Expert-comptable : échanger les pièces clients en sécurité

Pour sécuriser les échanges de pièces avec ses clients, un cabinet comptable doit rattacher chaque document à une entité, une mission et des destinataires autorisés. Un portail ne suffit pas si tout utilisateur peut consulter tous les dossiers, si les courriels deviennent des archives parallèles ou si les droits survivent au départ d’un interlocuteur.

La priorité est d’organiser un circuit de référence : qui dépose, qui contrôle le classement, qui consulte et qui remet le résultat. Prévoyez aussi le traitement des erreurs et la fin de mission. Ce guide donne une procédure opérationnelle ; le guide RGPD des experts-comptables présente les responsabilités générales.

Partir du secret professionnel et des missions réelles

L’Art. 21 de l’ordonnance du 19 septembre 1945 soumet notamment les experts-comptables au secret professionnel, sous les réserves légales prévues par ce texte. Une facture ou un relevé professionnel n’est donc pas librement communicable à tous les salariés du client. Le destinataire doit avoir qualité pour le recevoir. Source : ordonnance n° 45-2138, Art. 21.

Lorsqu’une pièce contient des données personnelles, les principes de minimisation et de confidentialité s’appliquent également. L’Art. 32(1) demande une sécurité adaptée aux risques. Ces exigences concernent le document reçu, ses copies et les informations qui en sont extraites. Sources : Art. 5(1)(c) et (f), Art. 32(1).

La qualification RGPD ne découle pas du seul mot « client ». Déterminez les finalités et moyens de chaque traitement, ainsi que les obligations propres au cabinet. Ne qualifiez pas toutes ses activités de sous-traitance par une clause globale. Le fournisseur du portail demande lui aussi une analyse : stockage pour le compte du cabinet et exploitation pour ses propres objectifs ne sont pas nécessairement le même traitement. Source : Art. 4(7) et 4(8).

Ouvrir un dossier par périmètre autorisé

Avant la première invitation, identifiez la personne morale cliente, la mission et l’interlocuteur habilité à demander des accès. Un groupe possédant plusieurs sociétés ne constitue pas automatiquement un dossier unique accessible à tous. La proximité des noms commerciaux augmente même le risque de mauvais classement.

Consignez le périmètre de chaque utilisateur : société, catégorie de pièces, opération autorisée et événement de fin d’accès. L’autorisation de déposer des factures n’implique pas nécessairement celle de consulter les bulletins de paie, les relevés bancaires ou les dossiers personnels du dirigeant.

Faites approuver les accès par l’interlocuteur compétent et vérifier leur mise en œuvre par le responsable de mission. Les comptes individuels facilitent le retrait d’une autorisation et l’analyse d’une erreur. Un identifiant partagé « comptabilite » rend plus difficile de savoir qui a reçu une pièce ou conservé un accès.

Pour les collaborateurs du cabinet, appliquez la même logique : portefeuille attribué, remplacement organisé, accès ponctuel justifié. L’appartenance au cabinet n’établit pas un besoin permanent d’accéder à tous ses clients. L’Art. 25(2) impose de limiter par défaut les données traitées et leur accessibilité aux besoins de chaque finalité. Source : Art. 25(2).

Matrice renseignée pour deux sociétés clientes

Exemple entièrement fictif. Le cabinet Orée accompagne les sociétés Atelier Nord et Atelier Sud, dirigées par la même personne. Léa prépare les factures d’achats d’Atelier Nord. Malik suit les pièces d’Atelier Sud. La dirigeante est habilitée pour les deux sociétés. Le cabinet prépare cette matrice avant l’ouverture du portail.

Cette matrice est une spécification, pas la description des fonctionnalités d’un logiciel identifié. Si le portail ne sait pas séparer dépôt et consultation, le cabinet ne doit pas prétendre que Léa bénéficie d’un accès limité. Il peut organiser un espace de dépôt distinct, utiliser une autre fonction vérifiée ou choisir un autre circuit approprié.

Avant d’utiliser des pièces réelles, le responsable de mission prévoit un contrôle avec des documents fictifs : un compte Nord ne doit pas retrouver une pièce Sud par la liste, la recherche ou un ancien lien. La matrice doit correspondre aux accès effectifs, y compris hérités d’un groupe. Aucun essai réel n’est rapporté dans cet exemple.

Suivre une pièce de son arrivée à son classement

Le déposant indique l’entité, la période et la nature de la pièce. Le cabinet contrôle ces informations avant son utilisation. Une facture dont le nom de fichier ressemble à celui d’un client ne doit pas être affectée sur cette seule base : l’identité figurant sur la pièce et le dossier doivent correspondre.

Dans l’exemple, Léa dépose la facture F-028 d’Atelier Nord. Le cabinet relève la référence, sa date et son rattachement, puis signale son intégration au dossier. L’accusé de dépôt indique que le fichier a été reçu ; il ne doit pas être présenté comme une validation comptable du justificatif.

Si la facture concerne en réalité Atelier Sud, le collaborateur évite de la transmettre à toute l’équipe Nord pour demander des explications. Il restreint l’accès, vérifie l’origine et fait corriger le rattachement avec l’interlocuteur habilité. Selon les faits, il examine aussi si des personnes non autorisées ont pu consulter la pièce.

La correction du classement ne dispense pas d’analyser une éventuelle violation de données. Une atteinte à la confidentialité ou à l’intégrité entre dans la définition de l’Art. 4(12) lorsqu’elle résulte d’une violation de sécurité. Les obligations de documentation et les notifications des Art. 33 et 34 dépendent ensuite des faits, du rôle et des risques ; toute erreur matérielle n’entraîne pas automatiquement une notification. Sources : Art. 4(12), Art. 33 et 34.

