Prestataire : distinguer factures et données confiées

Un client clôture son abonnement et demande la suppression des données. Le prestataire répond qu’il doit « tout conserver dix ans pour la comptabilité ». Cette réponse mélange deux ensembles : les pièces nécessaires à ses obligations propres et les données qu’il traitait pour le compte du client. La bonne réponse décrit le sort de chaque ensemble et les opérations restant à accomplir.

Cette fiche concerne une prestation ordinaire d’hébergement ou de logiciel, sans régime sectoriel particulier. Elle aide à préparer la clôture avec les équipes comptables, juridiques et techniques. Une obligation spécifique doit être examinée à partir du texte applicable à l’acteur et aux documents concernés.

Les dix ans comptables ne couvrent pas tout le compte

L’Art. L. 123-22 du Code de commerce prévoit dix ans de conservation pour les documents comptables et pièces justificatives. Il figure dans les obligations comptables des commerçants. Il ne transforme pas chaque fichier passé dans un logiciel en pièce justificative de la comptabilité de l’éditeur.

Pour chaque document retenu, demandez quelle opération comptable il justifie. La facture émise par le prestataire pour son abonnement se distingue des factures que son client conserve dans l’application pour sa propre activité. Leur nom identique ne leur donne ni la même finalité ni le même responsable.

La fiche de conservation doit identifier le texte, les documents concernés, le point de départ applicable et la date de fin calculée. Les obligations fiscales ou sectorielles peuvent appeler une analyse complémentaire. Écrire « dix ans après la fermeture du compte » pour tout le contenu ne suffit pas à établir que ce déclencheur et ce périmètre sont juridiquement corrects.

Séparer les rôles selon les opérations

Les Art. 4(7) et (8) du RGPD distinguent celui qui détermine les finalités et moyens du traitement de celui qui traite pour son compte. Un même prestataire peut être responsable de sa facturation et sous-traitant pour l’hébergement des dossiers du client.

Pour sa comptabilité, il détermine les traitements nécessaires à ses obligations. Pour les dossiers confiés, il doit respecter les instructions documentées du responsable, dans le cadre de l’Art. 28(3)(a) et (g). Le contrat prévoit, au choix du responsable, la suppression ou le renvoi au terme de la prestation, ainsi que la destruction des copies, sauf conservation exigée par le droit de l’Union ou d’un État membre.

La décision ne dépend donc pas du dossier informatique où se trouvent les données. Une pièce jointe de support contenant un document du client peut relever du périmètre confié, même si elle a quitté l’application principale. Le guide des obligations de l’éditeur SaaS développe cette coexistence de rôles.

Construire une matrice de sortie exploitable

Ajoutez un responsable opérationnel et une échéance à chaque ligne. La politique de conservation doit permettre de retrouver les règles appliquées ; la matrice décrit leur exécution pour le contrat qui se termine.

Ne partez pas uniquement des tables principales de l’application. Demandez aussi l’inventaire des exports, espaces de support, dossiers partagés et prestataires ultérieurs. Un inventaire incomplet peut conduire à supprimer le compte visible tout en laissant les pièces dans une messagerie ou un répertoire de travail.

Exemple : justifier l’abonnement sans garder les dossiers

Situation fictive : l’éditeur Aster facture un forfait annuel à la société Craie. Craie utilise le logiciel pour classer les dossiers de ses clients. Le prix est fixe et ne dépend ni du nombre de documents ni de leur contenu. À la résiliation, Craie choisit le renvoi des dossiers.

Dans ces hypothèses, la facture du forfait peut relever des archives comptables propres d’Aster. Le contenu des dossiers hébergés ne démontre pas le montant facturé : aucune nécessité de tout conserver ne résulte de ce mode de tarification. Aster doit organiser le renvoi et la destruction des copies selon le cadre applicable.

Supposons maintenant que le prix comporte une part variable selon un volume d’utilisation. Cela ouvre une question sur la preuve du volume, pas une autorisation de conserver tous les documents. L’équipe doit déterminer quels éléments permettent de justifier le calcul : période, unité, quantité et rapprochement avec la facture. Elle examine si des relevés limités suffisent, sans présumer que chaque contenu individuel est nécessaire.

Cette comparaison aide le comptable et le responsable technique à se comprendre. Le premier décrit la pièce justificative recherchée ; le second identifie les données nécessaires pour la constituer. Aucun des deux ne devrait décider seul que la base entière est une archive comptable.

Organiser restitution, suppression et copies

Avant de fermer les accès du client, confirmez son choix et les modalités pratiques de sortie. Pour un renvoi, identifiez le destinataire habilité, le périmètre des données, le format convenu et le moyen de transmission sécurisé. La simple présence d’un bouton d’export ne prouve pas que le client a reçu les données prévues.

