Guide de mise en conformité RGPD pour le traitement des données comptables en cabinet

Publié le 2026-11-11 · Jérôme Denis — JDENIS Consulting, Toulouse. Expert Collège Numérique France 2030.

Photo : Artem Podrez — Pexels

La mise en conformité du traitement des données comptables selon le Règlement général sur la protection des données (RGPD) impose aux cabinets d'expertise comptable d'identifier les informations personnelles présentes dans les pièces financières, de documenter leurs flux dans un registre des activités et de sécuriser contractuellement leurs échanges. Les factures nominatives, les relevés bancaires, les notes de frais et les éléments préparatoires de paie constituent des traitements de données à caractère personnel soumis aux obligations européennes. Cette démarche technique protège la responsabilité civile et pénale du professionnel du chiffre tout en consolidant les processus internes avant le déploiement de la facturation électronique prévu pour le 1er septembre 2026.

Quelles données comptables relèvent du champ d'application du RGPD ?

Une donnée comptable relève du RGPD dès qu'elle permet d'identifier directement ou indirectement une personne physique au sein d'une pièce justificative ou d'une écriture financière. Les cabinets manipulent quotidiennement des informations sur les entrepreneurs individuels, les salariés de leurs clients, les dirigeants ainsi que les clients et fournisseurs personnes physiques.

Dans la pratique comptable, la frontière entre donnée purement commerciale et donnée personnelle est ténue. Une facture adressée à une société de capitaux porte souvent le nom, le numéro de téléphone direct ou l'adresse électronique d'un contact opérationnel. Pour une entreprise individuelle, une profession libérale ou un artisan, le nom patronymique compose l'identité même de l'entité, ce qui place l'ensemble des écritures rattachées sous la surveillance du règlement européen.

Les pièces justificatives courantes contiennent des catégories précises d'informations :

• Les factures d'achat et de vente mentionnent des identités, des adresses postales privées et des coordonnées bancaires sous forme de RIB ou d'IBAN.
• Les notes de frais exposent les habitudes de déplacement, les lieux de restauration et parfois des données relatives aux infractions routières avec le paiement d'amendes.
• Les dossiers de paie et déclarations sociales regroupent des numéros d'inscription au répertoire national (NIR), des situations de famille, des montants de rémunération ainsi que des motifs d'absence liés à des arrêts maladie.
• Les relevés bancaires professionnels intègrent des opérations mixtes où apparaissent des dépenses personnelles de dirigeants.

Le traitement de ces données ne se limite pas à leur enregistrement dans le grand livre. La collecte, la numérisation, l'indexation par reconnaissance optique de caractères (OCR), l'hébergement sur des serveurs distants et la restitution sous forme de tableaux de bord constituent chacun une opération de traitement régie par les textes légaux.

Quel statut juridique l'expert-comptable détient-il face au RGPD ?

Photo : Tima Miroshnichenko — Pexels

L'expert-comptable détient la qualité de responsable de traitement pour ses missions légales de tenue et de révision comptable, et celle de sous-traitant lorsqu'il exécute des prestations techniques sur instruction expresse, comme l'établissement des fiches de paie. Cette distinction détermine l'étendue des obligations contractuelles et le niveau de responsabilité du cabinet devant les autorités de contrôle.

Le responsable de traitement fixe les finalités et les moyens des opérations. Pour les missions d'établissement des comptes annuels, l'expert-comptable applique les normes professionnelles de l'Ordre des experts-comptables et les obligations issues du Code de commerce. Il détermine seul les outils de révision, la structure des dossiers de travail et les modalités d'échantillonnage des contrôles. À ce titre, le cabinet porte la pleine responsabilité de la conformité du traitement des données comptables qu'il collecte.

La situation diffère pour la gestion sociale. Lors de l'émission des bulletins de salaire et de la télédéclaration des cotisations via la DSN, le cabinet agit pour le compte et sur les instructions documentées de son client. L'entreprise cliente reste responsable du traitement de ses données de ressources humaines. L'expert-comptable intervient alors comme sous-traitant au sens de l'article 28 du RGPD, ce qui exige la signature d'une convention spécifique précisant les engagements de sécurité, d'assistance et de restitution des fichiers en fin de contrat.

Cette dualité impose aux structures d'exercice comptable d'adapter leurs lettres de mission. L'insertion de clauses RGPD standardisées ne suffit pas : il convient de séparer formellement les mandats de tenue comptable des mandats sociaux pour clarifier les rôles respectifs des parties.

Comment articuler les durées de conservation comptables et les principes du RGPD ?

Le principe de limitation de la conservation s'articule avec les obligations légales de conservation des pièces comptables par la mise en place d'un archivage intermédiaire sécurisé. Alors que le droit commercial impose de conserver les livres et documents comptables pendant dix ans, les données personnelles doivent être purgées ou anonymisées dès que leur finalité de gestion courante expire.

