Contact
Cessions & acquisitions 4 septembre 2026

Cession de PME : comment gérer la divulgation d’informations sensibles en data room ?

Ouvrir une data room, c’est révéler à un acquéreur potentiel le cœur de son entreprise : les contrats clients, les marges, les conditions d’achat, etc. La communication de ces informations est nécessaire pour permettre au candidat d’évaluer la valeur de la cible et d’apprécier les risques qu’elle présente. Mais la réalisation définitive de la cession demeure incertaine à ce stade. Cette divulgation doit donc être structurée pour protéger le vendeur et la cible. Tour d’horizon des bonnes pratiques.

EN BREF
  • Ouvrir une data room expose le cédant d’une PME à un risque commercial : un candidat acquéreur qui ne conclut finalement pas la transaction conserve, de fait, ce qu’il a appris. Le risque culmine face à un concurrent ou à un consolidateur du secteur.
  • L’article 1112-2 du Code civil et le régime du secret des affaires protègent le cédant dans une certaine mesure, de même que les accords de confidentialité conclus entre les parties.
  • Mais ces mécanismes juridiques, s’il sont nécessaires, ne sont pas suffisants. Ils se heurtent à la difficulté pratique de prouver l’usage de l’information, de le stopper, et d’estimer le préjudice en résultant.
  • Il convient également de mettre en place des mesures pratiques de protection via un séquençage arrêté avant l’ouverture de la data room : quelle information, sous quelle forme (agrégation, fourchettes, caviardage), à quel moment et à quel destinataire.
  • Certaines informations ne sont pas communicables sous leur forme brute, quels que soient les engagements pris : contrats comportant une clause de confidentialité, données de santé, données couvertes par le secret bancaire ou professionnel.

Dans ce contexte, refuser de communiquer l’information bloque le processus. A l’inverse, tout dévoiler d’emblée revient à livrer le cœur de l’entreprise sans contrepartie certaine. Entre les deux se trouve un travail subtil de séquencement que le cédant doit faire avec ses conseils : décider quelle information est versée, à quel moment, sous quelle forme et à qui.

La nécessité de gérer le risque commercial

Dans une transaction impliquant une PME, le risque lié à la divulgation d’informations est principalement commercial : le cédant dévoile le « cœur du réacteur » à un ou plusieurs candidats repreneurs qui au final ne concluront peut-être pas la vente.

Le risque est ainsi qu’un candidat ne procédant finalement pas à l’acquisition conserve, dans les faits, ce qu’il a appris, et l’utilise d’une façon ou d’une autre pour favoriser ses activités ou ses investissements. En particulier, un concurrent direct ou un consolidateur du secteur dans lequel évolue la cible pourra démarcher les clients dont il connaît désormais les conditions, ajuster ses prix, approcher les salariés dont il a vu les rémunérations.

Un repreneur individuel ou un investisseur financier ne présente pas le même risque immédiat, mais l’information peut néanmoins circuler – vers ses conseils, ses financeurs, et parfois vers une autre cible du même secteur qu’il examine en parallèle.

A noter que parallèlement au risque commercial, la divulgation d’informations à un candidat qui est également concurrent de la cible peut soulever des questions au regard des règles du droit de la concurrence : contrôle des concentrations et prohibition des ententes notamment. Ces problématiques demeurent généralement théoriques sur les transactions impliquant des PME, et le présent article n’a pas pour objet de les traiter. Il appartient néanmoins aux conseils intervenant sur une transaction de procéder à une analyse au cas par cas.

Des protections légales et contractuelles nécessaires mais insuffisantes

Deux fondements légaux viennent protéger le cédant qui transmet des informations au potentiel acquéreur :

  • l’obligation légale de confidentialité. L’article 1112-2 du Code civil dispose que celui qui utilise ou divulgue sans autorisation une information confidentielle obtenue à l’occasion des négociations engage sa responsabilité dans les conditions du droit commun. Cette obligation existe indépendamment de tout accord de confidentialité.
  • la protection légale du secret des affaires. L’article L. 151-1 du Code de commerce protège les informations d’une entreprise qui réunissent trois critères cumulatifs : (i) l’information ne doit pas être généralement connue ou aisément accessible pour les personnes familières du secteur, (ii) l’information doit revêtir une valeur commerciale effective ou potentielle, du fait de son caractère secret, et (iii) elle doit faire l’objet de la part de son détenteur de mesures de protection raisonnables compte tenu des circonstances pour en conserver le caractère secret.

