Comment la conformité au RGPD contribue à la valorisation de l’entreprise
Ce qu’il faut retenir
Une bonne gouvernance des données et la conformité au RGPD contribuent à maîtriser les risques et à préserver la valeur économique de l'entreprise. Cette valeur ne se reflète pas nécessairement dans ses comptes. Lors d’une fusion-acquisition, la qualité des données et les risques liés à leur exploitation peuvent influencer l'évaluation de la société cible, le prix et les garanties contractuelles.
La conformité au RGPD est généralement abordée sous l’angle des obligations réglementaires et des risques de sanctions. Pourtant, une bonne gestion des données personnelles peut également contribuer à la valeur économique de l’entreprise. C’est ce que souligne une étude conjointe des autorités de contrôle française (CNIL), luxembourgeoise (CNPD) et britannique (ICO), publiée le 16 octobre 2026. (1) Cette étude repose sur trois axes complémentaires : la gouvernance des données et la maîtrise des risques, leur valorisation comptable et financière, ainsi que leur prise en compte dans les opérations de fusion-acquisition et d’investissement.
1. Gouvernance des données et maîtrise des risques sont sources de création de valeur
1.1 Une gouvernance maîtrisée pour mieux exploiter les données
De nombreuses entreprises fondent tout ou partie de leur activité commerciale sur l’exploitation des données économiques et personnelles. Les outils de CRM permettent d’analyser les besoins des clients et d’adapter les services proposés. Toutefois, détenir un volume important de données ne suffit pas à créer de la valeur. Celle-ci dépend de la qualité des données, de leur fiabilité, de leur disponibilité et des possibilités de les exploiter légalement. Une bonne gouvernance suppose de définir des règles précises concernant la collecte, l’utilisation, le partage, la conservation et la suppression des données, ainsi que les responsabilités au sein de l’entreprise.
Le traitement des données à caractère personnel doit respecter les principes énoncés à l'article 5 du RGPD, en particulier la licéité, la limitation des finalités, la minimisation des données, leur exactitude ainsi que leur intégrité et leur confidentialité.
Une gouvernance structurée permet non seulement d’améliorer la qualité des données utilisées dans les activités commerciales et opérationnelles de l’entreprise, mais aussi de réduire les coûts de conservation des données inutiles ou obsolètes, de mieux identifier les risques liés à leur exploitation et de renforcer la confiance des clients, partenaires et investisseurs.
Cette organisation prend une importance particulière pour les projets d’intelligence artificielle, dont la fiabilité dépend en partie de la qualité des données utilisées et, lorsque celles-ci sont personnelles, des conditions juridiques de leur traitement.
1.2 Les risques liés aux données peuvent entraîner une perte de valeur
Une mauvaise gestion des données peut entraîner des sanctions administratives, des contentieux, des coûts de remédiation et des pertes d'exploitation, sans oublier l’impact en termes d’atteinte à la réputation.
L’étude publiée par les trois autorités de contrôle propose, dans le cadre des audits de données, une démarche associant trois dimensions complémentaires :
i. l’activité économique, en évaluant la contribution des données aux revenus et aux perspectives de développement de l’entreprise ;
ii. les risques, en appréciant leur probabilité de réalisation, leur gravité et leur horizon temporel ; et
iii. la conformité, en prenant en compte les règles de gouvernance, les contrôles et les dispositifs permettant de maîtriser ces risques.
[Source Étude conjointe CNIL, CNPD et ICO,]
Par exemple, une base de données clients peut contribuer directement aux revenus de l’entreprise. Toutefois, sa valeur économique peut diminuer si les informations sont inexactes, si leur utilisation est juridiquement contestable ou si certaines données doivent être supprimées.
La conformité au RGPD ne garantit donc pas une augmentation automatique de la valeur de l’entreprise. Elle contribue en revanche à préserver les avantages économiques liés à l’exploitation des données et à réduire les risques pesant sur leur utilisation future.
1.3 La cybersécurité, une condition de préservation de la valeur
La sécurité des systèmes d’information participe également à la préservation de cette valeur.
Une cyberattaque peut compromettre la confidentialité, l’intégrité ou la disponibilité des données. Les conséquences peuvent être multiples : depuis l’interruption des services, en passant par les dépenses de restauration des bases, les pertes de revenus, et l’atteinte à la réputation de l’entreprise.
L’article 32 du RGPD impose aux responsables du traitement et à leurs sous-traitants de mettre en œuvre des mesures de sécurité appropriées aux risques : gestion des accès, chiffrement, sauvegardes, tests de sécurité ou procédures de réponse aux incidents. Au-delà du respect des obligations réglementaires, ces dispositifs visent à protéger les informations nécessaires aux activités de l’entreprise et à limiter les conséquences économiques d’un incident.
