Fonds de commerce, fichiers-clients et RGPD

Le fichier clients, papier ou informatique, a une valeur marchande au même titre que la clientèle qu’il contribue à identifier. Dès lors que ce fichier comporte des données à caractère personnel, se pose la question de la licéité de sa cession. 

Un fichier regroupant de telles données constitue en effet un traitement au sens du RGPD, en vigueur depuis le 25 mai 2018, et de la Loi Informatique et Libertés du 6 janvier 1978 modifiée par la loi du 20 juin 2018.

Quelles sont donc les conditions à respecter par les parties à la cession d’un fonds de commerce comprenant un fichier clients ?

La cession du fichier n’est envisageable que si le cédant a respecté la réglementation lors de sa constitution. Il devra entre autres avoir :

- recueilli le consentement exprès du client,
- offert à celui-ci le droit de le retirer à tout moment (voir également : le droit de rectification et d’effacement, le droit à l’oubli, à la portabilité …), 
- limité l’usage des données à une finalité ou aux finalités mentionnées lors de la collecte,
- permis au client d’exercer ses droits d’accès aux informations.

Lors de la cession, le cédant devra à nouveau recueillir le consentement du client sauf si, lors de la collecte, il l’avait anticipé (autrement dit, sauf si, lors de la collecte, ce client avait d’ores et déjà donné son consentement à une éventuelle cession de ses données).

Le cessionnaire du fonds de commerce devra informer les clients du transfert de leur données, les clients pouvant s’y opposer. Par exemple, il devra obtenir leur accord s’il entend les utiliser pour d’autres finalités.

Les deux parties doivent prendre les mesures techniques et organisationnelles pour protéger les droits des clients, la confidentialité et la sécurité des données. 

Quelles sont les sanctions encourues à défaut de respect de ces conditions ?

La cession d’un fichier clients non conforme est nulle.

Dans un arrêt du 25 juin 2013, la Cour de cassation a jugé que le fichier non déclaré à la CNIL est un fichier insusceptible d’être vendu. Cette jurisprudence, bien qu’antérieure au RGPD, reste applicable.

La non-conformité d’un fichier emporterait la nullité de sa cession, voire celle du fonds de commerce, dès lors que ce fichier serait un élément essentiel du fonds de commerce cédé. 

Sachez que la CNIL pourrait prononcer des mesures administratives : avertissement, suspension, demande de rectification ….

Par ailleurs, les Parties encourent des amendes administratives, qui peuvent s’élever jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.

Enfin, elles ne sont pas à l’abri d’une action pénale, l’article 226-18 du code pénal disposant que la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300.000 euros.

En conclusion, tous les fichiers clients ne sont pas cessibles lors d’une cession de fonds de commerce. Un audit de ces fichiers précédant la cession est indispensable.