La réception peut être documentée par un inventaire et une confirmation portant sur le périmètre remis. Si des éléments restent manquants, consignez-les et attribuez leur traitement. Évitez une attestation globale alors que seuls certains dossiers ont été livrés. Le compte rendu doit décrire ce qui a été vérifié, sans prétendre garantir l’usage futur des données par le destinataire.

Le renvoi ne dispense pas de traiter les copies existantes. Demandez où elles se trouvent, qui exécute la suppression et quelles informations en attestent. Pour les sous-traitants ultérieurs, l’Art. 28(4) impose de répercuter les obligations pertinentes ; leur intervention ne fait pas disparaître la responsabilité du prestataire initial envers son client.

Les sauvegardes demandent une réponse technique précise. Identifiez les supports, le cycle de renouvellement et le sort des données en cas de restauration. Un calendrier technique ne constitue pas, à lui seul, une exception légale à l’effacement. Organisez une solution compatible avec les instructions et les obligations applicables ; si la suppression n’est pas achevée, indiquez les copies restantes et les mesures prévues au lieu d’annoncer une disparition totale.

Protéger l’archive propre après la clôture

L’Art. 6(1)(c) du RGPD peut fonder le traitement nécessaire à une obligation légale applicable au prestataire. L’Art. 17(3)(b) prévoit l’exception correspondante à l’effacement, dans ce périmètre. Ces dispositions ne dispensent pas de minimiser les données ni de les protéger.

L’archive comptable doit avoir des accès adaptés aux tâches qui subsistent. Le maintien d’une facture ne justifie pas que les équipes commerciales continuent à consulter le dossier complet ou que tous les anciens utilisateurs gardent un accès au service. Une séparation logique peut convenir si elle applique effectivement les restrictions nécessaires ; le nom « archives » d’un dossier ne suffit pas.

Prévoyez aussi la fin de conservation. Identifiez l’échéance, la personne chargée de l’examiner et l’opération à déclencher. Si un autre motif impose de garder certaines pièces plus longtemps, documentez-le séparément. Un renouvellement silencieux de la durée à chaque changement d’outil rendrait la règle initiale inopérante.

Répondre aux demandes sans confondre client et personne

Une instruction de clôture adressée par l’entreprise cliente et une demande d’effacement d’une personne concernée ne suivent pas exactement le même circuit. Le sous-traitant doit aider son client à traiter les droits conformément à l’Art. 28(3)(e). Pour ses propres traitements, il répond selon les obligations du responsable.

Ainsi, le départ du salarié qui était contact de facturation n’impose pas nécessairement de détruire une pièce légalement conservée. Il faut examiner les données présentes, leur nécessité et les usages qui subsistent. Les coordonnées peuvent être retirées d’un accès actif sans altérer indûment une pièce comptable à préserver. Le guide des demandes d’effacement précise les conditions et la réponse à apporter.

Un différend ne permet pas davantage de conserver toute la base « au cas où ». L’Art. 17(3)(e) vise la nécessité pour des droits en justice ; il ne constitue pas une dispense générale d’appliquer l’Art. 28(3)(g) aux données confiées. Faites examiner les pièces réellement nécessaires, le fondement du traitement envisagé et la portée des instructions avant toute conservation distincte.

Fournir un compte rendu de clôture fidèle

Le document final peut distinguer les données renvoyées, celles supprimées, les opérations encore ouvertes et les archives propres conservées avec leur justification. Pour chaque réserve, précisez le périmètre, le responsable de l’action et l’échéance prévue. Le contrat de sous-traitance doit permettre d’obtenir les informations nécessaires pour démontrer le respect des obligations.

Dans l’exemple Aster, la conservation de la facture d’abonnement peut être expliquée séparément du renvoi des dossiers de Craie. Si des copies doivent encore être supprimées, le compte rendu doit le dire. Cette méthode proposée évite une attestation « toutes données détruites » contredite par les systèmes ; elle ne décrit pas une opération réellement exécutée.

Ce qu’il faut retenir

• Identifiez les pièces comptables et les données confiées séparément.
• Rattachez chaque conservation à un acteur, une finalité et une durée justifiée.
• Organisez le sort des copies et des prestataires ultérieurs.
• Décrivez les réserves de clôture et l’accès aux archives restantes.

FAQ

Une facture doit-elle disparaître sur demande du contact ?

Une obligation légale peut justifier sa conservation dans son périmètre. Examinez les données nécessaires et les autres usages ; la facture ne justifie pas le maintien de tout le compte.

Restituer les données suffit-il à clôturer la prestation ?

L’Art. 28(3)(g) prévoit aussi la destruction des copies, sauf conservation légalement exigée. La restitution et le traitement des copies doivent donc être documentés.

Le contrat peut-il prévoir dix ans pour tout le contenu ?

Une clause ne rend pas toutes les données nécessaires à la comptabilité. Le périmètre et le fondement de chaque conservation doivent être établis.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.