Un expert-comptable conforme au RGPD doit d’abord déterminer, mission par mission, s’il agit comme responsable de traitement ou comme sous-traitant : quand il réalise la paie pour le compte d’un client employeur, il est sous-traitant (le client reste responsable) et un DPA (art. 28) doit figurer dans la lettre de mission ; pour ses propres données — ses clients, ses salariés, sa prospection — il est responsable de traitement. De cette qualification découle tout le reste : bases légales, durées de conservation, obligations documentaires et responsabilité en cas d’incident. À cela s’ajoutent le secret professionnel comptable, une sécurité renforcée (art. 32) sur des données RH et bancaires ultra-sensibles, et l’encadrement des logiciels de paie/compta hébergés dans le cloud, eux-mêmes sous-traitants.
Le cabinet comptable est un maillon central de la chaîne de sous-traitance des données de paie de centaines de salariés qui ne sont pas les siens. C’est précisément là que se concentre le risque juridique. Voici le guide opérationnel.
Obligations RGPD spécifiques aux experts-comptables
La distinction responsable / sous-traitant : la clé de tout
C’est la première question à trancher pour chaque prestation. Elle détermine qui porte quelle obligation.
Le cabinet est SOUS-TRAITANT quand il traite des données pour le compte d’un client, sur ses instructions et pour ses finalités. Cas type : la gestion de la paie d’un client employeur. Ici, l’employeur reste responsable de traitement des données de ses salariés — voir ses obligations côté RH et paie — ; le cabinet exécute. Conséquence directe : un accord de sous-traitance (DPA) au sens de l’article 28 est obligatoire, et il a tout intérêt à être intégré à la lettre de mission. Il encadre la sécurité, la confidentialité, la localisation des données, l’interdiction de tout usage détourné et le recours aux sous-traitants ultérieurs (le logiciel de paie).
Le cabinet est RESPONSABLE DE TRAITEMENT pour ses propres traitements : le fichier de ses clients, la gestion de ses salariés, sa prospection commerciale, son site web, sa comptabilité interne. Là, c’est lui qui définit les finalités et les moyens, et qui porte l’intégralité des obligations. Notre guide sur les obligations du sous-traitant détaille cette répartition, et notre guide complet du DPA en donne la trame contractuelle.
Le secret professionnel comptable
L’expert-comptable est tenu au secret professionnel (article 21 de l’ordonnance de 1945 et code de déontologie). Comme pour les cabinets d’avocats, ce secret coexiste avec le RGPD : il protège la confidentialité des informations du client, sans dispenser des obligations RGPD structurelles.
Registre et référentiel CNIL
Le cabinet tient un registre des traitements qui distingue clairement ses traitements en tant que responsable (clients, RH, prospection) et ses traitements en tant que sous-traitant (paie, social, déclaratif pour le compte de clients) — l’article 30 impose d’ailleurs un registre spécifique au sous-traitant (art. 30-2). La CNIL a publié des référentiels et recommandations applicables à la profession comptable et à la gestion de la paie/RH : reportez-vous au référentiel CNIL relatif à la gestion des ressources humaines et aux recommandations sectorielles, sans en inventer les numéros.
Sécurité (art. 32) et sous-traitants cloud
Les données traitées — bulletins de paie, NIR, coordonnées bancaires, arrêts de travail, situations familiales — sont parmi les plus sensibles économiquement. La sécurité doit être à la hauteur : chiffrement, authentification forte, cloisonnement des accès par client, journalisation. Les logiciels de paie et de comptabilité en mode SaaS sont vos sous-traitants (art. 28) : DPA obligatoire, vérification de la localisation des données et des éventuels transferts hors UE.
Information et droits des personnes
Pour ses propres traitements, le cabinet informe les personnes (art. 13-14) et gère les droits. Pour la paie sous-traitée, c’est le client employeur qui informe ses salariés et traite leurs demandes ; le cabinet se contente de l’assister et de transmettre.
Durées de conservation
| Donnée / traitement | Durée en base active | Archivage / justification |
|---|---|---|
| Pièces comptables des clients | Exercice en cours | 10 ans (Code de commerce, art. L123-22) |
| Bulletins de paie (obligation employeur) | — | 5 ans (art. L3243-4 Code du travail) ; copie dématérialisée conservée bien plus longtemps par l’employeur |
| Données de paie traitées pour un tiers | Durée de la mission | Restitution / suppression en fin de mission selon le DPA |
| Prospection / contacts commerciaux | 3 ans après le dernier contact | Réactualiser la base ensuite |
| Candidats au recrutement du cabinet | 2 ans après le dernier contact | Sauf consentement pour un vivier plus long |
Les durées applicables aux données traitées pour le compte d’un client sont définies par le client responsable ; le cabinet les applique et prévoit la restitution ou la suppression en fin de mission. Pour le cadre général, voir notre guide des durées de conservation.