La gouvernance des données, leur protection juridique et la cybersécurité doivent donc être coordonnées, avec la participation des directions juridique, informatique, financière et générale.
2. La comptabilisation et la valorisation des données
2.1 Une valeur économique qui n’apparaît pas nécessairement au bilan
Les données peuvent représenter une ressource économique importante sans que cette valeur soit intégralement reconnue dans les comptes de l’entreprise. Leur valorisation économique, fondée sur les avantages financiers attendus de leur exploitation, doit être distinguée de leur comptabilisation, qui répond à des règles spécifiques.
Dans le référentiel international IFRS, la norme IAS 38 prévoit qu’une immobilisation incorporelle doit être identifiable, contrôlée par l’entreprise et susceptible de générer des avantages économiques futurs. (2) Sa comptabilisation suppose également que son coût puisse être évalué de manière fiable.
Les bases de données acquises auprès de tiers peuvent, sous certaines conditions, être comptabilisées comme des immobilisations incorporelles.
Certaines dépenses de développement de bases de données internes peuvent être immobilisées lorsqu'elles remplissent les conditions prévues par la norme IAS 38. En revanche, les listes de clients créées en interne ne peuvent pas être comptabilisées comme des immobilisations incorporelles (par. 63).
Ces distinctions expliquent pourquoi une entreprise peut exploiter des données présentant une valeur économique importante sans que celle-ci figure intégralement à son bilan. Les règles applicables doivent également être appréciées selon le référentiel comptable utilisé par l’entreprise.
2.2 Comment évaluer la valeur économique des données ?
L’étude présente trois principales méthodes d’évaluation :
i. la méthode fondée sur les coûts, qui estime les dépenses nécessaires pour collecter, constituer ou remplacer les données ;
ii. la méthode comparative, qui s’appuie sur les prix de transactions portant sur des actifs comparables, sous réserve de disposer de références fiables ; et
iii. la méthode fondée sur les revenus, qui évalue les avantages financiers futurs attendus de l’exploitation des données.
Lorsque les données sont personnelles, ces méthodes doivent intégrer les contraintes juridiques encadrant leur utilisation. Par exemple, une base de prospects commerciaux constituée irrégulièrement peut présenter une valeur inférieure à celle initialement estimée si son exploitation doit être limitée ou interrompue. À l’inverse, une base correctement documentée, actualisée et utilisée conformément au RGPD offre davantage de visibilité sur ses possibilités d’exploitation future.
2.3 Quel impact sur la valorisation de l’entreprise ?
L’évaluation financière d’une entreprise tient compte de sa capacité à générer des revenus futurs, de ses perspectives de croissance et des risques associés à ses activités.
L’étude évoque la méthode des flux de trésorerie actualisés (Discounted Cash Flow ou DCF), qui consiste à estimer les flux financiers futurs puis à les actualiser en fonction de leur échéance et des risques associés.
Les problèmes de conformité peuvent affecter cette évaluation : impossibilité d’exploiter certaines données, coûts de régularisation, contentieux ou pertes de revenus. Ces risques doivent être intégrés de manière cohérente dans les hypothèses financières, sans double comptabilisation.
L’enquête réalisée dans le cadre de l’étude révèle cependant que ces questions ne sont pas encore systématiquement prises en compte. Ainsi, parmi 199 répondants, 76 indiquent que les bases de données ne sont pas reflétées dans leurs états financiers et 58 déclarent ignorer comment elles le sont. Par ailleurs, sur 196 répondants, 52% indiquent que les risques liés aux données ne sont pas intégrés dans l’évaluation financière de leur entreprise et près d’un tiers ne savent pas s’ils le sont.
Ces résultats, issus d’un échantillon d’entreprises françaises disposant d’un DPO, illustrent le décalage entre l’importance économique des données et leur prise en compte dans les pratiques financières.
3. Les opérations de due diligence dans le cadre de fusions-acquisitions et d’investissements
3.1 La conformité au RGPD, un élément d’évaluation de l’entreprise cible
Lors d’une acquisition ou d’une prise de participation, l’acquéreur cherche à identifier les risques susceptibles d’affecter la valeur et les activités de l’entreprise cible. Pour les sociétés dont le modèle économique repose sur les données personnelles, l’audit de conformité au RGPD constitue une composante importante de cette évaluation. Un défaut de conformité peut révéler des risques financiers.
