Le point de départ remonte au 7 octobre 2026. Ce jour-là, la CNPD luxembourgeoise met en ligne une étude conjointe avec la CNIL et l’ICO consacrée à l’évaluation des données, à la comptabilité, aux fusions-acquisitions et à la gouvernance. La CNIL la relaie le 16 octobre. Les trois autorités préviennent d’emblée que leurs constats restent exploratoires et ne constituent ni prescriptions ni recommandations contraignantes. Une conférence de présentation est prévue le 10 novembre 2026 à la Chambre de Commerce de Luxembourg.
Le dispositif d’enquête combine douze entretiens menés de mars à mai 2026 auprès de cabinets spécialisés, d’auditeurs, d’investisseurs, de places boursières, d’agences de notation et d’autorités de marché, puis un questionnaire de 25 questions adressé en mai 2026 aux DPO français et luxembourgeois. Le volet français a recueilli 204 réponses d’entreprises privées réalisant plus de 5 millions d’euros de chiffre d’affaires, les DPO étant invités à répondre avec leur direction financière.
Un actif presque invisible dans les comptes
Le premier constat porte sur la comptabilité. En France, 38 % des répondants déclarent que leurs bases ne figurent pas dans les états financiers ; lorsqu’elles y figurent, la voie dominante reste l’activation des coûts de développement informatique (28 %), le goodwill n’intervenant que dans 5 % des cas. Pour les données achetées, plus de la moitié des entreprises (53 %) ne procèdent à aucune évaluation spécifique.
Les normes expliquent une partie de ce vide. IAS 38 interdit d’inscrire à l’actif les fichiers clients générés en interne, si bien que les données de consommateurs n’apparaissent au bilan presque qu’à la faveur d’une acquisition, où elles figurent parmi les incorporels les plus importants identifiés lors de l’affectation du prix.
Le rapport établit surtout un lien direct entre ces règles comptables et le RGPD. Une base clients est considérée comme séparable si elle peut être cédée ou concédée, sous réserve du respect de la réglementation sur la protection des données ; le critère de contrôle exige que l’entité puisse en tirer des avantages sur un fondement conforme à cette même réglementation. Certains participants vont plus loin : selon eux, des données non conformes n’ont pas de valeur de marché, la conformité devenant la condition de la reconnaissance comme actif.
L’affirmation paraît audacieuse sous la plume d’économistes. Les juges l’ont pourtant consacrée bien avant eux.
Ce que disent les tribunaux
L’affaire commence chez un négociant en vins. Un acquéreur assigne la société Bout-Chard en nullité de la vente d’un fichier de clients informatisé ; la cour d’appel de Rennes rejette la demande le 17 janvier 2012, au motif que la loi ne sanctionne pas l’absence de déclaration par la nullité. Le 25 juin 2013, la chambre commerciale de la Cour de cassation casse cet arrêt : un fichier de données personnelles non déclaré à la CNIL “n’était pas dans le commerce”, et sa vente avait un objet illicite (pourvoi n° 12-17.037).
La portée économique de la décision dépasse son contexte. La nullité frappe la cession de manière absolue, sans possibilité de régularisation par l’acquéreur. Les pièces de procédure évoquent par ailleurs un écart contesté entre les 6 000 clients annoncés et les 1 950 clients actifs constatés après la reprise ; l’argument figurait dans les moyens des parties et n’a pas été tranché par la Cour.
La suppression des déclarations préalables en 2018 n’a pas fermé ce contentieux. Le 11 mars 2021, la cour d’appel d’Orléans annule une cession de fichiers clients conclue entre deux agences immobilières, le Crédit Agricole Centre Loire Immobilier et la société Lodgim, faute de consentement des clients concernés, tiers au contrat. Le commentateur de la Gazette du Palais relève que l’exigence de consentement spécifique s’impose d’autant plus que les fichiers ne sont plus déclarés à la CNIL. La doctrine parle désormais d’une jurisprudence constante : un fichier non conforme à la réglementation d’ordre public se place hors du commerce, et le contrat qui l’organise encourt la nullité absolue.
Pour un acquéreur, la conséquence est lourde : le prix payé pour un fichier peut devoir être restitué, mais l’exploitation commerciale espérée disparaît avec la nullité.
