La propriété intellectuelle et la conformité des données personnelles restent souvent traitées en marge des aspects financiers et sociaux d'une opération de fusion-acquisition, comme des sujets secondaires à valider après coup. Cette hiérarchie est trompeuse : un défaut de titularité sur un actif immatériel, ou une non-conformité RGPD identifiée après le closing, peut remettre en cause la valorisation d'une cible aussi sérieusement qu'un passif financier mal identifié. Des cabinets spécialisés comme Steeringlegal.com accompagnent régulièrement ces deux volets de due diligence, qui répondent à des logiques juridiques distinctes bien qu'ils soient souvent audités conjointement.
Le piège de la propriété intellectuelle non sécurisée
Avant toute opération, il convient de vérifier que le cédant détient effectivement les droits qu'il prétend céder sur ses actifs immatériels : logiciels, marques, créations graphiques, contenus, bases de données. Le piège le plus fréquent concerne les créations réalisées par des prestataires externes (freelances, agences, ESN). Le principe posé par le droit français est sans ambiguïté : un prestataire qui développe un logiciel, un design ou un contenu pour un client en reste titulaire des droits patrimoniaux par défaut, même si la prestation a été intégralement payée. Sans clause de cession explicite, le donneur d'ordre ne dispose au mieux que d'une licence implicite, limitée à l'usage apparent pour lequel la création a été commandée, et le prestataire reste libre de réutiliser ou de commercialiser ailleurs cette même création.
Cette situation devient particulièrement risquée lorsqu'un actif jugé stratégique par l'acquéreur, un logiciel cœur de métier, une identité visuelle, a été développé par un prestataire externe sans cession formalisée à l'époque des faits. L'audit de propriété intellectuelle doit donc systématiquement remonter à l'origine de chaque actif immatériel significatif, et non se limiter à la vérification des seuls titres enregistrés (marques, brevets).
Ce que la cession de droits impose formellement
Le Code de la propriété intellectuelle impose un formalisme strict à toute cession de droits d'auteur. L'article L.131-2 exige un écrit, principe aujourd'hui étendu par la jurisprudence à l'ensemble des cessions de droits d'auteur, y compris hors des cas initialement visés par le texte. L'article L.131-3 va plus loin en imposant que chacun des droits cédés fasse l'objet d'une mention distincte dans l'acte de cession, le domaine d'exploitation devant être délimité selon quatre critères cumulatifs : son étendue (reproduction, représentation, adaptation, traduction), sa destination (l'usage précis auquel l'œuvre est affectée), le territoire géographique concerné, et la durée de l'exploitation autorisée. Une cession de droits doit également mentionner l'identité des parties et la rémunération de l'auteur, proportionnelle ou forfaitaire selon les cas prévus par le Code.
Toute exploitation qui ne serait pas expressément désignée dans l'acte de cession est présumée non cédée. Ce formalisme mérite une attention particulière lors d'une due diligence pour les créations réalisées par les fondateurs eux-mêmes avant l'immatriculation de la société : en l'absence de personne morale existante au moment de la création, aucune cession n'a pu être formalisée à cette date, ce qui impose de vérifier qu'une cession rétroactive et conforme a bien été régularisée après la constitution de la société, faute de quoi la société elle-même pourrait ne pas être titulaire des droits sur des actifs qu'elle exploite depuis son origine.
L'audit de conformité RGPD de la cible
Le second volet, distinct sur le plan juridique bien que souvent mené en parallèle, concerne la conformité de la cible au règlement général sur la protection des données (RGPD). L'audit vérifie en premier lieu l'existence et la mise à jour du registre des activités de traitement, imposé par l'article 30 du RGPD, qui recense les finalités, catégories de données et de personnes concernées, ainsi que les destinataires de chaque traitement mis en œuvre par l'entreprise. Il examine également le respect des obligations d'information des personnes concernées, prévues aux articles 13 et 14 du RGPD selon que les données ont été collectées directement auprès de la personne ou obtenues par un autre moyen, ainsi que la capacité effective de l'entreprise à répondre aux demandes d'exercice de droits (accès, rectification, effacement) dans les délais prévus par le règlement.
L'audit porte enfin sur l'encadrement contractuel des relations avec les sous-traitants au sens de l'article 28 du RGPD, qui impose un contrat écrit précisant l'objet, la durée, la nature et la finalité du traitement confié, ainsi que sur l'existence d'accords de responsabilité conjointe lorsque la cible partage la détermination des finalités et moyens d'un traitement avec un tiers, conformément à l'article 26 du RGPD.
La due diligence elle-même comme opération sensible au regard du RGPD
La due diligence n'est pas seulement l'occasion de vérifier la conformité RGPD de la cible : elle constitue elle-même une opération de traitement de données personnelles, soumise aux mêmes règles. La communication de documents dans une data room, espace numérique sécurisé où sont partagés les documents de l'opération entre le cédant, l'acquéreur et leurs conseils, doit respecter le principe de minimisation posé par le RGPD : seules les données strictement nécessaires à l'évaluation de l'opération doivent être communiquées, ce qui implique généralement de recourir à l'anonymisation ou à la pseudonymisation des données personnelles présentes dans les contrats, fiches de paie ou dossiers RH mis à disposition. L'accès à la data room lui-même doit être contractuellement encadré entre la cible, l'acquéreur potentiel et, le cas échéant, le prestataire technique hébergeant la plateforme, afin de circonscrire précisément qui peut consulter quelles catégories de documents et pendant quelle durée.
Ce que ces vérifications impliquent pour le contrat de cession
Ces deux volets d'audit se traduisent concrètement dans le contrat de cession par des déclarations et garanties spécifiques que le cédant consent à l'acquéreur. Sur le plan de la propriété intellectuelle, le cédant déclare et garantit généralement être titulaire de l'ensemble des droits nécessaires à l'exploitation des actifs immatériels cédés, sans contestation de tiers ni licence non déclarée. Sur le plan des données personnelles, il déclare généralement la conformité de ses traitements au RGPD à la date du closing, et s'engage à signaler toute violation de données identifiée entre la signature et la réalisation définitive de l'opération. Ces déclarations doivent également anticiper les politiques de migration des données après le closing, en particulier lorsque l'opération implique un transfert de bases de clients ou de collaborateurs vers un système d'information différent de celui de la cible.
Un passif immatériel qui se traduit rarement par une simple mise en garde
Un défaut de titularité sur un actif immatériel jugé essentiel, ou une non-conformité RGPD significative découverte après le closing, se traduit rarement par une simple mise en garde de l'acquéreur envers le cédant. Ces situations débouchent le plus souvent sur une renégociation du prix, ou sur l'activation d'une clause de garantie de passif spécifiquement rédigée pour couvrir ce type de risque. C'est cette perspective qui justifie un audit rigoureux de ces deux volets avant toute opération, un exercice qui suppose l'intervention d'un avocat spécialisé pour l'analyse de chaque situation concrète.
