avec des partenaires. Les contacts dont la situation est incertaine ne devraient pas être traités comme un fichier immédiatement exploitable.
La nature de la cession compte également. La vente d’un fonds, la reprise d’une société et la transmission isolée d’une base ne sont pas des opérations identiques sur le plan juridique. Dans tous les cas, l’acquéreur doit connaître les finalités permises et respecter ses propres obligations de responsable de traitement. La valeur du fichier dépend donc autant de sa traçabilité que du nombre de lignes qu’il contient.
Consentement des clients et prospection : les règles varient selon le canal
Un fichier clients ne doit pas être considéré comme un bloc uniforme. Les conditions d’utilisation diffèrent selon que le repreneur prévoit d’envoyer des courriels, des SMS, des courriers postaux ou des messages liés à une activité professionnelle. Le contrat doit préciser ces usages : un acheteur ne devrait pas découvrir après la vente que les contacts ne peuvent pas être sollicités par le canal prévu.
Courriels et SMS adressés aux particuliers
Pour la prospection électronique auprès des particuliers, le consentement préalable est en principe requis, sous réserve des exceptions prévues pour certains messages adressés par une entreprise à ses propres clients au sujet de produits ou services similaires. Le fait d’avoir acheté un article ou créé un compte ne vaut pas, à lui seul, accord général pour recevoir des offres d’une autre société.
Lorsque le repreneur ou un partenaire souhaite contacter les personnes, il faut pouvoir établir que celles-ci ont été informées de cette possibilité et ont donné un accord valable lorsque celui-ci est nécessaire. Une case précochée ou une formule vague sur les « partenaires » ne constitue pas une preuve solide d’un consentement libre et spécifique.
Courrier postal et prospection professionnelle
Pour le courrier postal, l’intérêt légitime peut être envisagé, à condition d’informer les personnes et de leur offrir un droit d’opposition simple et effectif. En B2B, une sollicitation peut bénéficier d’un régime plus souple lorsqu’elle est en rapport avec la fonction professionnelle du destinataire ; l’information, la pertinence du message et la possibilité de s’y opposer restent néanmoins essentielles.
Les vérifications du vendeur avant le transfert de données
Avant toute transmission, le cédant doit séparer les contacts réellement utilisables de ceux qui ne peuvent pas l’être pour la finalité envisagée. Il faut retirer les personnes qui se sont opposées à la prospection ou au partage, ainsi que les contacts dont le consentement requis est absent, ambigu ou impossible à démontrer. Les données anciennes doivent aussi être examinées : elles ne peuvent être conservées indéfiniment au seul motif qu’elles sont présentes dans un CRM.
La CNIL rappelle, dans ses ressources relatives à la relation client, que la durée de conservation doit rester liée aux finalités. En pratique, les données utilisées pour la prospection sont souvent conservées jusqu’à trois ans après la fin de la relation commerciale ou le dernier contact pertinent, sous réserve d’une analyse adaptée à la situation. Les obligations légales d’archivage de certains documents doivent être distinguées de l’utilisation commerciale des coordonnées.
Le vendeur doit conserver les preuves utiles : versions des formulaires, mentions d’information, dates et sources de collecte, journaux de consentement, demandes de désinscription et listes d’exclusion. La CNIL a rappelé le 10 juin 2026 les règles applicables aux communications électroniques et attiré l’attention sur la transmission de données à des partenaires commerciaux. Un fichier auditable se négocie plus sereinement qu’une base importante dont personne ne peut expliquer l’origine.
- Cartographier les catégories de contacts et les dates de collecte.
- Vérifier les bases légales, les finalités annoncées et les canaux autorisés.
- Retirer les personnes opposées et isoler les consentements non démontrables.
- Préparer les éléments justificatifs à remettre à l’acquéreur, sans transmettre de données inutiles.
Ce que l’acquéreur doit exiger et prévoir dans le contrat
L’acheteur ne devrait pas se contenter d’une déclaration générale affirmant que le fichier respecte le RGPD. Il doit demander une description vérifiable des données, de leur origine, de leur date de collecte, des informations présentées aux personnes et des usages autorisés. Il est également utile de savoir si les destinataires potentiels étaient identifiés ou décrits par catégories, et si les contacts peuvent être utilisés pour les canaux envisagés.