En complément de ces protections légales, et afin d’assurer leur pleine effectivité, il est essentiel de signer, préalablement à toute transmission d’informations, un accord de confidentialité. Ce contrat, conclu entre le cédant et le candidat acquéreur, va avoir plusieurs utilités :

  • préciser l’obligation de confidentialité (périmètre, durée, conséquences d’une violation, engagements de non-concurrence et de non-sollicitation…) ;
  • formaliser les protections mises en œuvre et le respect des critères pour bénéficier de la protection légale du secret des affaires – à cet égard, l’article L. 151-5 qualifie notamment d’illicite l’utilisation ou la divulgation d’un secret des affaires par une personne agissant en violation d’une obligation de ne pas le divulguer.

Reste que ces protections, qu’elles soient légales ou contractuelles, se heurtent toutes à une difficulté pratique : celle de la preuve. Etablir qu’un concurrent a utilisé une information transmise dans le cadre d’un processus de cession et apprécier le préjudice qui en résulte est rarement aisé.

A côté de ces protections, et notamment de la signature d’un accord de confidentialité, il est donc nécessaire de mettre en place un séquencement de la communication d’information. Il s’agit de décider quelle information est versée, à quel moment, sous quelle forme et à qui. Il est recommandé d’établir des règles pouvant être communiquées dès le départ au candidat (notamment lorsqu’il y en a plusieurs) afin d’éviter toute friction dans les relations et perte de confiance.

Reconnaître une information réellement sensible

Quatre critères peuvent aider à trancher si un document doit être considéré comme sensible au regard de l’activité de l’entreprise. Il sont donnés à titre purement indicatif et doivent bien entendu être adaptés au cas par cas. Ainsi, une information peut appeler un traitement particulier lorsqu’elle est :

  • non publique : ni publiée, ni accessible par une recherche ordinaire ;
  • stratégique : prix, marges, coûts, capacités, clients, projets de développement ;
  • individualisée / précise : rattachable à un client / fournisseur / produit, chiffrée ou détaillée, plutôt qu’exprimée en tendance ou en données agrégées ;
  • actuelle : décrivant la situation présente ou à venir (un tarif appliqué il y a quatre ans dans un secteur mouvant ne dit plus rien d’utile à un concurrent ; la grille en vigueur, avec les remises client par client, est sensible).

Trois leviers : la forme, le moment, le destinataire

Premier levier : agir sur la forme de l’information transmise

A cet égard, plusieurs techniques permettent de communiquer l’essentiel sans livrer le détail exploitable :

  • l’agrégation : elle vise à présenter des données consolidées plutôt qu’individualisées — chiffre d’affaires par famille de produits plutôt que par produit individuel, ou par type de client ;
  • les fourchettes : elles substituent un intervalle à une valeur exacte, ce qui suffit généralement à l’analyse ;
  • le caviardage (anonymisation) : il reste possible, mais exige une rigueur absolue et un travail souvent laborieux ; de plus, masquer les noms de clients en laissant volumes, zones géographiques et dates de renouvellement offre une protection limitée dans un secteur où chacun connaît les acteurs ;
  • les limitations d’accès permises par l’outil de data room utilisé (suivi des consultations, filigrane nominatif, désactivation du téléchargement et de l’impression…).

Deuxième levier : séquencer la transmission dans le temps

Il s’agit de faire coïncider le niveau d’informations communiquées avec le degré d’engagement du candidat, et le degré de certitude de conclure la transaction.

ÉtapeInformation divulguéeInformation réservée
Avant l’offre indicativeDonnées agrégées, historiques, éléments publics.Identité des clients, marges unitaires, conditions d’achat, rémunérations nominatives.
Après l’offre indicative
Au cours des audits acquéreurs
Documentation contractuelle et sociale, caviardée sur les points critiques.Grilles tarifaires en vigueur, marges par client, projets commerciaux en cours.
En période d’exclusivité
Réservé aux candidats les plus sérieux
Éléments les plus sensibles, sous forme et durée encadrées.Ce qui n’est pas nécessaire à la formulation de l’offre ferme.
Entre signature et réalisation (closing)Ce qui est nécessaire à la préparation de la reprise.Tout ce qui reviendrait à faire fonctionner les deux entreprises comme une seule (si le repreneur est une entreprise commerciale, notamment concurrente).