Donner une règle aux pièces reçues par courriel

Prévoyez un point d’entrée professionnel et une procédure de remplacement lorsque le collaborateur habituel est absent. Un message laissé dans une boîte individuelle ne doit pas devenir le seul exemplaire connu d’une pièce attendue pour la mission.

Après intégration vérifiée au dossier de référence, appliquez la règle retenue à la copie de messagerie. Supprimer mécaniquement le message dès réception risque de perdre une pièce mal intégrée ou un contexte utile. Le conserver indéfiniment avec toutes ses pièces jointes crée une archive supplémentaire à sécuriser et à gérer.

Une consigne renseignée peut être : « Factures Atelier Nord reçues sur la boîte de mission : vérifier l’entité et la période, intégrer la pièce au dossier Achats, noter la référence du message si son contexte est nécessaire, puis appliquer la durée prévue pour la messagerie de mission. Toute pièce non rattachée reste signalée au responsable jusqu’à résolution. » Cette formulation organise le travail ; elle ne crée pas un délai légal uniforme.

Évitez les renvois en chaîne et les objets de courriel révélant inutilement le contenu d’un dossier. Pour une remise ponctuelle, préférez un partage protégé et maîtrisé. La CNIL recommande notamment la protection des transmissions, la séparation du canal des secrets et la limitation des dépôts temporaires. Source : sécuriser les échanges avec l’extérieur.

Examiner les copies créées par les outils

Un document peut être stocké dans le portail, transmis à un outil de reconnaissance et conservé dans un espace de travail. Le texte extrait peut ensuite alimenter des champs ou une recherche. Dressez le circuit réel plutôt que de limiter l’analyse à l’adresse du portail.

Le guide sur l’OCR et la minimisation des documents détaille ce point. Pour votre mission, demandez où vont les pièces, les résultats d’extraction et les copies de diagnostic, qui peut y accéder et comment elles sont restituées ou supprimées. Une pièce supprimée à l’écran peut laisser un texte exploité ailleurs.

Lorsque le fournisseur intervient comme sous-traitant, le contrat doit couvrir les opérations confiées selon l’Art. 28(3). Examinez les instructions, la confidentialité, l’assistance, les intervenants ultérieurs et la sortie. Si un service annonce une réutilisation pour ses propres besoins, qualifiez-la et examinez sa licéité au lieu de considérer l’annexe de sous-traitance comme une autorisation générale. Source : Art. 28(2), (3), (4) et (10).

Contrôler les remises et les changements d’interlocuteur

Avant de remettre un document produit, vérifiez le destinataire et sa qualité actuelle. Une ancienne adresse dans l’autocomplétion ne prouve pas une habilitation. Une demande urgente présentée comme venant de la dirigeante doit être vérifiée lorsqu’elle présente une anomalie, notamment un nouveau canal ou un destinataire inhabituel.

Dans Orée, le départ de Léa entraîne le retrait de son compte et des liens qui lui avaient été accordés. La désignation d’un remplaçant ne justifie pas de lui transmettre son mot de passe. Le nouvel utilisateur reçoit des droits adaptés après validation de son périmètre ; les copies locales autorisées font partie du traitement de sortie.

Conservez une trace suffisante de la remise : document, version, destinataire, canal et date. Un journal prouve un événement technique déterminé ; il ne démontre pas automatiquement que le destinataire a compris ou approuvé le contenu comptable.

Clôturer la mission sans effacer les obligations restantes

La clôture d’un exercice et la fin de mission sont deux événements distincts. Dans les deux cas, revoyez les accès courants. Une archive justifiée ne doit pas rester accessible à tous les anciens déposants uniquement parce que le compte client existe encore.

En fin de mission, identifiez les pièces à restituer, le destinataire habilité, le format et le contrôle de réception utile. Distinguez ensuite les archives nécessaires aux obligations du cabinet, celles conservées pour une finalité propre justifiée et les copies temporaires devenues inutiles. Le RGPD n’impose pas de supprimer toutes les pièces à la clôture, mais interdit de conserver les données personnelles sans limite justifiée. Source : Art. 5(1)(e).

Pour les opérations relevant de la sous-traitance, appliquez aussi le régime de restitution ou suppression de l’Art. 28(3)(g), avec l’exception légale qu’il prévoit. La qualification du traitement détermine la règle applicable ; elle ne doit pas être choisie après coup pour justifier toutes les archives. Source : Art. 28(3)(g).

Ce qu’il faut retenir

• Séparez sociétés, missions et droits de dépôt ou de consultation.
• Contrôlez le rattachement avant d’utiliser ou de redistribuer une pièce.
• Incluez messagerie, OCR et copies de travail dans le circuit.
• Organisez les départs, restitutions et archives sans présumer une suppression générale.

FAQ

Le même dirigeant permet-il un espace commun à plusieurs sociétés ?

Pas automatiquement. Vérifiez les pouvoirs et besoins de chaque utilisateur. Un accès transversal autorisé pour la dirigeante ne doit pas s’étendre aux assistants de chaque entité.

Un portail dispense-t-il de vérifier le destinataire ?

Non. Il peut sécuriser le canal, mais une invitation incorrecte expose toujours le dossier. Contrôlez la personne, son périmètre et les droits hérités avant de déposer les pièces.

Faut-il supprimer le document dès son traitement comptable ?

Non nécessairement. Examinez sa fonction et les obligations de conservation applicables. Séparez toutefois la pièce de référence des copies temporaires et des accès devenus inutiles.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.