Bases légales par traitement
| Traitement | Base légale (art. 6 / art. 9) | Commentaire |
|---|---|---|
| Comptabilité, obligations fiscales | Obligation légale (art. 6-1-c) | Code de commerce, CGI |
| Gestion de la mission client | Exécution du contrat (art. 6-1-b) | Lettre de mission = contrat |
| Paie sous-traitée pour un client | Base portée par le client employeur | Le cabinet agit sur instructions (art. 28-29), sans base propre |
| Gestion RH du cabinet | Contrat + obligation légale (art. 6-1-b/c) | Salariés du cabinet |
| Prospection B2B / B2C | Intérêt légitime (f) ou consentement (a) | Selon canal (art. L34-5 CPCE) |
Le point clé : pour la paie sous-traitée, le cabinet n’a pas de base légale propre — c’est le client employeur qui détient la base (obligation légale, contrat de travail) ; le cabinet agit sur ses instructions (art. 28-29). Notre guide de la base juridique détaille chaque fondement.
Sanctions CNIL réelles du secteur
Soyons honnêtes : la CNIL n’a pas prononcé de sanction célèbre contre un cabinet d’expertise comptable. Le risque réel se lit à travers deux sanctions hors secteur mais directement transposables.
1. Le sous-traitant qui outrepasse les instructions — DEDALUS BIOLOGIE, 1 500 000 €, 15 avril 2022. Hors secteur mais applicable : cet éditeur de logiciel de santé, agissant comme sous-traitant, a provoqué la fuite des données de santé de près de 500 000 patients. La cause : lors d’une migration, il a extrait plus de données que demandé, outrepassant les instructions du responsable de traitement (art. 29). Transposée à la comptabilité, la leçon est double : (a) quand vous êtes sous-traitant pour la paie, vous devez rester strictement dans les instructions du client, sous peine d’engager votre responsabilité propre ; (b) votre propre éditeur de logiciel de paie/compta peut vous exposer s’il déborde ses instructions. Détails sur la sanction DEDALUS BIOLOGIE.
2. La collecte excessive de données RH — SAF LOGISTICS, 200 000 €, 18 septembre 2023 (SAN-2023-013). Hors secteur mais très pertinent pour la paie et la RH : cette société de fret aérien a été sanctionnée pour avoir collecté des données excessives sur ses salariés et leur famille via un formulaire de mobilité interne, dont des données sensibles (origine ethnique, affiliation politique), en violation des articles 5-1-c et 9. Pour un cabinet qui gère la paie et le social, c’est l’avertissement direct : ne collectez, dans les formulaires RH, que les données strictement nécessaires. Détails sur la sanction SAF LOGISTICS.
Pour le cadre général, voir la page thématique CNIL sur le RGPD.
Erreurs courantes
- Ne pas trancher la qualification responsable / sous-traitant mission par mission — d’où découlent toutes les obligations.
- Omettre le DPA (art. 28) dans la lettre de mission pour les prestations de paie et de social réalisées pour le compte des clients.
- Traiter les données de paie sans se limiter aux instructions du client employeur (leçon DEDALUS, art. 29).
- Collecter des données RH excessives dans les formulaires (leçon SAF LOGISTICS, art. 9) au lieu du strict nécessaire.
- Utiliser des logiciels de paie/compta cloud sans DPA ni vérification de la localisation des données.
- Confondre les durées : appliquer aux données d’un client des durées décidées par le cabinet, alors que c’est le client responsable qui les fixe.
FAQ
Suis-je responsable de traitement ou sous-traitant pour la paie de mes clients ?
Sous-traitant. Quand vous établissez la paie pour un client employeur, c’est lui qui définit la finalité (rémunérer ses salariés) et qui reste responsable de traitement ; vous agissez pour son compte, sur ses instructions. Un DPA (art. 28), idéalement intégré à la lettre de mission, est obligatoire. Vous redevenez responsable pour vos propres données (clients, salariés du cabinet, prospection).
Le DPA doit-il être un contrat séparé ou peut-il figurer dans la lettre de mission ?
Il peut parfaitement être intégré à la lettre de mission sous forme d’une clause ou d’une annexe de sous-traitance, du moment qu’il contient l’ensemble des mentions de l’article 28-3 (objet, durée, nature et finalité, obligations de sécurité, sous-traitants ultérieurs, sort des données en fin de mission). Notre guide complet du DPA fournit la trame.
Combien de temps conserver les pièces comptables et les bulletins de paie ?
Les pièces comptables des clients se conservent 10 ans (art. L123-22 du Code de commerce). Les bulletins de paie relèvent d’une obligation de l’employeur (5 ans, art. L3243-4 du Code du travail), la copie dématérialisée étant conservée bien plus longtemps par ce dernier. Les données que vous traitez pour un client suivent la durée de la mission et les instructions du client. Voir notre guide des ressources humaines et RGPD.
Dois-je désigner un DPO ?
Pas nécessairement, mais la question doit être tranchée et documentée. Un cabinet qui traite à grande échelle des données de nombreux tiers y a souvent intérêt. À défaut de désignation, motivez votre décision et gardez la trace de votre analyse.
Conclusion
À lire aussi : un logiciel RGPD pour avocats.