DPO obligatoire pour un cabinet comptable ? Ce que dit vraiment le RGPD

Le DPO est-il obligatoire pour un cabinet comptable ?

La question revient dans la quasi-totalité des cabinets : sommes-nous réellement tenus de désigner un Délégué à la Protection des Données (DPO) ? L’idée reçue la plus tenace consiste à croire qu’il faut atteindre 250 salariés pour être concerné. Le Règlement Général sur la Protection des Données (RGPD) ne raisonne pas en effectif : il raisonne en nature et en volume de données traitées.

L’article 37 du RGPD impose la désignation d’un DPO dans trois grandes hypothèses. La plus structurante pour la profession comptable est le suivi régulier et systématique de personnes à grande échelle et le traitement à grande échelle de données sensibles. Un cabinet qui produit les paies et dossiers sociaux de dizaines d’entreprises clientes, pour des centaines voire des milliers de salariés finaux, atteint ce seuil — bien souvent sans en avoir conscience.

Autrement dit : un petit cabinet peut être tout aussi concerné qu’une grande structure. Ce n’est pas votre taille qui déclenche l’obligation, mais l’activité de traitement que vous opérez pour le compte de vos clients.

Pourquoi le critère n’est pas votre effectif, mais votre volume

Un cabinet de cinq collaborateurs peut traiter, pour le compte de ses clients, les données de plusieurs milliers de personnes. C’est ce volume traité pour le compte d’autrui qui déclenche l’obligation, pas la taille de votre structure. La distinction est essentielle car elle balaie l’argument du « nous sommes trop petits ».

Les données que vous manipulez au quotidien

• Données de paie : salaires, RIB, numéros de sécurité sociale, situations familiales.
• Données de santé indirectes : arrêts maladie, accidents du travail, taux d’invalidité — des données sensibles au sens de l’article 9 du RGPD.
• Dossiers sociaux : contrats de travail, DPAE, déclarations sociales nominatives (DSN).
• Données clients et prospects du cabinet lui-même (CRM, facturation, prospection).

Lorsque l’on additionne l’ensemble de ces traitements, le « grand échelle » est presque toujours atteint. Si vous êtes tenu de désigner un DPO sans l’avoir fait, votre cabinet est en situation d’infraction — avant même tout incident.

Les trois cas de l’article 37 qui déclenchent l’obligation

Le RGPD prévoit trois situations dans lesquelles la désignation d’un DPO devient obligatoire. Pour un cabinet comptable, deux d’entre elles sont régulièrement remplies.

1. Le suivi régulier et systématique à grande échelle

La gestion sociale et de paie suppose un traitement continu, mensuel, de données personnelles pour de nombreux salariés. C’est un suivi régulier et systématique au sens du texte.

2. Le traitement à grande échelle de données sensibles

Arrêts maladie, accidents du travail, mi-temps thérapeutiques : ces informations sont des données de santé, classées comme sensibles. Les traiter à grande échelle déclenche l’obligation.

3. L’activité d’une autorité ou d’un organisme public

Ce cas concerne rarement les cabinets libéraux, mais peut viser certaines missions auprès d’organismes publics.

Dans le doute, la CNIL recommande de désigner un DPO dès lors que l’analyse n’est pas évidente : c’est un gage de sérieux et un facteur de réduction du risque.

Ce que vous risquez sans DPO désigné

L’absence de DPO, lorsqu’il est obligatoire, n’est pas un simple oubli administratif. C’est un manquement caractérisé qui fragilise l’ensemble de votre conformité.

• Sanctions financières : jusqu’à 4 % du chiffre d’affaires annuel mondial ou 20 M€ (le montant le plus élevé étant retenu).
• Mise en demeure publique de la CNIL, dont l’effet réputationnel est immédiat dans une profession fondée sur la confiance.
• Responsabilité contractuelle vis-à-vis de vos clients en cas de fuite de leurs données sociales.
• Perte de confiance : un client dont les données de paie fuitent par votre intermédiaire peut rompre la relation et engager votre responsabilité.

La CNIL a prononcé plus de 80 sanctions en 2024, pour un total dépassant 55 M€. La protection des données n’est plus un sujet théorique : c’est un risque opérationnel et financier concret.

DPO interne ou externalisé : que choisir ?

Le RGPD autorise expressément un DPO externe, lié par contrat de service. Pour un cabinet, c’est presque toujours la solution la plus pertinente.

Les limites du DPO interne

Recruter un DPO suppose un coût salarial élevé, une formation continue (le droit évolue vite : RGPD, AI Act, NIS2) et une indépendance parfois difficile à garantir quand le DPO est aussi associé ou collaborateur du cabinet.

Les avantages du DPO externalisé

• Expertise immédiatement opérationnelle, sans recrutement ni montée en compétence.
• Indépendance garantie, condition de validité de la fonction.
• Coût maîtrisé par abonnement, bien inférieur à un poste dédié.
• Déclaration officielle de la fonction auprès de la CNIL réalisée pour vous.

C’est précisément l’objet de notre offre dédiée : le DPO externalisé pour experts-comptables, un expert dédié et une plateforme en ligne, par abonnement.

Comment se mettre en conformité, étape par étape

La mise en conformité d’un cabinet suit une trajectoire claire et progressive.

1. Diagnostic et qualification

On détermine si vous êtes tenu de désigner un DPO et on qualifie chacun de vos traitements (responsable ou sous-traitant). Voir notre article sous-traitant ou responsable de traitement ?.

2. Désignation et déclaration du DPO

Le DPO est désigné et déclaré officiellement auprès de la CNIL.

3. Registre des traitements et DPA

On construit le registre des activités de traitement et on met en place les contrats de sous-traitance (DPA) de l’article 28 pour vos missions de paie.

4. Sécurité, procédures et veille

Procédure de violation, gestion des demandes d’exercice de droits, veille RGPD & AI Act, et formation des équipes.

Questions fréquentes sur l’obligation de DPO

Mon cabinet a moins de 10 salariés, suis-je vraiment concerné ?

Oui, très probablement. L’obligation dépend du volume et de la nature des données traitées pour le compte de vos clients, pas de votre effectif. Un petit cabinet qui gère la paie de nombreuses entreprises est concerné.

Puis-je désigner un associé comme DPO ?

C’est possible mais risqué : le DPO doit être indépendant et ne pas être en conflit d’intérêts. Un DPO externe lève cette difficulté.

Combien coûte un DPO externalisé pour un cabinet ?

Par abonnement mensuel, généralement bien inférieur au coût d’un recrutement, ajusté à votre taille et à votre volume de dossiers.

En combien de temps suis-je en conformité ?

La désignation et la déclaration du DPO sont immédiates. La mise en conformité complète s’organise ensuite selon un plan d’action priorisé.