L’audit doit également déterminer dans quelles conditions les données pourront continuer à être exploitées après la transaction. À cet égard, il convient de distinguer deux situations. Lors d’une acquisition de titres, la société cible conserve sa personnalité juridique. Les changements envisagés après l’acquisition peuvent toutefois nécessiter une réévaluation des traitements. Lors d’une acquisition d’actifs, la transmission de bases de données à une autre entité nécessite une analyse spécifique des conditions de licéité de l'opération.
Dans les deux cas, l’opération ne confère pas automatiquement à l’acquéreur le droit de réutiliser les bases de données. Il conviendra d’analyser les conditions juridiques des traitements envisagés, leur compatibilité avec les finalités initiales et les obligations d'information des personnes concernées. Un consentement peut être nécessaire dans certaines situations.
3.2 Les principaux points de contrôle d’une due diligence RGPD
L’étude recommande une démarche dépassant la simple vérification documentaire. L’audit des données (Data Due Diligence) doit permettre d’examiner leur contribution économique, les risques associés et les mesures prises pour assurer leur bonne gestion.
Les principaux points de contrôle comprennent :
· les données stratégiques : nature, qualité des données, cartographie des traitements et contribution aux revenus ;
· la conformité au RGPD : licéité des traitements, finalités, information des personnes, conservation et gestion des droits ;
· les relations contractuelles : sous-traitance, partage des données et transferts internationaux ;
· la sécurité : mesures de protection, incidents antérieurs et dispositifs de remédiation ;
· la gouvernance : responsabilités internes, procédures et contrôles ; et enfin,
· les risques financiers : réclamations, contentieux, contrôles réglementaires et coûts prévisibles de mise en conformité.
Pour les entreprises développant des systèmes d’intelligence artificielle, l’audit doit également examiner l’origine des données utilisées, ainsi que leur qualité et les conditions juridiques de leur réutilisation.
L'audit doit associer les équipes juridiques, techniques et financières pour permettre une évaluation complète des risques.
3.3 Les conséquences sur le prix et les conditions de la transaction
Les résultats de la due diligence peuvent influencer directement les négociations.
Lorsqu'un risque important est identifié, l'acquéreur peut demander une réduction du prix, des déclarations et garanties spécifiques, des mécanismes d'indemnisation ou des engagements de mise en conformité au RGPD. Selon leur gravité, certains risques peuvent également conduire à modifier le périmètre de l'acquisition, voire à renoncer à l'opération.
À l’inverse, une entreprise disposant d’une gouvernance documentée et de dispositifs de sécurité adaptés est mieux placée pour démontrer sa maîtrise des risques et défendre sa valorisation.
3.4 Anticiper l’audit et préparer l’intégration post-acquisition
Une entreprise dont l’activité repose fortement sur l’exploitation de bases de données peut se préparer aux négociations en réalisant un audit vendeur (Vendor Due Diligence). Cet audit permet d'identifier les données stratégiques, de documenter les traitements et de corriger les éventuels manquements.
Après l’acquisition, l’intégration des systèmes d’information, la mutualisation des bases clients ou le déploiement de nouveaux outils d’analyse peuvent également modifier les conditions de traitement des données personnelles.
Ces projets doivent être examinés sous leurs aspects juridiques et techniques afin de préserver la conformité des traitements et les avantages économiques attendus de l’opération.
L’étude publiée par la CNIL, la CNPD et l’ICO souligne l’intérêt d’intégrer la protection des données aux décisions de gestion et d’investissement, tout en mettant en évidence les limites actuelles de leur reconnaissance comptable et de leur évaluation financière. Cette dimension économique prend une importance particulière lors des opérations de fusion-acquisition, où la conformité et la gouvernance peuvent influencer l’évaluation des risques, le prix et les conditions de la transaction.
Pour les entreprises du numérique, l’objectif est double : démontrer leur conformité réglementaire et être en mesure d’apprécier la valeur économique, les risques et les perspectives d’exploitation de leurs données.
* * * * * * * * * * *
(1) CNIL, CNPD et ICO, octobre 2026, « De la protection des données à la création de valeur en finance : évaluation des données, comptabilité, fusions-acquisitions et gouvernance » ; et CNIL, 16 octobre 2026, « De la protection des données à la création de valeur en finance : des autorités européennes publient une étude et des bonnes pratiques ».
(2) Norme comptable internationale IAS 38 « Immobilisations incorporelles », en particulier les paragraphes 21, 57 et 63.
Bénédicte DELEPORTE
Avocat
Deleporte Wentz Avocat
Novembre 2026