RGPD et expert-comptable : êtes-vous sous-traitant ou responsable de traitement ?

Une qualification qui change à chaque mission

Le RGPD distingue le responsable de traitement (qui définit les finalités et les moyens d’un traitement) du sous-traitant (qui traite les données pour le compte d’un autre). Pour un cabinet comptable, la difficulté est que cette qualification se déplace selon la mission : vous pouvez être responsable pour un dossier et sous-traitant pour un autre, parfois pour le même client.

L’Ordre des Experts-Comptables est clair sur ce point : la qualification doit s’apprécier au cas par cas, sans pouvoir décider à l’avance par grande catégorie de mission. C’est pourtant cette qualification qui commande l’ensemble de vos obligations.

Quand êtes-vous responsable de traitement ?

Vous êtes responsable de traitement lorsque vous déterminez pourquoi et comment des données sont traitées, en toute autonomie.

• Gestion interne du cabinet : RH, paie de vos propres salariés, comptabilité interne.
• Prospection et CRM : fichiers de prospects, campagnes commerciales.
• Missions où vous fixez vos propres méthodes : certaines missions de conseil, d’audit ou de révision où vous décidez seul des moyens.

En tant que responsable, vous portez l’intégralité des obligations : information des personnes, base légale, durée de conservation, sécurité, registre.

Quand êtes-vous sous-traitant (article 28) ?

Vous êtes sous-traitant lorsque vous traitez des données pour le compte et selon les instructions de votre client, sans en définir vous-même les finalités.

• Établissement des bulletins de paie pour le compte d’un client.
• DPAE et déclarations sociales (DSN).
• Gestion administrative du personnel déléguée par le client.

Dans ce cas, l’article 28 du RGPD impose un contrat de sous-traitance (DPA) entre vous et votre client. Son absence est l’un des manquements les plus fréquemment relevés par la CNIL.

Le cas particulier de la co-responsabilité

Entre responsable et sous-traitant existe une zone intermédiaire : la responsabilité conjointe (article 26). Elle s’applique quand vous et votre client déterminez ensemble les finalités et les moyens d’un traitement.

C’est par exemple le cas dans certaines missions d’audit d’acquisition ou de due diligence, où le cabinet et le client co-décident des données analysées et de leur usage. La co-responsabilité impose un accord définissant les rôles respectifs de chacun vis-à-vis des personnes concernées.

Pourquoi cette distinction est décisive

De la qualification découlent des obligations très différentes : information des personnes, base légale, durée de conservation, sécurité, et surtout — lorsque vous êtes sous-traitant — la signature d’un DPA au titre de l’article 28.

Une qualification erronée a des conséquences directes : vous pouvez croire être simple sous-traitant alors que vous êtes responsable (et donc manquer à vos obligations d’information), ou l’inverse (et signer des contrats inadaptés). En cas de contrôle, c’est l’un des premiers points examinés.

Comment qualifier vos traitements en pratique

La bonne méthode consiste à raisonner traitement par traitement, et non client par client.

1. Lister chacun de vos traitements (paie, révision, conseil, prospection…).
2. Pour chacun, identifier qui décide des finalités et des moyens.
3. En déduire votre qualification : responsable, sous-traitant ou co-responsable.
4. Documenter cette qualification dans votre registre et en tirer les contrats adaptés.

Ce travail, fastidieux mais structurant, est rarement mené en interne faute de temps.

Faire qualifier et documenter vos traitements

Un DPO externalisé tranche cette qualification pour chacun de vos traitements, la documente dans un registre vivant et prépare les DPA correspondants. C’est l’un des premiers livrables de notre offre DPO externalisé pour experts-comptables.

Pour vérifier si vous êtes par ailleurs tenu de désigner un DPO, consultez notre article DPO obligatoire pour un cabinet comptable ?

Questions fréquentes

Une même mission peut-elle relever des deux qualifications ? Oui : pour un même client, la paie peut relever de la sous-traitance et le conseil de la responsabilité.

Qui rédige le DPA, le cabinet ou le client ? En pratique, c’est souvent le cabinet (sous-traitant) qui propose un modèle conforme à ses clients.