Chaque niveau d’information supplémentaire correspond à un engagement supplémentaire du candidat acquéreur.

Ce séquencement peut se retrouver dans la structuration de la data room en plusieurs parties (« green room » pour les informations de base / « red room » pour les informations les plus sensibles).

Troisième levier : sélectionner le destinataire de l’information

Dans les opérations impliquant des grandes entreprises, capables de ségréger leurs équipes, il est possible de réserver certaines informations à une équipe dédiée, composée de personnes sans fonctions commerciales chez l’acquéreur.

La version praticable en cession de PME consiste à réserver l’accès aux seuls conseils externes du candidat – avocat, expert-comptable et autres auditeurs – à charge pour eux de restituer à leur client une analyse synthétique sans transmettre les documents et les données sous-jacentes. Le candidat lui-même n’accède ainsi jamais aux données brutes.

Néanmoins, du fait de sa lourdeur, la mise en place de ce type de dispositif de « clean team » est généralement réservée au cas où le droit de la concurrence interdirait formellement le partage d’informations sensibles entre les parties directement. Lorsque le souci est purement opérationnel, et non légal, une action sur les autres leviers est généralement préférée.

Les informations dont le cédant et la société cible doivent protéger la confidentialité en vertu de la loi

De nombreux contrats commerciaux comportent une clause de confidentialité interdisant d’en communiquer les termes à un tiers.

Verser un tel contrat à la data room, même à un candidat sous engagement de confidentialité, peut constituer une inexécution vis-à-vis du cocontractant. Solliciter son accord préalable revient à lui révéler le projet de cession – ce que peu de cédants acceptent.

Dans un tel cas, il peut être fait recours à la solution du caviardage de l’identité des parties, la communication d’une synthèse, ou le report jusqu’à l’exclusivité.

La même logique vaut pour les données dont la confidentialité est protégée par la loi : données de santé, secret bancaire, secret professionnel. Dans ces secteurs, une partie de la documentation n’est pas communicable sous sa forme brute, quels que soient les engagements de confidentialité conclus avec le candidat repreneur et l’avancement du processus de cession.

Les données personnelles obéissent enfin à un régime propre, qui fera l’objet d’un article distinct.

Points de vigilance pour le cédant et l’acquéreur

Le séquencement se détermine avant l’ouverture de la data room. Un cédant qui improvise ses refus au fil des demandes envoie un signal de dissimulation. Celui qui annonce d’emblée une progression par étapes énonce une règle du jeu compréhensible par les candidats.

Dans tous les cas, quel que soit le séquençage de la divulgation et les différentes méthodes de limitation des risques utilisées, le cédant doit garder en tête qu’il a l’obligation légale de communiquer à l’acquéreur, avant la signature des actes définitifs, toute information pouvant être déterminante du consentement de ce dernier.

Côté acquéreur, la vigilance est symétrique et rarement anticipée : recevoir une information stratégique engage son destinataire, et il doit mettre en place les processus appropriés pour s’assurer que l’information sera bien traitée confidentiellement si la transaction échoue. En particulier, il faudra veiller à ce que les équipes commerciales ne la réutilisent pas dans le cadre de leurs activités courantes. Les processus adaptés de limitation de la diffusion en interne et de protection de la confidentialité doivent être mis en place au stade de l’engagement de confidentialité.

Avocat M&A cession acquisition d'entreprise

Vous cédez ou reprenez une entreprise ?
Nous vous conseillons dans la préparation de votre projet et les négociations.

Découvrez également nos expertises liées :


Résumé de la politique de confidentialité

Ce site utilise des cookies afin que nous puissions vous fournir la meilleure expérience utilisateur possible. Les informations sur les cookies sont stockées dans votre navigateur et remplissent des fonctions telles que vous reconnaître lorsque vous revenez sur notre site Web et aider notre équipe à comprendre les sections du site que vous trouvez les plus intéressantes et utiles.