En bref
- Réglementation : RGPD.
- Tout cabinet est concerné, sans seuil : dès qu’il traite des données personnelles — ce qui est le cas à 100 % (paie, déclarations, dossiers dirigeants) — les obligations s’appliquent.
- Tenir un registre des traitements.
- Définir une base légale.
- Encadrer la sous-traitance.
- Le RGPD prévoit deux paliers d’amendes : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les manquements organisationnels (registre, sécurité, sous-traitance), et jusqu’à 20 M€ ou 4 % pour les manquements aux principes et aux droits des personnes, le montant le plus élevé étant retenu.
Échéances réglementaires
Les dates clés de cette réglementation.
Mai 2018
Entrée en application
En vigueurDe quoi parle RGPD ?
Le RGPD est le cadre européen de protection des données personnelles, applicable depuis le 25 mai 2018 et contrôlé en France par la CNIL. Il repose sur quelques principes : licéité (une base légale pour chaque traitement), minimisation (ne collecter que le nécessaire), limitation des durées de conservation, sécurité et responsabilité (être en mesure de démontrer sa conformité).
Il distingue le responsable de traitement, qui décide des finalités et des moyens, et le sous-traitant, qui agit sur instruction du responsable. Un cabinet comptable est l’exemple type d’acteur cumulant les deux qualités.
Le secteur « Experts-comptables » est-il concerné ?
Tout cabinet est concerné, sans seuil : dès qu’il traite des données personnelles — ce qui est le cas à 100 % (paie, déclarations, dossiers dirigeants) — les obligations s’appliquent. La taille du cabinet ne l’exonère jamais ; elle module seulement le niveau d’organisation attendu et l’obligation ou non de tenir un registre allégé.
Le cabinet est responsable de traitement pour la gestion de son personnel, sa prospection et sa facturation. Il est sous-traitant pour les traitements exécutés au nom de ses clients : paie, comptabilité, déclarations sociales et fiscales. Cette distinction commande les clauses contractuelles à mettre en place.
Obligations détaillées
Tenir un registre des traitements
Documenter l’ensemble des traitements, pour le rôle de responsable comme pour celui de sous-traitant : finalités, catégories de données et de personnes, destinataires, durées, mesures de sécurité. C’est la pièce maîtresse de la conformité et la première demandée en cas de contrôle.
Définir une base légale
Chaque traitement doit reposer sur une base légale claire (exécution d’un contrat, obligation légale, intérêt légitime, consentement). La prospection commerciale suppose souvent le consentement ou l’intérêt légitime dûment encadré.
Encadrer la sous-traitance
Signer un contrat de sous-traitance conforme à l’article 28 avec chaque prestataire : éditeurs de paie, hébergeurs, solutions d’OCR. Le DPA fixe les instructions, la sécurité, le sort des données en fin de contrat et l’encadrement des sous-traitants ultérieurs.
Sécuriser les données
Mettre en œuvre des mesures proportionnées à la sensibilité des données : chiffrement, gestion fine des droits d’accès, authentification renforcée, journalisation, sauvegardes. Les données de paie justifient un niveau élevé.
Maîtriser les durées de conservation
Définir, pour chaque catégorie de données, une durée cohérente avec la finalité et les obligations légales, puis archiver ou supprimer au-delà. La conservation illimitée des anciens dossiers est un manquement fréquent.
Répondre aux droits des personnes
Être en mesure de traiter les demandes d’accès, de rectification et d’effacement dans le délai d’un mois, et de gérer les demandes transmises par les clients dont le cabinet est sous-traitant.
Gérer les violations de données
Disposer d’une procédure de détection, de qualification et de notification à la CNIL sous 72 heures, avec information des personnes en cas de risque élevé.
Sanctions & risques
Le RGPD prévoit deux paliers d’amendes : jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial pour les manquements organisationnels (registre, sécurité, sous-traitance), et jusqu’à 20 M€ ou 4 % pour les manquements aux principes et aux droits des personnes, le montant le plus élevé étant retenu.
Au-delà de l’amende, une fuite de données financières et sociales est un sinistre réputationnel majeur pour un cabinet, dont l’activité repose sur la confiance. Les manquements peuvent aussi entraîner des mises en demeure publiques et des injonctions sous astreinte.
Erreurs fréquentes dans le secteur
- 1Confusion des rôles. Ne pas distinguer responsable et sous-traitant, ce qui conduit à des clauses contractuelles inadaptées et à un registre incomplet.
- 2Absence de DPA. Utiliser des logiciels de paie ou d’hébergement sans contrat de sous-traitance conforme.
- 3Conservation illimitée. Garder indéfiniment les anciens dossiers clients sans politique de purge.
- 4Aucune procédure de droits. Ne pas savoir traiter une demande d’accès ou d’effacement dans le délai d’un mois.
Cas pratique
Un cabinet de 15 collaborateurs héberge la paie de 200 entreprises clientes via un logiciel SaaS. Un contrôle CNIL révèle l’absence de DPA avec l’éditeur, un registre limité au seul rôle de responsable, et des accès aux dossiers non journalisés. Le cabinet régularise en signant le DPA, en complétant le registre pour son rôle de sous-traitant, et en activant la journalisation des accès — trois actions qui, réalisées en amont, auraient évité la mise en demeure.
Feuille de route de mise en conformité
- 1
Cartographier. Recenser les traitements et les outils utilisés, y compris les briques d’IA, en distinguant clairement les rôles responsable et sous-traitant.
- 2
Constituer le registre. Rédiger et tenir à jour le registre des activités de traitement pour les deux rôles.
- 3
Régulariser les DPA. Auditer les contrats des éditeurs et hébergeurs, et signer ou mettre à jour les DPA manquants ou incomplets.
- 4
Formaliser sécurité et conservation. Écrire une politique de sécurité et une politique de conservation, et déployer une procédure de gestion des violations.
- 5
Désigner un DPO et former. Nommer un DPO interne ou externalisé, former les collaborateurs et planifier une revue annuelle.
Questions fréquentes
Oui, sans seuil : dès le premier traitement de données personnelles. Seule l’obligation de registre peut être allégée pour les structures de moins de 250 personnes, mais elle reste requise dès qu’un traitement est régulier ou porte sur des données sensibles — ce qui est le cas de la paie.
Passez à l'action sur RGPD
Diagnostic gratuit ou échange avec un expert dédié aux experts-comptables.
Ils nous font déjà confiance
Découvrez comment des organisations du secteur experts-comptables ont sécurisé leur conformité avec DCO.