Ce que sanctionne la CNIL
Le second front concerne les acheteurs de données. La CNIL a rappelé en décembre 2022 les règles applicables à la vente d’un fichier : avant la transmission, le vendeur doit retirer les clients qui se sont opposés à la prospection postale ou téléphonique et ceux qui n’ont pas consenti à la prospection électronique, tandis que l’acquéreur doit vérifier l’existence d’un consentement couvrant ses propres opérations. Pour la prospection par courriel ou SMS, l’organisme qui transmet doit lui-même obtenir le consentement à cette transmission, idéalement dès la collecte.
Les sanctions des dernières années donnent un prix à l’absence de preuve. EDF a été condamnée à 600 000 euros en novembre 2022, notamment pour n’avoir pu démontrer le consentement préalable des personnes démarchées ni produire la liste des partenaires destinataires, la CNIL jugeant insuffisants ses contrôles sur ses courtiers en données. FORIOU puis sa société sœur HUBSIDE.STORE ont écopé de 310 000 et 525 000 euros pour avoir prospecté à partir de données de courtiers sans vérifier la validité du consentement ; sur sept fichiers examinés au hasard, quatre se sont révélés non conformes.
Le cas le plus parlant pour un analyste financier date du 15 mai 2025. SOLOCAL MARKETING SERVICES a été sanctionnée de 900 000 euros, faute de pouvoir fournir la preuve du consentement des personnes dont les données lui avaient été transmises par l’un de ses principaux fournisseurs. La formation restreinte a ajouté une injonction de cesser toute prospection électronique sans consentement valable, assortie d’une astreinte de 10 000 euros par jour de retard au terme d’un délai de neuf mois. Le même jour, le courtier CALOGA recevait une amende de 80 000 euros pour des manquements de même nature.
Une injonction de cette nature dépasse l’amende : elle suspend l’usage commercial de l’actif lui-même. Pour un fichier acquis dans le but précis de le démarcher, le rendement attendu tombe à zéro jusqu’à régularisation.
Un cas d’école : le fichier à quelques centimes
L’histoire de la reprise du fichier Virgin par la Fnac illustre l’écart entre volume et valeur. L’enseigne a acquis pour 54 000 euros les coordonnées de 1,6 million de clients de son ancien concurrent, soit environ 3,4 centimes par contact. La CNIL avait alors indiqué qu’avant toute prospection, la Fnac devrait informer ces clients du rachat et solliciter leur consentement pour recevoir ses offres.
Le prix unitaire reflète précisément cette contrainte : un fichier dont chaque usage commercial suppose un nouveau consentement se négocie comme une liste à requalifier, et non comme un portefeuille de clients exploitables.
La mécanique financière de la perte de valeur
L’étude des trois autorités décrit les canaux par lesquels ces risques atteignent le prix. Les auditeurs abordent la protection des données à travers la qualité des informations comptables et le non-respect des textes au sens de la norme ISA 250, qui couvre les amendes, perturbations ou dépréciations découlant d’un manquement. Faute de mesure directe, ils raisonnent par scénarios : sanctions, interruption d’activité, atteinte à la réputation, perte d’exploitabilité des données.
Un second canal, moins visible, touche le taux d’actualisation. Une incertitude sur la licéité et la pérennité de l’usage des données peut conduire les investisseurs à exiger un rendement plus élevé, ce qui augmente le coût moyen pondéré du capital et amplifie l’effet de flux de trésorerie revus à la baisse. Après l’acquisition, une dégradation des synergies attendues peut entraîner une dépréciation du goodwill et des incorporels au titre d’IAS 36, et les risques réglementaires peuvent appeler des provisions selon IAS 37.
Les sanctions CNIL recensées plus haut alimentent exactement ces trois postes : une amende pour la provision, une injonction pour la chute des flux attendus, une publicité de la sanction pour la prime de risque.
Les salles de données restent peu exigeantes
Les opérations de rachat devraient concentrer la vigilance. Auditeurs, consultants et avocats déclarent vérifier surtout l’existence d’inventaires des données personnelles et la licéité des traitements, et les lacunes détectées peuvent retarder la transaction, alourdir le coût de mise en conformité ou modifier l’évaluation. Dans les faits, l’examen reste souvent général, et une feuille de route de mise en conformité n’apparaît que dans 14 % des audits d’acquisition recensés en France.
