- Un cabinet comptable a deux rôles RGPD : responsable de traitement pour ses propres données, et sous-traitant quand il traite la paie ou la comptabilité pour le compte de ses clients.
- L'article 28 du RGPD impose un contrat de sous-traitance écrit (DPA) avec chaque client concerné, sous peine de mettre le cabinet et son client en infraction.
- La sécurité des données de paie et comptables est prioritaire : la CNIL fait de la sécurité insuffisante l'un de ses premiers motifs de sanction.
- Conciliez RGPD et obligations légales : documents comptables conservés 10 ans, puis archivage à accès restreint et suppression à l'échéance.
- Le devoir d'exemplarité du cabinet vaut aussi pour son site web et son espace client sécurisé.
La double casquette : responsable de traitement ET sous-traitant
Votre cabinet manipule des données personnelles toute la journée. Le RGPD vous attribue deux rôles distincts, selon la donnée traitée. Comprendre cette distinction est la première étape de votre mise en conformité.
Vous êtes responsable de traitement pour vos propres données : fichier clients du cabinet, prospects, salariés, visiteurs de votre site. Vous décidez seul pourquoi et comment ces données sont traitées. À ce titre, vous devez informer les personnes, tenir un registre et garantir leurs droits.
Vous êtes sous-traitant lorsque vous traitez des données pour le compte d'un client : établissement des paies, gestion sociale, saisie comptable contenant les données des salariés et fournisseurs de ce client. Ici, c'est votre client, l'employeur, qui est responsable de traitement. Vous agissez sur ses instructions. Un même dossier peut donc relever des deux régimes à la fois.
Contrats de sous-traitance : l'obligation de l'article 28
Dès que vous agissez comme sous-traitant, l'article 28 du RGPD impose un contrat écrit avec chaque client concerné. On parle souvent de DPA, l'accord de traitement des données. Sans ce contrat, vous et votre client êtes tous deux en infraction.
Ce contrat doit préciser l'objet, la durée et la finalité du traitement, ainsi que les catégories de données et de personnes concernées. Il encadre aussi des obligations clés : confidentialité du personnel, mesures de sécurité, notification des violations, assistance à l'exercice des droits, et sort des données en fin de mission, par restitution ou suppression.
Attention aux sous-traitants ultérieurs. Votre logiciel de paie en SaaS, votre hébergeur cloud ou votre outil d'archivage sont eux-mêmes des sous-traitants. Vous devez vous assurer qu'ils présentent des garanties suffisantes et informer vos clients de leur intervention. Un modèle de DPA standardisé, annexé à votre lettre de mission, simplifie grandement cette gestion.
Sécurité des données comptables et de paie
Les données que vous traitez sont particulièrement sensibles : salaires, RIB, numéros de sécurité sociale, situations familiales, données fiscales. Une fuite peut exposer des centaines de personnes. La CNIL fait de la sécurité insuffisante l'un de ses premiers motifs de sanction.
Les mesures de base ne sont pas optionnelles. Mots de passe robustes et double authentification, postes et serveurs chiffrés, sauvegardes régulières testées, mises à jour appliquées, accès limités selon le besoin d'en connaître. La transmission de pièces par e-mail non sécurisé doit être bannie au profit d'un dépôt chiffré.
Vous devez aussi savoir réagir. En cas de violation, vol d'ordinateur, rançongiciel ou envoi au mauvais destinataire, vous alertez sans délai le client responsable de traitement, qui décidera de la notification à la CNIL sous 72 heures. Documentez chaque incident, même mineur.
Durées de conservation : concilier obligations légales et RGPD
Le RGPD impose de ne pas conserver les données au-delà du nécessaire. Le droit comptable et fiscal impose, lui, des durées minimales. Les deux se concilient par la notion d'archivage intermédiaire.
Les documents comptables se conservent 10 ans à compter de la clôture de l'exercice (article L123-22 du Code de commerce). Les bulletins de paie sont gardés 5 ans par l'employeur. Passé la phase active, les données basculent en archivage à accès restreint, puis sont supprimées à l'échéance.
Construisez une politique de durées claire, traitement par traitement. Notre guide des durées de conservation des données détaille les principaux délais applicables et la logique d'archivage à appliquer.
Le devoir d'exemplarité : site web et espace client
L'expert-comptable est un tiers de confiance. Vos clients vous confient ce qu'ils ont de plus sensible. Un cabinet en défaut sur sa propre conformité envoie un signal désastreux. L'exemplarité fait partie de votre valeur.
Votre site web est votre vitrine juridique. Il doit afficher des mentions légales complètes, une politique de confidentialité à jour, un bandeau cookies conforme et un formulaire de contact qui recueille le strict nécessaire. Vérifiez la conformité RGPD de votre site web point par point.
L'espace client mérite une attention particulière. Chiffrement HTTPS, authentification forte, cloisonnement des dossiers, journalisation des accès : c'est là que transitent bilans, paies et pièces d'identité. Un dépôt sécurisé remplace avantageusement les échanges par e-mail.
Registre, gouvernance et audit : par où commencer
Le registre des traitements est le socle de votre conformité. Il liste vos traitements en tant que responsable comme en tant que sous-traitant. Notre générateur de registre des traitements vous aide à le bâtir rapidement et à le tenir à jour.
Faut-il nommer un délégué à la protection des données ? Ce n'est pas systématique pour un cabinet, mais souvent recommandé au vu du volume et de la sensibilité des données. Notre article sur le DPO obligatoire ou non pour une TPE/PME vous aide à trancher.
Pour savoir où vous en êtes, commencez par un état des lieux. Réalisez un audit RGPD gratuit de votre cabinet : il révèle en quelques minutes les écarts sur votre site et vos pratiques, avant de prioriser les actions. Cet article est informatif et ne constitue pas un conseil juridique ; pour une situation particulière, rapprochez-vous d'un professionnel du droit.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.