Le Code de commerce exige dans son article L. 123-22 la conservation des pièces justificatives et des livres comptables pendant une durée de dix ans à compter de la clôture de l'exercice. Parallèlement, le Code général des impôts fixe le délai de reprise de l'administration fiscale à trois ans en matière d'impôt sur le revenu et d'impôt sur les sociétés, avec des extensions possibles à six ou dix ans en cas d'activités occultes ou de déficits reportés. Le RGPD n'annule pas ces obligations : son article 6 prévoit que le traitement est licite lorsqu'il est nécessaire au respect d'une obligation légale.

La gestion du cycle de vie des données comptables suit trois étapes successives :

1. La base active regroupe les dossiers des clients en cours d'exercice et les déclarations de l'année. Les collaborateurs accèdent directement aux pièces nécessaires à la clôture.
2. L'archivage intermédiaire intervient après la validation de la liasse fiscale et des comptes annuels. Les dossiers sont isolés avec des droits d'accès restreints aux seuls associés et juristes du cabinet, afin de répondre aux vérifications de comptabilité ou aux litiges éventuels pendant le délai de dix ans.
3. La purge définitive ou l'anonymisation irréversible des dossiers au terme des dix exercices complets, sous réserve de contentieux en cours.

La conservation indéfinie de sauvegardes de dossiers comptables anciens sur des disques durs non régulés viole le principe de minimisation. L'accès à ces archives doit être auditable et faire l'objet de procédures automatiques d'effacement.

Quelles mesures de sécurité techniques et organisationnelles faut-il déployer ?

Photo : Mikhail Nilov — Pexels

Les mesures de sécurité obligatoires comprennent le chiffrement des données au repos et en transit, la gestion granulaire des habilitations d'accès et l'authentification multifacteur sur tous les outils métier. Ces dispositifs protègent les secrets d'affaires et les données personnelles contre les altérations, les pertes accidentelles et les accès non autorisés.

L'envoi de fichiers contenant des données financières par messagerie électronique sans protection présente un risque élevé d'interception. Les experts-comptables doivent privilégier l'usage de portails clients sécurisés dotés de canaux chiffrés (protocole TLS récent) pour la collecte des factures, des relevés et des variables de paie. L'authentification multifacteur (MFA) constitue désormais un standard technique incontournable pour accéder aux outils de production comptable en mode SaaS.

Sur le plan organisationnel, la séparation des accès en fonction des portefeuilles clients évite les consultations illégitimes par des collaborateurs non affectés au dossier. La traçabilité des connexions et des modifications d'écritures garantit l'intégrité de la chaîne comptable. Par ailleurs, des politiques régulières de sauvegarde immuable (hors ligne ou sur stockage en écriture unique WORM) préservent le cabinet des attaques par rançongiciel, dont la fréquence s'accroît sur les structures traitant des flux financiers.

La future généralisation de la facturation électronique, prévue pour entrer en vigueur le 1er septembre 2026 pour la réception universelle et l'émission des grandes structures, puis le 1er septembre 2027 pour les PME et TPE, renforce cette exigence. Les plateformes de dématérialisation partenaires (PDP) et le portail public de facturation manipuleront des volumes massifs de métadonnées de facturation. Sécuriser les flux actuels prépare directement les cabinets à ces nouvelles architectures d'échanges numériques standardisés.

Comment gérer la relation avec les sous-traitants et les éditeurs de logiciels ?

La conformité du cabinet dépend directement de celle de son écosystème logiciel, imposant la tenue d'un inventaire des prestataires et la vérification de leurs garanties de sécurité. Les éditeurs de plateformes de production comptable, de solutions OCR, de logiciels de paie et d'infrastructures de serveurs sont tous des sous-traitants au sens du RGPD.

Avant d'adopter un logiciel comptable hébergé dans le cloud, l'expert-comptable doit valider la localisation géographique des centres de données. Tout transfert de données vers un pays situé en dehors de l'Union européenne exige un encadrement juridique strict, tel que des clauses contractuelles types de la Commission européenne ou un cadre d'adéquation reconnu. Les contrats de prestation de services informatiques doivent stipuler clairement que l'éditeur s'interdit de réutiliser les données des clients du cabinet pour ses propres finalités, y compris pour l'entraînement d'algorithmes d'intelligence artificielle, sans consentement explicite.

Le cabinet consigne l'identité de chaque sous-traitant dans son registre interne. Cette cartographie permet d'informer sans délai les clients finaux en cas de changement de prestataire ou de violation de données touchant l'infrastructure d'un éditeur partenaire.