La pratique contractuelle a longtemps compensé par des garanties. Déjà en 2013, un spécialiste interrogé sur l’affaire Virgin décrivait le réflexe courant : faire garantir par le cédant la conformité de l’ensemble du fichier. Cette garantie protège l’acheteur contre le vendeur, mais elle ne rend pas exploitable un fichier dont les consentements font défaut, et la jurisprudence de 2013 et 2021 montre que la nullité peut emporter la cession elle-même.
Le Luxembourg, un miroir grossissant
L’échantillon luxembourgeois met en évidence le paradoxe de façon nette. 56 % des organisations disposent d’indicateurs reliant la performance des données aux résultats financiers, 83 % réalisent systématiquement des analyses d’impact et 67 % produisent un reporting chiffré du risque cyber ; pourtant, 89 % rejettent fermement l’idée que leur gestion des données se reflète dans leur valeur de marché. Ces résultats exigent de la prudence : taux de réponse de 30 %, surreprésentation des grandes organisations, un tiers des répondants dans la finance et l’assurance.
Des normes en chantier
Le cadre comptable lui-même bouge. L’IASB a engagé une révision complète d’IAS 38, en commençant par les besoins d’information des utilisateurs sur les incorporels comptabilisés ou non, et par une possible mise à jour de la définition et des critères de reconnaissance à partir de cas tests. Lors de sa réunion du 19 mai 2026, le Board a examiné les retours de consultation sans prendre de décision ; la prochaine étape consiste à arrêter l’orientation du projet. Le calendrier prévoit de tester les pistes auprès des groupes consultatifs au second semestre 2026.
Les premiers retours tempèrent les attentes. Les parties prenantes jugent IAS 38 dépassée, mais le soutien reste limité pour étendre la comptabilisation des incorporels générés en interne. Les fichiers clients développés en interne ont donc peu de chances de rejoindre les bilans à court terme ; le terrain décisif restera celui des acquisitions.
Le maillon faible : l’organisation interne
Le diagnostic le plus sévère du rapport vise la coordination. De nombreuses organisations ne disposent pas des moyens d’analyser les implications financières de la protection des données ; services juridiques, conformité, informatique et finance l’abordent chacun sous son angle, et la traduction des risques en indicateurs financiers reste fragmentée. Les conseils d’administration perçoivent surtout la dimension réputationnelle, quand les DPO voient plus volontiers les bénéfices, un écart que l’absence d’indicateurs standardisés entretient.
Les auditeurs accordent néanmoins du poids à la fonction. La présence d’un DPO, l’audit interne portant sur la protection des données, les certifications et codes de conduite constituent pour eux des éléments de garantie supplémentaires, sans dispenser des procédures d’audit.
Les angles morts de l’enquête
Plusieurs zones restent dans l’ombre. L’enquête quantitative repose sur des déclarations de DPO, sans vérification des pratiques comptables réelles, et n’a pas été conduite au Royaume-Uni. La littérature mesure surtout l’effet boursier des violations de sécurité, l’impact propre du respect des règles sur les données personnelles restant peu étudié. Aucune décision de la Cour de cassation postérieure au RGPD ne semble encore avoir confirmé la solution de 2013 dans le nouveau cadre ; l’arrêt d’Orléans de 2021 reste une décision d’appel.
Ce qui change pour la fonction DPO
Les autorités esquissent un rôle nouveau. Elles proposent de cartographier les bases de données, d’examiner au cas par cas leur éligibilité à IAS 38, d’associer les délégués aux équipes comptables et financières, de réévaluer régulièrement ces actifs et de pratiquer des tests de dépréciation lorsqu’une violation, un défaut de qualité ou une nouvelle restriction d’usage réduit les revenus attendus. Le délégué y apporte une réponse que nul autre ne peut fournir : le droit d’utiliser les données, la durée de conservation autorisée et la qualité qui conditionne leur exploitation.
Les dossiers de sanction montrent où porte l’effort. Dans les affaires EDF et SOLOCAL, la défaillance tenait moins à l’absence de consentement qu’à l’impossibilité de le prouver. Une base clients vaut donc ce que vaut sa documentation : formulaires de collecte conservés, listes de partenaires accessibles, preuves de consentement retrouvables, registre aligné sur les traitements réels, oppositions effectivement purgées avant toute transmission. Sans ces pièces, un fichier de plusieurs millions de contacts peut valoir quelques centimes par ligne, ou rien du tout.
