La consultation RGPD dans une fusion-acquisition désigne l’ensemble des vérifications et échanges obligatoires — audit de conformité, information du comité social et économique, avis du DPO — menés avant de transférer des données personnelles entre les entreprises concernées. Elle vise à sécuriser juridiquement l’opération et à éviter tout traitement illicite de données pendant et après la fusion.
Qu’est-ce que la consultation rgpd lors d’une opération de fusion-acquisition ?
Une fusion-acquisition implique presque toujours le transfert de bases de données clients, salariés, fournisseurs ou prospects entre l’entreprise cédante et l’entreprise acquéreuse. Le RGPD encadre ce transfert dès la phase de négociation, et pas seulement après la signature définitive.
On parle de « consultation RGPD » pour désigner l’ensemble des étapes qui permettent de vérifier la conformité des traitements avant de les intégrer au nouveau périmètre :
- audit de conformité des fichiers et bases de données ;
- consultation du délégué à la protection des données (DPO) ;
- information et consultation du comité social et économique (CSE) ;
- vérification des bases légales de chaque traitement transféré ;
- mise à jour du registre des traitements post-fusion.
Cette démarche n’est pas une option. Elle conditionne la validité juridique de l’opération et la capacité de l’acquéreur à exploiter les données récupérées sans risque de sanction.
La cnil organise-t-elle des consultations publiques sur les fusions-acquisitions ?
La CNIL publie régulièrement des recommandations et référentiels sur des sujets sensibles, et les soumet parfois à consultation publique avant leur adoption définitive. Les professionnels et organisations peuvent alors transmettre leurs observations pendant une période déterminée.
Aucun référentiel n’est aujourd’hui dédié spécifiquement aux opérations de fusion-acquisition. Les entreprises engagées dans ce type d’opération ont néanmoins intérêt à suivre les publications de l’autorité, notamment ses guides sur la durée de conservation, les transferts de données et le rôle du délégué à la protection des données. Ces publications servent de base pour construire une méthodologie de due diligence solide et documentée.
Suivre ces travaux permet aussi d’anticiper les évolutions réglementaires susceptibles d’impacter une opération en cours de négociation, en particulier lorsque celle-ci s’étale sur plusieurs mois.
Pourquoi le rgpd s’invite-t-il dans toutes les opérations de fusion-acquisition ?
Le RGPD s’applique dès qu’une entreprise traite des données à caractère personnel, quelle que soit l’opération juridique en cours. Une fusion, une acquisition ou une cession d’actifs ne suspend jamais cette obligation.
Quelles données personnelles sont concernées par l’opération ?
Selon la nature de l’entreprise rachetée, plusieurs catégories de données entrent dans le périmètre de la due diligence :
- données RH : contrats, bulletins de paie, dossiers disciplinaires ;
- données clients : CRM, historiques d’achat, préférences ;
- données prospects : bases marketing, cookies, consentements ;
- données fournisseurs et partenaires ;
- données sensibles éventuelles : santé, données bancaires, données biométriques.
Chacune de ces catégories doit être identifiée avant la signature, car toutes ne peuvent pas être transférées dans les mêmes conditions.
Faut-il réaliser une analyse d’impact avant l’opération ?
Lorsque la fusion entraîne un traitement à grande échelle de données sensibles, ou un croisement inédit de bases de données, une analyse d’impact relative à la protection des données devient nécessaire. Elle permet d’identifier les risques pour les personnes concernées et de définir les mesures correctives avant l’intégration effective des systèmes.
Cette analyse doit être menée en parallèle de l’audit juridique et financier classique, car elle conditionne parfois le calendrier de l’intégration technique post-closing.
Quels risques en cas d’absence de consultation rgpd ?
Négliger cette étape expose l’acquéreur à des risques concrets :
- sanction financière de la CNIL pouvant atteindre 4 % du chiffre d’affaires mondial ;
- nullité ou remise en cause de clauses contractuelles ;
- perte de valeur de l’actif « données » lors de la valorisation ;
- contentieux avec les personnes concernées après la fusion ;
- image dégradée auprès des clients et des salariés repris.
C’est pourquoi la conformité RGPD figure désormais systématiquement dans les clauses de garantie d’actif et de passif négociées entre les parties.
Faut-il consulter le comité social et économique (cse) avant une fusion ?
Oui. Dès lors que l’opération affecte l’organisation, l’emploi ou les conditions de travail, l’employeur doit informer et consulter le CSE avant toute décision définitive. Cette consultation porte aussi sur le sort des données des salariés transférés : dossiers RH, systèmes de paie, badges d’accès, messagerie professionnelle.
Nous détaillons les modalités précises de cette obligation dans notre article sur la consultation du comité d’entreprise et RGPD, qui explique le calendrier, le contenu du dossier d’information et les sanctions encourues en cas d’omission.
Le code du travail impose cette consultation avant toute décision irréversible : la signature définitive ne doit donc jamais précéder l’avis du CSE.
Quel est le rôle du dpo pendant la phase de due diligence ?
