Règlement (UE) 2016/679, articles 4.7 et 28

DPO externalisé pour les cabinets d'expertise comptable

Un cabinet comptable traite les données des salariés et des clients de ses clients. Sa première question de conformité n'est donc pas de savoir comment il protège ces données, mais à quel titre il les détient : responsable du traitement pour ses propres obligations professionnelles, ou sous-traitant agissant pour le compte de l'entreprise cliente. La réponse n'est pas la même selon la mission, et elle commande tout le reste.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Responsable pour une mission, sous-traitant pour une autre

La qualification se fait mission par mission, au regard du critère de l'article 4.7 : détermine-t-on les finalités et les moyens du traitement. Elle ne se fait ni cabinet par cabinet, ni client par client, et une lettre de mission qui tranche une fois pour toutes en qualifiant le cabinet de sous-traitant pour l'ensemble de ses interventions décrit mal la réalité.

La tenue et la révision des comptes

Le cabinet exerce une mission réglementée, selon une méthodologie professionnelle qu'il ne tient pas de son client et dont il répond personnellement. Il détermine ainsi les moyens essentiels du traitement : la lecture la plus solide est celle du responsable du traitement, ce qui emporte pour lui des obligations propres d'information et de sécurité.

La production de la paie

Le cabinet applique les paramètres et les décisions de l'employeur, qui reste maître des finalités : il agit alors pour le compte de son client, et la relation relève de l'article 28. C'est la mission pour laquelle les clauses obligatoires du paragraphe 3 doivent figurer dans la lettre de mission ou dans son annexe.

Les obligations propres du cabinet

Vigilance à l'égard de la clientèle, facturation, prospection, gestion de son propre personnel : pour ces traitements, le cabinet est responsable sans discussion, et ce sont eux que l'on oublie dans les registres, précisément parce qu'ils ne concernent pas les clients.

La paie fait entrer des données de l'article 9 dans le cabinet

Un bulletin de paie est, pour l'essentiel, une donnée de droit commun. Mais la chaîne de production de la paie charrie des éléments qui n'en sont pas : arrêts de travail et leurs motifs, reconnaissance de la qualité de travailleur handicapé, absences pour raison médicale, saisies sur rémunération. Les premiers relèvent de la santé au sens de l'article 9.1 du règlement.

Le traitement de ces éléments est admis, au titre de l'article 9.2 b), lorsqu'il est nécessaire aux fins de l'exécution des obligations et de l'exercice des droits propres au responsable ou à la personne concernée en matière de droit du travail et de sécurité sociale, dans la mesure autorisée par le droit applicable. L'exception existe donc, mais elle est étroite : elle couvre la gestion de l'absence et de l'indemnisation, pas la conservation du motif médical détaillé dans le dossier du salarié, ni sa visibilité par le gestionnaire courant.

Le portail d'échange est le point d'exposition réel

L'essentiel du risque d'un cabinet ne se situe pas dans son logiciel de production mais dans les canaux par lesquels les pièces arrivent et repartent : messagerie, plateformes de dépôt, applications mobiles de collecte de justificatifs. L'article 32 du règlement impose des mesures appropriées au risque, et la circulation en pièce jointe non chiffrée de bulletins de paie ou de pièces d'identité ne les satisfait pas.

Deux mesures concentrent l'effet pratique. La gestion des habilitations sur le portail, qui suppose une revue périodique des comptes des collaborateurs et, surtout, des comptes des clients partis. Et la traçabilité des accès aux dossiers, qui est ce qui permet, en cas d'incident, de délimiter l'étendue de la violation et de déterminer si elle doit être notifiée.

Archivage : une obligation de conserver, pas de tout garder actif

Les obligations de conservation propres à la matière comptable et fiscale imposent de garder des pièces plusieurs années. Elles ne commandent pas que ces pièces restent accessibles depuis l'environnement de production courant, ce qui est la situation la plus répandue dans les cabinets.

La distinction entre base active et archivage intermédiaire est ici la mesure la plus efficace, et l'une des rares qui réduise simultanément le risque de conformité et le risque opérationnel : les dossiers clos sortent de l'accès courant, restent conservés sous accès restreint le temps requis, et sont purgés à l'échéance selon une règle écrite. Sans cette séparation, la durée de conservation affichée au registre n'a pas de traduction réelle.

Questions fréquentes

Un expert-comptable est-il sous-traitant de son client au sens du RGPD ?

Pas pour l'ensemble de ses missions. Sur la tenue et la révision, il applique une méthodologie professionnelle dont il répond personnellement et détermine ainsi les moyens essentiels du traitement, ce qui en fait un responsable du traitement. Sur la production de la paie, où il exécute les décisions de l'employeur, il agit pour le compte de son client et relève de l'article 28. La lettre de mission doit distinguer les deux.

Un cabinet comptable doit-il désigner un délégué à la protection des données ?

Le seul volume de dossiers traités ne déclenche pas mécaniquement l'article 37.1. Ni le suivi régulier et systématique à grande échelle du point b), ni le traitement à grande échelle de données de l'article 9 du point c) ne sont acquis pour une activité comptable ordinaire. La désignation reste fréquemment volontaire, et elle est alors un choix d'organisation, qui doit être notifié à l'autorité de contrôle comme une désignation obligatoire.

Peut-on conserver les arrêts de travail des salariés des clients ?

L'article 9.2 b) du règlement admet le traitement nécessaire à l'exécution des obligations en matière de droit du travail et de sécurité sociale. La conservation de l'information d'absence et des éléments nécessaires à l'indemnisation entre dans ce cadre ; celle du motif médical détaillé, au-delà de ce que la gestion exige, n'y entre pas, et l'accès doit dans tous les cas être restreint aux personnes qui en ont l'usage.

Le secret professionnel dispense-t-il des obligations du RGPD ?

Non. Le secret interdit la divulgation ; le règlement encadre le traitement, y compris en l'absence de toute divulgation. Un cabinet peut observer strictement le secret et rester en écart sur le registre, l'information des personnes, les durées de conservation ou la sécurité des échanges, qui sont des obligations d'une autre nature.

Ce que ce régime déclenche ailleurs

Un cabinet tient deux registres au titre de l'article 30 : celui de ses traitements propres, au paragraphe 1, et celui des traitements effectués pour le compte de ses clients, au paragraphe 2.

Tenir le registre des activités de traitement

Pièces exigibles d'un candidat locataire, sort des dossiers non retenus, gestion locative et de copropriété, prospection de vendeurs et sous-traitance des outils métier.

Immobilier

Obligations déclaratives et minimisation, canaux de réservation et intermédiaires, fidélité, vidéoprotection, wifi client et durées de conservation.

Hôtellerie

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.