Conformité RGPD et valeur des entreprises : la CNPD, la CNIL et l'ICO publient une étude sur la finance

La CNPD luxembourgeoise a mis en ligne le 7 octobre 2026 une étude conjointe avec la CNIL et l'ICO britannique : « De la protection des données à la création de valeur en finance ». Elle s'appuie notamment sur une enquête menée en mai 2026 auprès de DPO, dont 204 réponses en France. Son constat intéresse directement les DPO : la conformité RGPD peut peser sur la valorisation d'une entreprise et sur l'issue d'une fusion-acquisition, mais sa valorisation financière n'est pas encore une pratique générale.

Ce que publient la CNPD, la CNIL et l'ICO

L'étude est signée par trois services économiques : « Dispositifs de confiance » à la CNPD, « Analyse économique » à la CNIL et « Economic Analysis » à l'ICO. Elle couvre quatre dimensions : l'évaluation des données, la comptabilité, les fusions-acquisitions et la gouvernance. Elle combine une revue de littérature, des entretiens avec des auditeurs, des cabinets d'avocats et de conseil, des associations du secteur financier et des autorités de marché, et deux enquêtes en ligne de 25 questions menées en mai 2026 auprès de DPO en France et au Luxembourg. Le Royaume-Uni n'a pas été sondé.

En France, l'enquête visait les DPO d'entreprises privées réalisant plus de 5 millions d'euros de chiffre d'affaires, invités à répondre avec leur direction financière. Les auteurs signalent eux-mêmes un biais : l'échantillon surreprésente les grandes organisations.

Les autorités le précisent : les constats et pratiques présentés sont « de nature exploratoire » et ne constituent « ni des prescriptions juridiques, ni des lignes directrices ou recommandations contraignantes ». L'étude sera présentée le 10 novembre 2026 lors d'une conférence à la Chambre de Commerce de Luxembourg.

Les chiffres qui comptent pour un DPO

Côté perception, la conformité est d'abord vue comme un sujet réglementaire et juridique. Mais 57,5 % des répondants français y voient aussi un facteur opérationnel qui touche la réputation, et 34,5 % la considèrent comme un actif ou un avantage concurrentiel.

Côté comptabilité, le décalage est net. Parmi les répondants français qui ont un avis, 38 % déclarent que leurs bases de données n'apparaissent pas du tout dans leurs comptes, et 28 % les inscrivent par la capitalisation des coûts de développement. Plus de la moitié des répondants (53 %) n'effectuent aucune valorisation spécifique des données acquises. L'étude analyse le cadre IFRS (IAS 38, IFRS 3, IAS 36) et estime que ces normes « mériteraient par ailleurs d'évoluer ».

Côté transactions, 37 % des 204 répondants français ont mené une opération de fusion-acquisition au cours des cinq dernières années. Les due diligences intègrent la conformité des données, le plus souvent de façon générale, et prévoient une feuille de route de mise en conformité dans 14 % des cas.

Au Luxembourg, où l'échantillon est composé surtout de grandes organisations, 83 % des répondants déclarent mener systématiquement des analyses d'impact, mais seulement un tiers exige des audits de conformité de ses sous-traitants critiques.

Pourquoi c'est important

Le RGPD impose de démontrer la conformité, pas seulement de l'atteindre. L'étude ajoute une raison économique à cette exigence. Elle décrit une chaîne vertueuse (gouvernance, conformité, confiance, bénéfices futurs, valorisation) et sa chaîne inverse : faiblesses de gouvernance, non-conformités, perte de confiance, dépréciation, destruction de valeur. Parmi les risques qui pèsent sur la valeur d'un actif de données, elle cite les traitements non conformes, les violations de données, les enquêtes et sanctions, et les restrictions sur l'utilisation future des données.

Pour un DPO de banque, d'assurance ou de société de gestion, l'argument change de registre : un registre des activités de traitement à jour n'est plus seulement une pièce pour la CNIL, c'est une pièce de due diligence.

Ce que ça change pour les organisations

• Cartographier les bases de données pour savoir ce qu'elles contiennent, leur qualité et leur conformité : c'est la première bonne pratique listée par l'étude.
• Demander à être associé aux réflexions de la direction financière sur la reconnaissance et la valorisation des actifs de données.
• Tenir un état documenté de la conformité des traitements, prêt à être produit lors d'une levée de fonds, d'un financement ou d'une acquisition.
• Prévoir, côté acquéreur, une feuille de route de remédiation pour les risques identifiés en due diligence.
• Définir des indicateurs de suivi et faire valider la stratégie de gouvernance des données par la direction, par exemple dans un rapport d'activité du DPO.
• Contrôler les sous-traitants critiques, en s'appuyant sur une méthode d'audit des sous-traitants.

Ce que Leto en pense

L'étude ne crée aucune obligation, et c'est sa force : elle parle la langue des directions financières. Le DPO qui sait répondre en quelques minutes à un questionnaire sécurité et RGPD ou à une due diligence a un argument que les chiffres de l'étude rendent concret. Encore faut-il que la documentation soit à jour le jour où on la demande, pas reconstituée dans l'urgence. C'est le quotidien que Leto outille : registre, sous-traitants, analyses d'impact au même endroit. Pour voir comment, demandez une démo.

Sources

• CNPD, « De la protection des données à la création de valeur en finance : une étude conjointe de l'ICO, de la CNIL et de la CNPD », 7 octobre 2026
• CNPD, dossier thématique « De la protection des données à la création de valeur en finance : des autorités européennes publient une étude et des bonnes pratiques », 7 octobre 2026
• CNPD, CNIL et ICO, « From Data Protection to Value Creation in Finance: Data Valuation, Accounting, Mergers & Acquisitions and Governance », octobre 2026 (PDF)