Lorsque les données n’ont pas été recueillies directement par l’acquéreur, celui-ci doit examiner l’obligation d’information prévue à l’article 14 du RGPD. En principe, cette information intervient dans un délai raisonnable, au plus tard dans le mois, sous réserve des exceptions applicables. Elle doit notamment expliquer l’origine des données, les finalités du traitement et les droits dont disposent les personnes.
Le contrat peut encadrer la description du fichier, les usages permis et interdits, la remise des preuves, la gestion des oppositions, les demandes de suppression et la coopération en cas de plainte. Il doit aussi prévoir qui répond aux réclamations et comment les données non conformes seront écartées ou supprimées. Pour une entreprise qui facture des clients suisses, les questions de gestion commerciale transfrontalière peuvent également être anticipées à l’aide de ressources sur la facturation d’un client en Suisse.
Cette précision protège les deux parties. Le repreneur évite d’acheter un fichier inutilisable pour ses campagnes, tandis que le vendeur limite le risque qu’on lui reproche ensuite un usage plus large que celui convenu. Une clause de garantie ne remplace toutefois pas les contrôles réels ni la preuve d’une information adéquate.
Fermer l’entreprise : archiver ou supprimer les données clients
La cessation d’activité ne met pas fin aux obligations de protection des données personnelles. Le responsable du traitement, puis la personne chargée de la liquidation selon la situation, doit maintenir des mesures de sécurité tant que les informations existent. Il convient d’inventorier les données présentes dans le CRM, les outils de messagerie, les espaces cloud, les sauvegardes et les documents papier avant de décider de leur sort.
Certaines pièces doivent être conservées au titre d’obligations légales ou pour établir les droits de l’entreprise. Elles doivent alors être archivées séparément des données utilisées pour la prospection, avec un accès limité aux personnes habilitées et une durée définie. Les coordonnées qui n’ont plus de finalité et ne sont soumises à aucune obligation de conservation doivent être supprimées de manière sécurisée, y compris chez les prestataires concernés lorsque cela s’applique.
Pour les supports informatiques, une suppression ordinaire peut être insuffisante si des données restent récupérables. L’entreprise peut recourir à un effacement sécurisé adapté, à la destruction des supports lorsque nécessaire et demander au prestataire un justificatif décrivant la méthode et les équipements concernés. Les services cloud et SaaS doivent également être traités : exporter les archives utiles, fermer les comptes et obtenir une confirmation écrite de la suppression prévue.
| Catégorie de données | Action à envisager lors de la fermeture | Point de vigilance |
|---|---|---|
| Contacts de prospection | Supprimer lorsqu’aucune finalité ne justifie leur maintien | Respecter les oppositions et la durée de conservation applicable |
| Pièces comptables et justificatifs | Archiver selon les obligations légales | Limiter l’accès et distinguer l’archive de la base marketing |
| CRM, courriels et sauvegardes | Inventorier, extraire ce qui doit être conservé, puis purger le reste | Contrôler aussi les copies chez les sous-traitants |
Pour planifier la fermeture, le dirigeant peut aussi consulter un guide consacré à la gestion administrative des opérations avec des clients suisses, tout en faisant vérifier séparément les règles applicables à l’archivage et à la suppression des données. Cette démarche évite de confondre conservation obligatoire et réutilisation commerciale.
Peut-on vendre un fichier clients lors d’une cessation d’activité ?
Oui, si les données ont été collectées légalement, si leur transmission et leur usage respectent les finalités et bases légales applicables, et si les oppositions sont prises en compte. La conformité doit être démontrable avant la vente.
Le consentement à recevoir des offres autorise-t-il automatiquement le transfert à un repreneur ?
Non. Il faut vérifier ce que la personne a accepté et ce qui lui a été expliqué. Le consentement à recevoir les offres d’une entreprise ne signifie pas nécessairement qu’elle accepte la prospection par une autre société.
Que doit faire l’acquéreur avec les contacts reçus ?
Il doit vérifier la licéité et les usages autorisés, respecter les oppositions et, lorsque les données n’ont pas été recueillies directement auprès des personnes, examiner son obligation de les informer conformément à l’article 14 du RGPD.
Faut-il supprimer toutes les données à la fermeture de l’entreprise ?
Non. Certaines informations peuvent devoir être archivées pour respecter des obligations légales ou défendre des droits. Elles doivent être protégées et séparées des données conservées à des fins de prospection ; les données sans finalité ni obligation doivent être supprimées de manière sécurisée.
