Data room de due diligence : que masquer avant d'envoyer vos documents ?

Une data room est un espace partagé où le vendeur dépose contrats, fiches de paie et listes de clients pour que l'acheteur examine l'entreprise avant de signer. Deux éléments doivent en sortir d'abord : les données personnelles de personnes nommées, et les secrets d'affaires qu'un concurrent pourrait exploiter, comme des prix non publiés. Masquez-les, puis laissez les relecteurs voir le reste.

Pourquoi une data room crée-t-elle deux risques distincts ?

Claire Exemple pilote la cession d'une PME de logistique. Ses avocats demandent la paie, les contrats fournisseurs et cinq ans de factures avant même la première rencontre avec l'acheteur. Deux problèmes se cachent dans ce dossier. D'abord, la paie et les factures nomment de vraies personnes, donc le RGPD s'applique. Ensuite, si l'acheteur est un concurrent, les prix et la liste des clients peuvent lui donner un avantage stratégique avant même la signature.

Que dit le RGPD avant de partager des données personnelles ?

En droit européen, tout traitement de données personnelles a besoin d'une base légale. L'article 5 du RGPD le limite au nécessaire : le principe de minimisation. En septembre 2024, la DSK, la Conférence allemande de protection des données, a jugé la transmission de données personnelles à un acheteur, dans une cession d'actifs, généralement interdite avant la signature. Elle admet des exceptions étroites : un consentement libre, ou un intérêt légitime fondé sur l'article 6, paragraphe 1, point f, du RGPD, pour quelques dirigeants ou partenaires clés en négociation avancée.

La CNIL pose une règle parallèle pour les fichiers clients : seuls les clients actifs peuvent y figurer, les données au-delà de la durée de conservation doivent être retirées, et l'acquéreur doit informer chaque personne du transfert dans un délai d'un mois. Le comité européen de la protection des données rappelle aux parties d'une fusion de mener un examen complet et transparent de leurs obligations avant même de la notifier.

Que ne peut-on pas partager avec un acheteur concurrent ?

La due diligence entre concurrents relève aussi du droit de la concurrence. Les lignes directrices 2023 de la Commission européenne sur la coopération entre entreprises décrivent une protection courante : le clean team, un petit groupe qui n'intervient pas dans les décisions commerciales ou tarifaires du quotidien, et qui signe des règles de confidentialité strictes avant de consulter les documents sensibles. Des chiffres anciens et agrégés se partagent bien plus sûrement que des prix en cours ou des volumes nommés par client.

L'Autorité de la concurrence rend la limite concrète avec l'exemple d'un hôtelier. Échanger des tarifs déjà publiés est licite. Échanger des moyennes sectorielles l'est aussi, si aucune entreprise ne peut être identifiée dans les données. Mais échanger de futures grilles tarifaires est une pratique prohibée en elle-même, que l'opération se conclue ou non. La même logique vaut pour une data room : un tableau de prix par client pour l'année prochaine demande la relecture d'un avocat, pas seulement un passage de caviardage.

Que masquer à chaque étape de l'opération ?

Tous les documents ne demandent pas le même traitement. Un teaser de premier tour peut rester abstrait. Un contrat de cession signé peut, lui, presque tout montrer. Le tableau ci-dessous donne un point de départ pour les documents courants d'une data room.

Pourquoi des chiffres agrégés valent-ils mieux que des listes nommées ?

Un agrégat remplace dix lignes nommées par un seul chiffre : la masse salariale totale plutôt que chaque salaire, la valeur moyenne d'un contrat plutôt que le prix de chaque client. Le Bundeskartellamt, l'office fédéral allemand des ententes, donne un ordre de grandeur : regrouper les données d'environ cinq entreprises ou plus s'est révélé sûr dans les cas examinés jusqu'ici, car aucun chiffre individuel ne pouvait plus en être extrait. Une data room peut appliquer la même idée aux clients ou fournisseurs de l'entreprise cible.

Avant l'envoi d'un lot de PDF ou de fichiers Word, ONYRI Sanitize peut masquer noms, IBAN, montants en devise et identifiants d'entreprise directement dans le navigateur, sans que le fichier ne quitte l'ordinateur. L'outil fonctionne détecteur par détecteur : il ne juge pas ce qui est commercialement sensible, et un avocat doit encore vérifier les prix et les clauses stratégiques à la main.

Un filigrane ou l'interdiction de télécharger valent-ils un caviardage ?

La plupart des plateformes de data room ajoutent un filigrane avec le nom du lecteur et journalisent chaque page consultée. Ces fonctions arrêtent les fuites accidentelles et indiquent qui a ouvert quel document. Elles ne touchent pas au texte lui-même : une capture d'écran ou une photo garde le nom du client, le salaire, le prix. Seul le retrait ou le noircissement de la valeur avant l'envoi l'empêche de réapparaître dans une capture d'écran.

Quelle liste de vérification avant d'ouvrir l'accès ?

• Listez chaque type de document qui entre : paie, contrats, grilles tarifaires, dossiers RH, comptes rendus de conseil.
• Marquez qui lit quoi : accès général, clean team seul, ou avocats seuls.
• Remplacez les données nommées par des totaux partout où un chiffre suffit à répondre, sans le nom.
• Obtenez un consentement ou vérifiez la base légale pour les données personnelles qui doivent rester.
• Recontrôlez le fichier après export : le filigrane ne change rien à ce que montre une capture d'écran.