Juridique
Cession de cabinet : le RGPD et le transfert du fichier clients
Mis à jour le 30 juillet 2026
En bref
Le fichier des mandants, un actif encadré
Le portefeuille d’un cabinet d’administration de biens ne se résume pas à des mandats : il s’accompagne d’une base de données nourrie — coordonnées des propriétaires bailleurs, copropriétaires, locataires, historiques de gestion, informations bancaires pour les appels de fonds. Ces données personnelles font partie de la valeur transmise, mais leur transfert au repreneur n’est pas libre : il constitue un traitement de données à caractère personnel, soumis au Règlement général sur la protection des données (RGPD) et au contrôle de la CNIL.
La règle fondamentale, régulièrement rappelée par la CNIL, est qu’un fichier ne peut être transféré ou cédé que s’il a été constitué, dès l’origine, dans le respect de la réglementation. Un fichier collecté irrégulièrement ne « se régularise » pas par la cession : il reste inexploitable pour le repreneur. C’est un point d’audit à part entière lors de la due diligence.
Faut-il le consentement des clients pour transférer le fichier ?
La réponse dépend de la nature des données et de la finalité. Il faut distinguer deux grandes situations, qui ne suivent pas les mêmes règles.
| Type de données | Logique applicable | Obligation principale |
|---|---|---|
| Mandants et clients sous contrat en cours (gestion, syndic) | Continuité du contrat et intérêt légitime du repreneur | Information des personnes et respect de leurs droits (dont l’opposition). |
| Anciens clients / données conservées à titre probatoire | Durées de conservation et finalité initiale | Ne conserver que ce qui est justifié ; informer en cas de réutilisation. |
| Fichier de prospection commerciale | Règles renforcées de la CNIL sur la vente de fichiers | Vérifier la licéité d’origine ; le consentement peut être requis selon les cas. |
Source : CNIL — « Vente de fichiers clients : la CNIL rappelle les règles »
Pour les mandants et clients liés par un contrat de gestion ou de syndic en cours, la reprise s’inscrit dans une logique de continuité : le repreneur poursuit l’exécution des contrats. La base légale mobilisée est généralement l’exécution du contrat ou l’intérêt légitime, plutôt qu’un nouveau consentement. En revanche, la CNIL encadre plus strictement la cession d’un fichier de prospection utilisé à des fins commerciales : c’est là que la question du consentement se pose avec le plus d’acuité. La qualification exacte relève d’une analyse au cas par cas.
L’intérêt légitime n’est pas un blanc-seing
Fonder le transfert sur l’intérêt légitime suppose de vérifier trois conditions cumulatives : un intérêt réel et licite, la nécessité du traitement, et un équilibre respectant les attentes raisonnables des personnes. Une personne qui ne pouvait pas raisonnablement s’attendre à ce transfert conserve un poids particulier dans cette balance.
L’obligation d’informer les personnes concernées
Quelle que soit la base légale retenue, la transparence est une obligation. Lorsque les données changent de responsable de traitement à l’occasion de la cession, les personnes concernées doivent être informées : identité du nouveau responsable, finalités, base légale, durées de conservation et modalités d’exercice de leurs droits. L’article 14 du RGPD encadre spécifiquement cette information lorsque les données n’ont pas été collectées directement par le repreneur. Les personnes conservent l’ensemble de leurs droits : accès, rectification, effacement et, selon les cas, opposition.
Cette information est aussi un facteur de confiance : bien menée, elle rassure les mandants sur la continuité du service et limite le risque de contestation. Mal traitée, elle peut nourrir des réclamations auprès de la CNIL et fragiliser la relation avec le portefeuille repris — donc sa valeur.
Ce qu’il faut sécuriser dans l’acte de cession
- Une clause de conformité : le cédant garantit que les fichiers transmis ont été constitués et tenus dans le respect du RGPD.
- Une clause de garantie sur l’exactitude et la licéité des données, adossée le cas échéant à la garantie d’actif et de passif.
- La remise du registre des activités de traitement et de la documentation associée (mentions d’information, durées de conservation).
- Le sort des sous-traitants et des contrats de sous-traitance de données (hébergement, logiciel de gestion), avec les clauses RGPD requises.
- Le plan d’information des personnes concernées et son calendrier.
- La conservation, par le cédant, de ce qui lui est nécessaire (obligations comptables, contentieux), dans le respect des durées légales.
Un fichier non conforme n’est pas transférable
Si la base de données n’a pas été constituée régulièrement, elle ne peut pas être valablement transmise, et le repreneur s’expose à ne pas pouvoir l’exploiter — voire à un contrôle ou une sanction de la CNIL. La conformité des données doit donc être vérifiée en due diligence, au même titre que la conformité Hoguet.
Ressources utiles : AD Gestion · AD Syndic · Bail Gratuit · Simulateur fiscalité immo
Intégrer la conformité des données à la préparation
La protection des données est devenue un volet à part entière de la due diligence d’un cabinet. Anticiper la conformité du fichier des mandants, préparer les mentions d’information et documenter les traitements dans la data room fluidifie l’opération et protège sa valeur. Ces sujets étant techniques et évolutifs, ils gagnent à être traités avec un conseil dédié en protection des données ; nos équipes, opérateurs du métier, savent où se situent les points sensibles propres à l’administration de biens.
Questions fréquentes
Peut-on transférer le fichier des mandants sans le consentement de chacun ?
Pour les mandants liés par un contrat en cours, le transfert s’inscrit dans une logique de continuité : la base légale est généralement l’exécution du contrat ou l’intérêt légitime, avec information des personnes et respect de leurs droits. Un fichier de prospection commerciale obéit à des règles plus strictes, où le consentement peut être requis. L’analyse se fait au cas par cas.
Quelles sont les obligations d’information lors de la cession ?
Les personnes concernées doivent être informées du changement de responsable de traitement : identité du repreneur, finalités, base légale, durées de conservation et modalités d’exercice de leurs droits. L’article 14 du RGPD encadre cette information lorsque les données n’ont pas été collectées directement par le repreneur.
Que risque-t-on si le fichier n’est pas conforme ?
Un fichier constitué irrégulièrement ne peut pas être valablement transféré : le repreneur risque de ne pas pouvoir l’exploiter et s’expose à un contrôle ou une sanction de la CNIL, ainsi qu’à des réclamations des personnes concernées. La conformité doit être vérifiée pendant la due diligence.
Comment sécuriser le transfert des données dans l’acte ?
En prévoyant une clause de conformité et de garantie sur la licéité des données, la remise du registre des traitements, le traitement des sous-traitants (hébergement, logiciel de gestion) et un plan d’information des personnes. Ces clauses s’articulent avec la garantie d’actif et de passif.
Préparez votre cession en toute confidentialité
Un premier échange discret avec un associé, sans engagement, pour cadrer la valeur et le calendrier de votre cabinet.