RGPD expert-comptable : organiser la conformité
Cabinet comptable : qualifiez chaque mission, encadrez les outils, distinguez les durées de conservation et préparez droits et incidents.
- Qualifier la mission avant de signer l’annexe RGPD
- Secret professionnel et bases légales
- Séparer les durées et les responsabilités de conservation
- Maîtriser les outils et les prestataires
- Répartir les droits, les incidents et la sécurité
- Le dossier de conformité à finaliser
- Cas pratique : terminer une mission de paie sans tout effacer
- Ce qu’il faut retenir
- FAQ
Un cabinet comptable peut recevoir des pièces fiscales, gérer des bulletins de paie et réaliser une mission d’analyse autonome pour un même client. La première décision RGPD consiste à qualifier chaque activité. Un contrat unique et une étiquette « sous-traitant » pour tout le cabinet ne suffisent pas.
Qualifier la mission avant de signer l’annexe RGPD
Le rôle dépend des décisions effectivement prises sur les finalités et les moyens essentiels du traitement. La CNIL rappelle que cette qualification repose sur les faits et doit être examinée activité par activité. CNIL, identifier son rôle.
Une paie exécutée pour l’employeur, selon ses instructions sur les salariés et les opérations confiées, peut relever de la sous-traitance. À l’inverse, les traitements que le cabinet décide pour gérer ses propres salariés ou facturer ses clients relèvent de sa responsabilité. Une mission autonome doit être qualifiée d’après ses objectifs et ses moyens essentiels, sans déduire son régime du seul titre professionnel. RGPD, Art. 4(7)–(8).
Lorsque le cabinet agit comme sous-traitant, un contrat conforme à l’Art. 28(3) doit encadrer les opérations, les instructions, l’assistance, la sécurité et la fin de prestation. Lorsqu’il agit comme responsable autonome, il doit justifier ses propres finalités, bases et modalités d’information. Notre analyse de l’article 28 du RGPD aide à vérifier l’annexe pertinente.
Secret professionnel et bases légales
L’Art. 21 de l’ordonnance n° 45-2138 soumet les professionnels qu’il vise au secret professionnel, sous réserve des dispositions législatives contraires. Cette obligation ne remplace pas les règles sur la collecte, la sécurité et la durée des traitements. Ordonnance du 19 septembre 1945, Art. 21.
Définissez les accès par équipe et par dossier. Un collaborateur chargé d’une déclaration fiscale n’a pas nécessairement besoin de consulter tous les dossiers sociaux du client. Les documents reçus doivent être limités aux éléments nécessaires : l’existence d’un arrêt de travail ne justifie pas de demander le diagnostic médical.
Pour ses traitements propres, le cabinet examine les bases de l’Art. 6(1). Le contrat ne s’applique que lorsque le traitement est nécessaire à un contrat avec la personne concernée ou aux mesures précontractuelles demandées par celle-ci. Une lettre de mission signée avec une société ne constitue donc pas, à elle seule, la base contractuelle pour toutes les données de ses salariés et contacts. Une obligation légale doit être rattachée au texte et à l’acteur qu’elle vise. Pour des données de santé, examinez également une exception de l’Art. 9(2). RGPD, Art. 6 et 9.
Séparer les durées et les responsabilités de conservation
Les obligations de l’entreprise cliente ne signifient pas que le cabinet doit conserver sans distinction une copie complète de son dossier pendant la durée la plus longue.
| Documents ou fonction | Repère juridique | Conséquence pour le cabinet |
|---|---|---|
| Documents comptables et pièces justificatives relevant du Code de commerce | Dix ans, Art. L123-22 | Définir qui conserve les pièces et leur périmètre |
| Livres, registres et pièces soumis au contrôle fiscal | En principe six ans selon le point de départ de l’Art. L102 B I, avec régimes particuliers | Appliquer le texte aux documents concernés, sans raccourcir une autre obligation plus longue |
| Double des bulletins détenu par l’employeur | Cinq ans, Art. L3243-4 | Organiser la conservation confiée au cabinet et la restitution éventuelle |
| Mise à disposition électronique du bulletin au salarié | Régime distinct de l’Art. D3243-8 | Vérifier quel service assume cette disponibilité |
| Documents et informations de vigilance LCB-FT | Cinq ans selon les points de départ de l’Art. L561-12, sous réserve de règles plus contraignantes | Isoler le dossier de vigilance et ses accès |
Sources : C. commerce, L123-22, LPF, L102 B, C. travail, L3243-4, CMF, L561-12.
