RGPD cabinet comptable : la double casquette du cabinet

Un cabinet d'expertise comptable traite chaque jour des données qui ne sont pas les siennes : salaires, arrêts de travail et coordonnées bancaires des salariés de ses clients. La question « RGPD cabinet comptable » commence donc par la double casquette du cabinet, tantôt responsable de traitement, tantôt sous-traitant. Le raisonnement vaut aussi pour une fiduciaire belge ou luxembourgeoise, le RGPD s'appliquant en Belgique (APD) et au Luxembourg (CNPD), tandis que la Suisse applique la nLPD, en vigueur depuis le 1er septembre 2023.

Responsable de traitement ou sous-traitant : quel rôle pour le cabinet ?

Le rôle se détermine activité par activité. Pour ses propres salariés, sa facturation et sa prospection, le cabinet est responsable de traitement. Pour la paie réalisée sur instruction d'un client employeur, il agit en principe comme sous-traitant. Pour la tenue de comptabilité, tout dépend de l'autonomie laissée au cabinet.

Les lignes directrices 07/2020 du Comité européen de la protection des données citent l'administration des salaires confiée à un prestataire : celui-ci est sous-traitant et ne peut utiliser les données pour aucune finalité propre. Le même texte voit dans un cabinet comptable chargé d'un audit un responsable de traitement à part entière, et un sous-traitant lorsque la loi ne lui impose rien et que le client donne des instructions détaillées. Le guide du sous-traitant de la CNIL cite lui aussi la gestion de la paie parmi les prestations relevant de la sous-traitance, et le Conseil supérieur de l'Ordre retient la même lecture et précise que, pour la tenue comptable, tout dépend de la part d'initiative laissée au cabinet. La première question RGPD cabinet comptable est donc celle du rôle, mission par mission ; la CNIL n'a pas publié de règle plus précise et a renouvelé en 2024 un partenariat avec l'Ordre pour accompagner les cabinets.

Quelles données sensibles traite un cabinet comptable ?

La paie concentre les données les plus exposées du cabinet. Certaines relèvent des données sensibles de l'article 9 du RGPD, les autres appellent un encadrement propre.

• Le NIR : son usage est encadré par l'article 87 du RGPD et par le décret n° 2019-341 dit « cadre NIR », qui admet le recours à un prestataire sous contrat reprenant l'article 28.
• Les arrêts de travail : ce sont des données de santé, interdites de traitement par principe (article 9, paragraphe 1) et admises pour les obligations de droit du travail et de sécurité sociale (paragraphe 2, point b). Le cabinet n'a besoin que des dates, jamais du motif.
• La situation familiale et les coordonnées bancaires : des données ordinaires dont la divulgation nuit immédiatement, d'où un accès restreint et des échanges chiffrés.

Secret professionnel et RGPD : deux obligations qui se cumulent

L'expert-comptable est astreint au secret professionnel par l'article 21 de l'ordonnance n° 45-2138 du 19 septembre 1945, sous les peines de l'article 226-13 du code pénal, comme le rappelle une réponse ministérielle de 2010. Ce secret ne remplace pas le RGPD : il protège ce que le cabinet apprend de son client, alors que le règlement protège les personnes dont les données circulent, salariés du client compris.

Que doit contenir la clause RGPD de la lettre de mission ?

Quand le cabinet agit en sous-traitant, l'article 28, paragraphe 3 impose un contrat écrit fixant l'objet, la durée, la nature et la finalité du traitement, les données, les personnes concernées et les engagements du sous-traitant. Une annexe à la lettre de mission suffit si elle reprend chaque point.

• Traiter les données sur instruction documentée du client et signaler toute instruction contraire au règlement.
• Soumettre le personnel à une obligation de confidentialité, appliquer les mesures de sécurité de l'article 32 et obtenir l'autorisation écrite du client avant de recourir à un autre sous-traitant.
• Aider le client à répondre aux demandes de droits et à ses obligations de sécurité et de notification.
• Supprimer ou restituer les données en fin de mission, sauf obligation légale, et tenir à disposition les preuves de conformité.

L'Ordre recommande de détailler les instructions du client dans la lettre de mission et de s'y tenir. Une clause RGPD cabinet comptable claire protège donc autant le cabinet que son client.

Portails, GED, logiciel de paie, coffre-fort : comment encadrer les outils ?

Chaque outil qui héberge des données des clients ou de leurs salariés est un sous-traitant du cabinet. Il faut donc un contrat conforme à l'article 28 avec chaque éditeur, une vérification du lieu d'hébergement et l'accord écrit des clients.

Côté organisation, la conformité RGPD cabinet comptable passe par des habilitations individuelles sur le portail et la GED, l'authentification forte sur le logiciel de paie, et un coffre-fort ou un canal chiffré pour transmettre bulletins et pièces à la place du courriel. Le cabinet tient aussi le registre de l'article 30, paragraphe 2, qui liste pour chaque client les traitements effectués pour son compte.

Combien de temps conserver les pièces comptables et de paie ?

Les documents comptables et les pièces justificatives se conservent dix ans à compter de la clôture de l'exercice, en application de l'article L123-22 du Code de commerce. Les données de paie suivent des durées plus courtes, fixées par le référentiel CNIL de durées de conservation RH d'avril 2026. La durée de conservation se raisonne document par document, en séparant les obligations du cabinet de celles du client.

Que faire d'une demande de droits d'un salarié d'un client ?

Un salarié d'un client qui demande l'accès à ses données de paie s'adresse au responsable de traitement, c'est-à-dire à son employeur. Le cabinet sous-traitant transmet la demande sans délai et aide le client à répondre. Le délai d'un mois de l'article 12, paragraphe 3, prolongeable de deux mois pour les demandes complexes, court chez le client. Pour ses propres clients et salariés, le cabinet répond lui-même dans le même délai ; le droit d'accès ne porte que sur les données du demandeur.

Liste de contrôle RGPD du cabinet comptable

Cette liste RGPD cabinet comptable se parcourt une fois par an et à chaque nouvel outil.

À retenir

• Responsable de traitement pour ses propres données, sous-traitant en principe pour la paie des clients.
• NIR, arrêts de travail, situation familiale et RIB : accès restreint, canal chiffré, minimisation stricte.
• La clause RGPD de la lettre de mission reprend les engagements de l'article 28, paragraphe 3.
• Pièces comptables : dix ans ; éléments de paie : six ans ; bulletins : cinq ans.
• Une demande de droits d'un salarié d'un client se transmet à l'employeur.