RGPD et données perso : la due diligence avant d'acheter un business en ligne

La due diligence RGPD, l'angle mort de la plupart des acheteurs

Toutes les checklists d'acquisition passent en revue les finances, le trafic et la qualité du code. Presque aucune ne regarde ce qui arrive aux données clients stockées dans la base que tu es sur le point de racheter. C'est un vrai trou dans la raquette : dès la signature, tu hérites de chaque email, chaque paiement, chaque log de consentement cookie jamais collecté par le vendeur — et des obligations qui vont avec.

Le regard de Flippy : une base clients, c'est comme une cargaison que tu embarques sans l'avoir inspectée. Personne ne zappe la visite de coque avant de prendre la mer, mais beaucoup d'acheteurs n'ouvrent jamais la cale pour voir ce qu'il y a vraiment dans les caisses — et le découvrent une fois au large.

Pas besoin de devenir DPO du jour au lendemain. Il s'agit surtout de connaître les cinq bonnes questions à poser avant de virer les fonds, pour ne pas hériter d'un bazar RGPD déguisé en jolie liste d'emails.

Ce que la cible détient vraiment (une cartographie en 30 minutes)

Avant tout, obtiens une réponse claire à une seule question : quelles données personnelles ce business collecte-t-il, et où vivent-elles ?

• Fiches clients et prospects — noms, emails, téléphones, adresses de livraison, dans le CMS, le CRM ou la plateforme e-commerce.
• Données de paiement — généralement tokenisées par le prestataire de paiement plutôt que stockées en direct, mais vérifie-le au lieu de le supposer.
• Listes marketing — la plateforme email (Klaviyo, Mailchimp, Brevo) et ses segments, tags, historiques de consentement.
• Données comportementales et ad-tech — outils d'analytics, pixels de retargeting, scripts tiers qui collectent des données visiteurs.
• Données sensibles, le cas échéant — santé, finances ou autre catégorie qui impose un niveau de protection supérieur.

Demande au vendeur un export simple ou des captures montrant où vit chaque catégorie et le volume approximatif de fiches. S'il ne peut pas répondre en une journée, c'est un signal en soi : une donnée non documentée est presque toujours une donnée mal gouvernée.

Peux-tu vraiment écrire à la liste email dès le jour 1 ?

C'est la question à laquelle les acheteurs tiennent le plus et qu'ils vérifient le moins. Racheter une liste de 20 000 abonnés ne vaut pas grand-chose si tu ne peux légalement rien leur envoyer.

Une liste transférée n'emporte pas automatiquement le consentement valide pour que *ton* entité leur envoie du marketing. La bonne question n'est pas « ont-ils été abonnés », mais « ont-ils consenti à recevoir des communications de qui possède désormais la marque, dans le cadre d'une politique de confidentialité claire ». Quelques vérifications concrètes :

• Cherche des traces de double opt-in — un historique de consentement horodaté vaut bien plus qu'un gros chiffre d'abonnés sans traçabilité.
• Vérifie si la politique de confidentialité en vigueur au moment de l'inscription mentionnait déjà qu'en cas de cession ou d'acquisition, la liste pouvait être transférée — la plupart des politiques bien rédigées le prévoient.
• Sépare les contacts transactionnels (clients ayant acheté, risque plus faible à recontacter sur leur commande) des contacts marketing froids (risque plus élevé si le consentement est fragile).
• Prévois une campagne de re-permission pour tout segment au consentement douteux, plutôt que d'envoyer en aveugle dès le premier jour.

Contrats fournisseurs et sous-traitance des données

Chaque outil qui touche aux données clients — plateforme email, support, analytics, prestataire de paiement, hébergeur — est techniquement un sous-traitant qui agit pour le compte du business. Chacune de ces relations devrait reposer sur un contrat de sous-traitance (DPA).

En analysant la cible, demande la liste des prestataires actifs ayant accès aux données clients, et vérifie si les DPA existent et se transfèrent au nouveau propriétaire, ou s'il faudra les re-signer sous ta propre entité. C'est généralement une formalité administrative, pas un obstacle — mais c'est le genre de détail qu'on oublie facilement dans l'euphorie du closing, et qui coûte cher six mois plus tard quand un fournisseur le signale lors d'un audit sécurité.

Cookies, ad-tech et bannières de consentement

Si le site tourne avec de l'analytics, des pixels de retargeting ou un widget de chat, il collecte déjà des données visiteurs avant même qu'un prospect devienne client. Un audit rapide, sans être développeur, avant d'acheter :

• Le site affiche-t-il une bannière de consentement cookies, et bloque-t-elle réellement les traceurs non essentiels tant que le consentement n'est pas donné — ou se contente-t-elle d'afficher une notice tout en traquant tout le monde ?
• Combien de scripts tiers sont chargés (régies pub, heatmaps, outils de chat), et servent-ils encore réellement à quelque chose ?
• Existe-t-il un mécanisme d'opt-out fonctionnel pour les visiteurs soumis à des règles plus strictes ?

Rien de tout ça n'a besoin d'être parfait avant l'achat. Ça doit juste être *connu*, pour que tu puisses chiffrer le nettoyage dans tes 90 premiers jours plutôt que le découvrir quand la CNIL ou une plateforme te le signale.