Transition fiscale : l’Art. 36 de la loi du 25 juin 2026 porte à dix ans les délais qu’il modifie dans l’Art. L102 B, pour les documents et pièces dont le délai de conservation expire après le 1er janvier 2027. Le cabinet doit intégrer cette transition à son calendrier, sans confondre fiscalité, pièces comptables et paie. Loi n° 2026-534, Art. 36.
Disponibilité du bulletin électronique : l’Art. D3243-8 prévoit soit cinquante ans, soit jusqu’à l’âge visé au dernier alinéa de l’Art. L1237-5 augmenté de six ans. Il s’agit de garantir l’accès du salarié au bulletin, pas d’une consigne de conserver cinquante ans toutes les données du logiciel de paie ou un double chez chaque intervenant. C. travail, D3243-8.
Pour les dossiers de travail propres au cabinet, documentez les besoins de preuve, les obligations applicables et les durées d’archivage. N’inventez pas une règle générale « mission plus dix ans ». La politique doit aussi prévoir la suppression des exports et des espaces de dépôt devenus inutiles.
Maîtriser les outils et les prestataires
La qualification du cabinet détermine celle de sa chaîne de fournisseurs. Un outil de paie peut intervenir comme sous-traitant ultérieur pour une mission donnée et comme sous-traitant direct du cabinet pour une autre. Un prestataire peut aussi avoir des traitements propres : la banque destinataire d’un ordre n’est pas automatiquement un sous-traitant ultérieur.
Pour chaque outil, identifiez les données, les accès de support, les sous-traitants, les lieux de traitement et les conditions de restitution. L’Art. 28(2) impose une autorisation préalable écrite, spécifique ou générale, pour recruter un autre sous-traitant ; dans le cas de l’autorisation générale, les changements doivent être annoncés pour permettre une objection. L’Art. 28(4) encadre la transmission des obligations. RGPD, Art. 28(2)–28(4).
La cartographie de la chaîne de sous-traitance permet de relier ces acteurs aux missions. Examinez aussi les transferts hors de l’Union, y compris les accès de support, au lieu de vous limiter à l’adresse du serveur principal.
Répartir les droits, les incidents et la sécurité
Lorsque le cabinet est sous-traitant, il transmet les demandes au responsable compétent et l’assiste selon l’Art. 28(3)(e), dans le cadre des instructions convenues. Pour ses traitements propres, il organise lui-même la réponse. Un incident touchant une prestation sous-traitée doit être signalé au client dans les meilleurs délais après sa découverte selon l’Art. 33(2) : le cabinet ne dispose pas d’un délai automatique de 72 heures pour prévenir son client.
Lorsqu’il est responsable, il documente toute violation et notifie l’autorité dans les meilleurs délais, si possible au plus tard sous 72 heures après connaissance, sauf si elle n’est pas susceptible d’engendrer un risque. Un dépassement de 72 heures doit être motivé. La communication aux personnes dépend du risque élevé et des exceptions applicables. RGPD, Art. 33(1), 33(2), 33(5) et 34.
Sécurisez les accès distants, les changements d’IBAN, les envois de paie et la récupération des sauvegardes. L’authentification multifacteur, le chiffrement et le cloisonnement sont des mesures à examiner sérieusement au regard des risques ; une fréquence annuelle ou semestrielle choisie par le cabinet ne doit pas être présentée comme un calendrier universel imposé par le RGPD.
Le dossier de conformité à finaliser
Conservez une fiche par type de mission avec la qualification, les bases ou instructions, les outils utilisés, les destinataires, les durées et les circuits de droits et d’incidents. Reliez-la au registre des activités propres et, selon les cas, au registre de sous-traitant de l’Art. 30(2).
Examinez l’obligation de DPO selon les critères de l’Art. 37(1), notamment le suivi régulier et systématique à grande échelle ou les catégories particulières traitées à grande échelle au titre des activités de base. Il n’existe pas de seuil RGPD de dix ou quinze clients. L’analyse du DPO obligatoire doit aussi intégrer l’indépendance et les conflits d’intérêts d’une éventuelle désignation interne.
Cas pratique : terminer une mission de paie sans tout effacer
Scénario fictif. Le cabinet Ardoise Conseil produit les bulletins de dix-huit salariés pour une PME française. L’employeur décide des rémunérations, valide les variables et donne les instructions de traitement. Le cabinet assure aussi sa propre facturation et ses obligations de vigilance. La PME annonce un changement de cabinet et demande de « supprimer toutes les données après transfert ».