Le délégué à la protection des données intervient très en amont, souvent avant même la signature de la lettre d’intention. Ses missions typiques :
- cartographier les traitements de l’entreprise cible ;
- évaluer la légalité des bases de données à intégrer ;
- vérifier l’existence d’analyses d’impact sur les traitements sensibles ;
- identifier les transferts hors Union européenne à sécuriser ;
- rédiger les clauses de protection des données du contrat de cession.
Beaucoup d’entreprises en croissance externe ne disposent pas d’un DPO en interne au moment de l’opération. Un accompagnement par un consultant RGPD externe permet alors de sécuriser l’opération sans attendre le recrutement d’un profil dédié.
Comment mener un audit rgpd avant de signer l’opération ?
L’audit de conformité se déroule en plusieurs étapes structurées :
- Cartographie des traitements : lister tous les traitements de données de l’entreprise cible et leur finalité.
- Vérification des bases légales : consentement, contrat, obligation légale ou intérêt légitime pour chaque traitement.
- Contrôle des sous-traitants : audit des contrats et clauses RGPD signés avec les prestataires de la cible.
- Analyse des flux internationaux : identification des transferts vers des pays hors Union européenne.
- Revue des mesures de sécurité : chiffrement, contrôle d’accès, politique de sauvegarde.
- Rédaction du rapport de due diligence RGPD : synthèse des risques et recommandations avant signature.
Ce travail doit être mené par un profil expérimenté, capable de dialoguer aussi bien avec les juristes de l’opération qu’avec les équipes informatiques de la cible. Notre guide complet pour choisir un consultant RGPD détaille les critères à vérifier avant de confier ce type de mission.
Que devient le registre des traitements après la fusion ?
Une fois l’opération finalisée, le registre des traitements de l’entreprise absorbante doit être mis à jour pour intégrer les traitements repris. Cette mise à jour comprend :
- la fusion des deux registres existants, sans doublon ni traitement orphelin ;
- la mise à jour des mentions d’information transmises aux personnes concernées ;
- la révision des durées de conservation, souvent différentes d’une entreprise à l’autre ;
- l’harmonisation des outils informatiques et des accès aux bases de données.
Cette phase technique est aussi l’occasion de nettoyer les bases de données reprises et de supprimer les données conservées au-delà des durées légales.
Quel accompagnement choisir pour sécuriser la conformité rgpd de votre opération ?
Le coût d’un accompagnement RGPD dans une fusion-acquisition varie selon la taille de la cible, le volume de données et la complexité des systèmes d’information à auditer. Notre article sur le tarif d’un consultant RGPD détaille les fourchettes de prix observées en 2026 selon le type de mission.
Dans la pratique, un accompagnement efficace combine trois compétences :
- une expertise juridique pour sécuriser les clauses contractuelles ;
- une expertise technique pour auditer les systèmes d’information ;
- une expérience opérationnelle de conduite de projets de fusion-acquisition.
Faire appel à un consultant externe dès la phase de négociation permet d’anticiper les points bloquants plutôt que de les découvrir après la signature, lorsque les marges de négociation ont disparu.
Anticiper la consultation rgpd pour sécuriser durablement une fusion-acquisition
La consultation RGPD n’est pas une formalité administrative isolée. Elle structure l’ensemble du calendrier d’une fusion-acquisition, de la lettre d’intention à l’intégration post-closing. Les entreprises qui l’intègrent dès le début de la négociation limitent les risques financiers, sociaux et réputationnels liés au transfert de données personnelles.
Un accompagnement par un expert externe reste le moyen le plus sûr de couvrir à la fois les obligations envers le CSE, les exigences de la CNIL et la mise en conformité technique des systèmes repris.
Questions fréquentes
Qu’est-ce que la consultation rgpd dans une fusion-acquisition ?
Il s’agit de l’ensemble des vérifications menées avant et pendant l’opération pour garantir que les données personnelles transférées respectent le RGPD : audit de conformité, consultation du CSE, avis du DPO et mise à jour du registre des traitements de l’entreprise absorbante.
Le cse doit-il être consulté avant une fusion-acquisition ?
Oui, dès que l’opération affecte l’organisation ou l’emploi, l’employeur doit informer et consulter le CSE avant toute décision définitive, y compris sur le sort des données personnelles des salariés transférés : dossiers RH, paie, accès informatiques.
Qui est responsable de la conformité rgpd après une fusion ?
L’entreprise absorbante devient responsable de traitement pour l’ensemble des données reprises. Elle doit mettre à jour son registre, vérifier les bases légales des traitements intégrés et informer les personnes concernées des changements liés à l’opération.
Quand faut-il commencer l’audit rgpd dans une opération de fusion-acquisition ?
L’audit RGPD doit démarrer dès la phase de due diligence, avant la signature de la lettre d’intention. Plus il est engagé tôt, plus il permet de négocier les clauses de garantie et d’anticiper les corrections nécessaires avant l’intégration finale.
Quel est le rôle du dpo lors d’une fusion-acquisition ?
Le DPO cartographie les traitements de l’entreprise cible, vérifie la légalité des bases de données, identifie les transferts internationaux à risque et rédige les clauses de protection des données intégrées au contrat de cession.