DPO externalisé pour experts-comptables : gérer la « triple casquette » (cabinet, clients, sous-traitant)

La « triple casquette » RGPD du cabinet comptable

Le cabinet est d'abord responsable de traitement pour ses propres données : salariés, prospects, clients. Il est ensuite sous-traitant lorsqu'il traite, pour le compte de ses clients, les données de paie, de facturation ou sociales. Il est enfin, de fait, un conseil vers lequel ses clients se tournent pour leurs propres obligations RGPD. Ces trois rôles impliquent des responsabilités distinctes qu'il faut cartographier.

Les traitements sensibles d'un cabinet comptable

• Données de paie et données sociales des salariés des clients
• Coordonnées bancaires et données financières
• Données RH internes du cabinet
• Données de prospection commerciale
• Éventuelles données de santé (arrêts, prévoyance) via la paie

Les obligations de sous-traitant (article 28 RGPD)

En tant que sous-traitant, le cabinet doit encadrer chaque relation client par un contrat conforme à l'article 28, tenir la partie du registre relative aux traitements réalisés pour le compte des clients, garantir la sécurité des données et notifier son client en cas de violation. Un DPO externe met ces obligations en musique sans alourdir le quotidien des collaborateurs.

La désignation d'un DPO est-elle obligatoire pour un cabinet ?

Elle n'est pas systématiquement obligatoire, mais elle est fortement recommandée compte tenu du volume et de la sensibilité des données traitées, et de l'exposition liée au rôle de sous-traitant. Beaucoup de clients et de donneurs d'ordre l'attendent désormais comme un gage de sérieux. Voir les 3 cas d'obligation.

Pourquoi externaliser plutôt qu'internaliser

Un cabinet n'a généralement ni le temps ni l'expertise pour porter la fonction en interne sans conflit d'intérêts. Le DPO externalisé apporte l'expertise juridique, la connaissance du secteur comptable et une plateforme qui gère le registre et le suivi des sous-traitants. Il transforme la contrainte RGPD en argument commercial vis-à-vis des clients.