L’associée ne répond ni par une suppression générale ni par une conservation intégrale de dix ans. Elle distingue la paie confiée, les documents propres au cabinet et le service de disponibilité des bulletins. Le dossier de sortie prévoit qui reprend chaque obligation et quelles copies doivent réellement disparaître.
| Ensemble identifié | Décision dans ce cas | Preuve de réalisation |
|---|---|---|
| Données nécessaires à la reprise de paie | Restitution au destinataire désigné par l’employeur, par canal protégé | Inventaire des fichiers et réception par le contact autorisé |
| Doubles des bulletins pour l’employeur | Remise complète ; conservation légale organisée par l’employeur | Nombre de bulletins par salarié et période rapproché de l’inventaire |
| Accès personnel aux bulletins électroniques | Continuité distincte de la fin de mission du cabinet | Engagement du service et parcours salarié contrôlés |
| Factures du cabinet à la PME | Conservation dans l’archive comptable propre | Périmètre, échéance et accès comptables identifiés |
| Dossier de vigilance | Conservation selon l’obligation propre et son point de départ | Dossier séparé, échéance et habilitations restreintes |
| Exports temporaires de paie | Suppression selon les instructions après remise vérifiée | Emplacements traités et copies résiduelles documentés |
Le fondement de la vigilance appartient au professionnel assujetti ; le client ne peut pas l’annuler par une instruction de suppression. Cela ne transforme pas pour autant chaque bulletin en pièce de vigilance. CMF, Art. L561-2, 12° et L561-12.
Pour les traitements réalisés comme sous-traitant, le choix de restitution ou de suppression au terme de la prestation est encadré par l’Art. 28(3)(g), avec son exception de conservation légalement exigée. Les éléments qu’un cabinet estime nécessaires à sa propre défense demandent une analyse distincte : objet du litige possible, pièces proportionnées, base, durée et accès. « On pourrait en avoir besoin » ne justifie pas une copie complète permanente.
La première remise est complète, mais la sortie échoue
Dans le scénario, la PME reçoit bien les bulletins des dix-huit salariés. Le responsable de paie vérifie les périodes et ouvre les fichiers. Pourtant, le compte témoin prévu pour contrôler le parcours salarié affiche une fermeture prochaine du portail : l’abonnement de l’employeur et l’accès individuel ont été liés dans le paramétrage.
Le cabinet ne signe donc pas une attestation déclarant toutes les obligations de sortie réglées. Il prévient l’employeur et le prestataire, maintient le circuit nécessaire de disponibilité conformément aux engagements applicables et fait préciser le service qui assurera la continuité. Ce maintien ne lui donne pas le droit de poursuivre les calculs de paie ou de laisser tous les collaborateurs accéder aux dossiers.
Le prestataire corrige ensuite la séparation des accès. L’équipe contrôle que le parcours salarié reste disponible et que l’ancien compte de production du cabinet est fermé. L’employeur confirme le dispositif retenu. Le procès-verbal distingue alors la remise des doubles, la disponibilité individuelle et les suppressions exécutées ; les éventuelles sauvegardes restantes gardent leur calendrier et leur accès restreint.
Si le prestataire ne garantit pas cette continuité, l’employeur doit organiser une autre solution conforme avant de clore ce volet. Le cabinet documente l’anomalie et la décision attendue : un fichier ZIP remis à la direction ne démontre pas, à lui seul, que chaque salarié disposera de son bulletin dans les conditions légales.
Ce qu’il faut retenir
- Qualifiez chaque mission, sans traiter tout le cabinet comme sous-traitant par défaut.
- Le secret professionnel et le RGPD s’appliquent conjointement.
- Conservation du double et disponibilité électronique du bulletin sont distinctes.
- Un incident de sous-traitance se signale au client dans les meilleurs délais.
- La désignation d’un DPO ne dépend pas d’un nombre fixe de clients.
FAQ
Faut-il un DPA avec tous les clients ?
Il est requis pour les activités dans lesquelles le cabinet agit effectivement comme sous-traitant. Les missions relevant de sa responsabilité autonome appellent une documentation adaptée à cette qualification.
Le cabinet doit-il garder tous les bulletins cinquante ans ?
Non. Distinguez le double conservé pour l’employeur, le service de disponibilité du bulletin électronique et les autres données de paie. La lettre de mission doit préciser les responsabilités et la sortie du service.
Un cabinet de petite taille est-il dispensé du RGPD ?
Non. Ses obligations se déterminent selon les traitements et les risques. L’absence d’obligation de DPO ne dispense pas de documenter les missions, de sécuriser les données et de gérer les droits.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.