Les écarts RGPD qui ressortent après le closing

Les écarts RGPD se voient rarement pendant l’opération. La cible présente une politique de confidentialité correcte, un DPO ou un juriste référent, parfois une page "conformité" soignée. Puis le closing passe, l’acquéreur hérite du système, et les écarts sortent un à un, en général au pire moment : au premier questionnaire sécurité d’un grand compte, à la première demande de suppression insistante, ou au premier contrôle.

Une due diligence RGPD sérieuse ne consiste pas à relire les mentions légales. Elle consiste à comparer ce que l’entreprise déclare à ce que son infrastructure fait réellement, avec le même geste de vérification que le reste de la due diligence technique. Dans les opérations européennes que nous auditons, quatre écarts reviennent avec une régularité remarquable.

La cartographie des données qui n’existe pas

Le registre des traitements exigé par l’article 30 existe en général sur le papier. Il a été rédigé une fois, au moment d’une levée ou d’un premier client grand compte, puis plus jamais mis à jour. Entre-temps, l’entreprise a ajouté un outil d’analytics, deux SaaS internes, un entrepôt de données et un produit IA.

Notre test est simple : nous demandons où vivent les données personnelles des utilisateurs, puis nous vérifions dans l’infrastructure. La réponse cite la base de production. La réalité inclut les logs applicatifs, les sauvegardes, l’outil de suivi d’erreurs, l’entrepôt analytique, quelques exports CSV dans un drive partagé et, de plus en plus souvent, une base vectorielle. Une cartographie qui ignore la moitié des copies est une déclaration d’intention.

Des sous-traitants sans contrat

L’article 28 impose un contrat de sous-traitance avec chaque prestataire qui touche aux données personnelles. Dans les faits, nous trouvons régulièrement des piles de quinze à trente outils SaaS dont une partie n’a ni DPA signé ni évaluation de transfert hors UE. Personne n’a menti : la pile a simplement grossi plus vite que le juridique.

Le sujet devient sensible avec les produits IA. Le fournisseur de modèles est un sous-traitant comme un autre : il faut un DPA, la garantie contractuelle que les données ne servent pas à l’entraînement, et une réponse claire sur la localisation du traitement. Nous avons vu des produits envoyer des données clients à une API d’inférence via un compte ouvert en libre-service avec une carte bancaire, sans aucun cadre contractuel. C’est le genre d’écart qui se corrige en quelques semaines avant le closing, et qui coûte des mois après.

Une résidence des données qui ne correspond pas à l’infrastructure

"Vos données sont hébergées en Europe" est une phrase commerciale fréquente et souvent à moitié vraie. La base principale est bien à Paris ou à Francfort. Mais le CDN sert depuis les États-Unis, l’outil de support donne accès aux tickets depuis un centre hors UE, le suivi d’erreurs expédie des payloads contenant des données personnelles vers un service américain, et les sauvegardes se répliquent dans une autre région.

Pendant l’audit, nous comparons ligne à ligne les engagements de résidence pris dans les contrats clients avec la topologie réelle de l’infrastructure. Chaque écart est un risque contractuel avant même d’être un risque réglementaire : ce sont les clients grands comptes qui lisent ces clauses, et ils les font appliquer.

La suppression qui ne supprime pas

Presque toutes les cibles ont un mécanisme de suppression de compte. Presque aucune ne supprime réellement. Le mécanisme marque la ligne comme supprimée en base de production, et tout le reste survit : les sauvegardes, l’entrepôt analytique, les logs, les index de recherche. Les produits IA ajoutent leurs propres copies : les embeddings calculés à partir des documents d’un client ne disparaissent pas quand le document est supprimé, sauf si quelqu’un a conçu ce chemin. Quelqu’un l’a rarement conçu.

Le droit à l’effacement ne demande pas l’impossible. Il demande une politique cohérente et documentée, y compris sur le sort des sauvegardes. Ce qui alerte, c’est l’absence totale de réflexion : personne dans l’équipe ne sait dire ce qui arrive réellement aux données après une demande de suppression.

Chiffrer la remise à niveau avant, pas après

Aucun de ces écarts ne tue une opération à lui seul. Tous coûtent de l’argent et du temps senior après le closing : reconstruire une cartographie, régulariser les sous-traitants, réarchitecturer un chemin de suppression, cela se compte en mois d’ingénierie et de juridique, au moment où le plan de création de valeur voudrait toute l’attention de l’équipe. Le plafond de sanction de 4 % du chiffre d’affaires mondial existe, mais le coût le plus fréquent est commercial : des ventes grands comptes bloquées par des questionnaires auxquels la cible ne peut pas répondre honnêtement. La même discipline documentaire sert désormais deux réglementations à la fois, car l’AI Act est devenu une ligne de la due diligence.

C’est pourquoi ces écarts appartiennent à la négociation, comme les autres signaux d’alerte sérieux : chiffrés pendant la due diligence, ils deviennent des conditions suspensives ou un ajustement de prix. Découverts après, ils deviennent votre problème.

Cette revue fait partie de notre audit technique, parce qu’elle demande de ne pas croire les documents sur parole et d’aller vérifier dans l’infrastructure.