Ton audience est mondiale, tes outils pas toujours

La plupart des petits business en ligne tournent sur des outils SaaS américains — plateforme email, support, analytics — tout en servant des clients en France, en Europe ou ailleurs. C'est normal et généralement sans problème, mais ça mérite une vérification légère plutôt qu'une supposition :

• Confirme que la stack fournisseurs (Klaviyo, Shopify, Stripe, Google Analytics, etc.) publie bien ses garanties standard de transfert de données pour les clients européens — la plupart des plateformes sérieuses le font déjà, et c'est souvent une vérification de cinq minutes sur leur page légale ou « trust ».
• Si la cible vend beaucoup vers un marché particulièrement encadré, demande si des demandes passées (suppression, accès aux données) ont été enregistrées et traitées — et comment.

Tu n'audites pas une multinationale : tu confirmes que les outils sont grand public et que les bases ont été respectées, ce qui est généralement le cas pour un business en ligne légitime.

Où placer ça dans la négociation du deal

Un problème de confidentialité des données ne doit pas forcément faire capoter le deal — il doit être chiffré et documenté comme n'importe quel autre point de due diligence.

• Déclarations et garanties : demande au vendeur de déclarer que le business respecte les lois applicables sur les données personnelles et n'a pas subi de violation de données non divulguée.
• Annexe de disclosure : tout écart connu (consentement fragile, DPA manquants, absence de bannière cookies) doit être listé explicitement plutôt que balayé.
• Budget de remédiation : intègre le coût de correction des vrais écarts — un outil de gestion du consentement digne de ce nom, une campagne de re-permission — dans ton budget post-closing, pas uniquement dans la négociation du prix d'achat.
• Séquestre (escrow) : pour tout point matériel, un séquestre modeste lié à la remédiation donne un résultat plus propre que de renégocier le prix après avoir déjà découvert le problème.

Pièges spécifiques par plateforme

• Boutiques Shopify — vérifie les apps installées ayant accès aux données clients ; des apps abandonnées ou inutilisées conservent souvent un accès silencieux bien après que plus personne ne les utilise.
• Produits SaaS — les données utilisateurs vivent souvent à la fois dans la base de l'app, un outil de support et un prestataire de facturation ; cartographie les trois, pas seulement la base principale.
• Sites de contenu et newsletters — la liste d'abonnés est souvent l'actif le plus précieux du deal, ce qui rend la qualité de son consentement l'élément le plus important à vérifier avant de signer.
• Tout business avec une clientèle UE ou UK — pars du principe que des obligations proches du RGPD s'appliquent même si le vendeur est basé ailleurs ; la règle suit la localisation de la personne concernée, pas celle du vendeur.

Les 30 premiers jours après le closing

• Mets à jour la politique de confidentialité et les notices de consentement pour refléter le nouveau propriétaire et responsable de traitement.
• Vérifie que les demandes de désinscription et de suppression de données déjà reçues ont bien été reprises et sont toujours honorées dans tes systèmes.
• Re-signe ou mets à jour les DPA avec les prestataires sous ta propre entité.
• Lance la campagne de re-permission pour tout segment au consentement fragile avant d'envoyer autre chose que des emails transactionnels.

Erreurs fréquentes des acheteurs

• Ne juger que la taille de la liste — une liste de 50 000 abonnés avec un consentement bancal vaut moins qu'une liste de 5 000 abonnés avec un historique d'opt-in propre.
• Supposer que les outils du vendeur = conformité — utiliser Klaviyo ou Shopify ne rend pas un business conforme automatiquement ; les outils permettent la conformité, ils ne la garantissent pas.
• Sauter la paperasse parce que le produit a l'air propre — une app bien construite ou une boutique soignée ne dit rien sur si le consentement a été correctement documenté en coulisses.
• Découvrir le trou après le closing — le moment le moins cher pour chiffrer un problème de données, c'est avant de signer, pas après une réclamation client ou un signalement de plateforme.

FAQ

Ai-je besoin d'un avocat spécialisé RGPD pour racheter un petit business en ligne ?

Généralement non pour une acquisition simple de boutique Shopify, de site de contenu ou de petit SaaS. Les vérifications ci-dessus sont réalisables en un après-midi par un acheteur attentif. Fais appel à un avocat si le business traite des données sensibles (santé, finance), a une large clientèle UE, ou si ta propre cartographie fait apparaître quelque chose qui ressemble à une violation non divulguée.

Puis-je continuer à écrire à la liste clients juste après le rachat ?

En général oui pour les messages transactionnels liés à un achat existant. Pour du marketing plus large, vérifie d'abord l'historique de consentement — s'il est fragile ou non documenté, prévois une campagne de re-permission avant d'envoyer un email marketing massif à toute la liste.

Quel est le point le plus risqué de cette checklist ?

Un consentement faible ou non documenté sur la liste email, car c'est généralement l'actif que les acheteurs valorisent le plus et vérifient le moins. Juste derrière : des prestataires tiers oubliés qui conservent un accès persistant aux données clients.

Est-ce que ça s'applique si je rachète un business purement hors UE ?

Les bons réflexes — cartographier les données, vérifier la qualité du consentement, revoir les accès fournisseurs — valent le coup quel que soit le pays des clients. Les obligations RGPD s'appliquent dès que le business compte des clients UE ou UK, mais d'autres réglementations locales créent des attentes similaires ailleurs.

La due diligence sur les données personnelles est l'une des rares vérifications qui coûte presque rien à faire et peut t'éviter une vraie facture de remédiation plus tard. Intègre-la à ton process au même titre que les finances et le trafic — voir les deals sur Flipagora avec cette checklist en tête, compare les pratiques data entre les deals Dotmarket et les annonces Flippa, puis crée une alerte deals pour être le premier informé quand un business bien documenté arrive sur le marché.