Cas pratique : comment auditer et régulariser un dossier client de A à Z ?

L'audit de conformité d'un dossier client s'articule autour d'une analyse systématique des flux entrants, des méthodes de stockage et des canaux de restitution financière. L'application d'une méthodologie rigoureuse permet de normaliser les dossiers en cinq étapes consécutives.

Prenons l'exemple d'un dossier d'entreprise de mécanique générale employant douze salariés, confié à un cabinet pour la saisie comptable, la TVA et l'établissement des bulletins de salaire.

1. Recensement des flux d'entrée : le cabinet constate que le dirigeant transmettait les notes de frais et les fiches d'heures par des courriels simples, accompagnés de pièces jointes non chiffrées. Décision : ouverture d'un espace collaboratif dédié sur le portail client, imposant un identifiant personnel et un code à usage unique pour tout dépôt de document.
2. Tri des données collectées : l'examen des notes de frais révèle la présence d'avis de contravention contenant le nom et le numéro de permis des conducteurs. Décision : modification des consignes transmises au client. Seul le montant de l'amende et sa justification fiscale sont saisis en comptabilité ; la copie du procès-verbal est restituée au client ou détruite sans être archivée dans la GED du cabinet.
3. Mise à jour contractuelle : la lettre de mission initiale, antérieure à 2018, ne comporte aucune référence aux obligations de l'article 28 du RGPD pour le volet paie. Décision : signature d'un avenant de sous-traitance sociale précisant les finalités de la collecte du numéro de sécurité sociale et formalisant l'obligation de restitution des bases de paie en cas de rupture de mandat.
4. Politique de purge : le dossier informatique contient des copies de factures fournisseurs et des relevés de comptes remontant à quatorze ans. Décision : application d'une règle de tri automatique déplaçant les données de plus de dix exercices vers une zone de destruction après visa de l'associé référent.
5. Sécurisation des restitutions : le cabinet adressait les bilans et les déclarations d'impôt sur le revenu par courriel non protégé. Décision : transmission exclusive via la plateforme chiffrée avec notification d'alerte, supprimant la présence de pièces justificatives sensibles dans les boîtes de réception des collaborateurs.

La mise en œuvre de cette démarche permet de limiter l'exposition du cabinet aux risques de fuite de données et d'aligner l'organisation sur les exigences documentaires de la Commission nationale de l'informatique et des libertés (CNIL).

Sources

CNIL — Commission Nationale de l'Informatique et des Libertés

Ministère de l'Économie, des Finances et de la Souveraineté industrielle et numérique — Cadre légal et économique

Direction Générale des Finances Publiques — Facturation électronique et délais de conservation

France Num — Sécurisation numérique des TPE et PME

À propos de l'auteur

Jérôme Denis — JDENIS Consulting, Toulouse. Expert Collège Numérique France 2030. Références : Production au Carrousel du Louvre (salon Art Shopping) ; 277 000 € de non-qualité analysés chez SPELEM ; saisie divisée par 30. Automatisez ce qui vous ralentit. Anticipez ce qui vous attend. Démonstration de 15 minutes — jdenis@jaydenis.com · 06 59 24 20 05

Questions fréquentes

L'expert-comptable est-il toujours sous-traitant au sens du RGPD ?

Non. L'expert-comptable agit comme responsable de traitement pour ses missions légales de tenue et de révision comptable régies par le Code de commerce. Il n'est qualifié de sous-traitant que pour des missions déléguées exécutées sur les instructions documentées de son client, à l'image de la gestion de la paie.

Combien de temps un cabinet peut-il conserver les pièces justificatives des clients ?

Les pièces justificatives comptables doivent être conservées pendant dix ans à compter de la clôture de l'exercice, conformément au Code de commerce. Au-delà de cette durée légale, les données personnelles qu'elles contiennent doivent être supprimées ou anonymisées.

La transmission de documents comptables par e-mail simple est-elle autorisée par le RGPD ?

L'e-mail standard n'offre pas un niveau de sécurité suffisant pour le transfert de données financières ou nominatives sensibles. La CNIL recommande l'usage de liaisons chiffrées ou de portails clients sécurisés avec authentification forte.

Quel est l'impact de la facturation électronique sur la conformité RGPD des cabinets ?

La facturation électronique obligera les cabinets à faire transiter de gros volumes de données de facturation par des plateformes agréées à partir du 1er septembre 2026. Cela nécessite de valider au préalable la conformité RGPD et la sécurité des protocoles de transmission des données clients.

Quels risques encourt un cabinet d'expertise comptable non conforme au RGPD ?

En cas de contrôle ou de fuite de données, le cabinet s'expose à des sanctions administratives de la CNIL pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, ainsi qu'à des poursuites en responsabilité civile de la part de ses clients.