Sector guide

GDPR for Comptables: complete guide and free audit 2026

Les experts-comptables manipulent des données particulièrement sensibles (revenus, situations familiales, données salariés clients, données bancaires) tout en étant soumis au secret professionnel (Art. 21 Ordonnance 1945 sur l'expertise comptable). Le Conseil Supérieur de l'Ordre des Experts-Comptables (CSOEC) a publié plusieurs guides RGPD et un kit dédié. Les obligations cumulent : DPA avec chaque client (responsable de traitement) ET avec chaque sous-traitant (Cegid, EBP, Sage, ACD), registre des traitements obligatoire, DPO recommandé voire obligatoire (traitement à grande échelle), sécurisation des fiches paie et déclarations sociales, transferts internationaux pour les cabinets utilisant des outils US (Microsoft 365, QuickBooks). La CNIL a renforcé ses contrôles depuis 2023 suite à plusieurs fuites majeures dans des cabinets ayant subi ransomware.

5 GDPR obligations specific to Comptables

These points are systematically checked during a DPA audit in your sector.

1

Signer un DPA avec chaque client (sous-traitant Art. 28)

Le cabinet est sous-traitant pour les données clients (paies, comptabilité). DPA conforme Art. 28 obligatoire : finalités, sécurité, sous-traitants ultérieurs (Sage, Cegid), procédure breach, restitution fin de mission.

2

Maintenir registres des traitements client ET cabinet

Deux registres distincts : (1) traitements pour clients (sous-traitant), (2) traitements internes cabinet (RH, marketing, facturation). Modèle CSOEC disponible. Mise à jour annuelle.

3

Sécuriser logiciels métier (Cegid, Sage, EBP, ACD)

Authentification forte (2FA obligatoire), accès par habilitations, chiffrement disque, sauvegarde chiffrée hors site, mises à jour de sécurité hebdomadaires. Vérifier hébergement UE des éditeurs cloud.

4

Conserver les données clients selon obligations légales

Comptabilité : 10 ans (Art. L.123-22 Code commerce). Paie : 5 ans bulletins, 50 ans pour retraite. Déclarations fiscales : 6 ans. Au-delà : archivage hors ligne ou destruction documentée.

5

DPO obligatoire pour cabinets de plus de 250 salariés ou clients

Traitement à grande échelle de données sensibles (revenus, paies) = DPO obligatoire (Art. 37 RGPD). DPO interne formé ou mutualisé via CSOEC : 200-500 €/mois. Cabinets < 50 clients : recommandé.

Real DPA fines in this sector

Documented cases. Official sources available on cnil.fr.

2024
2,2 M€
DOCTOLIB (analogie données sensibles)

Manquement à la sécurité des données de santé hébergées (proche cabinets paie/santé).

CNIL délibération SAN-2024-001
2022
20 000 €
Cabinet d'huissiers

Conservation excessive de données, défaut de procédure de suppression.

CNIL délibération SAN-2022-011
2023
Mise en demeure
Cabinet expertise comptable (ransomware)

Fuite de données suite à ransomware, absence de sauvegardes chiffrées hors site.

CNIL MED-2023-009

How to check your GDPR compliance as Comptables

RGPDScan automatically audits your website against 30+ DPA checkpoints. Detailed report in 60 seconds, with sector-specific recommendations.

  • Cookies and trackers detection
  • AI dark pattern analysis
  • Non-EU data transfers detected
  • Quantified fine risk

Frequently asked questions

Cegid et Sage sont-ils conformes RGPD ?
Oui les éditeurs français Cegid, Sage, EBP, ACD sont conformes RGPD avec hébergement UE et DPA disponibles. Vérifier conventions de sous-traitance, certifications (ISO 27001), 2FA activé.
Combien de temps conserver les pièces comptables d'un ancien client ?
10 ans à compter de la clôture de l'exercice (Art. L.123-22 Code commerce). 5 ans après fin de mission pour responsabilité civile professionnelle. Archivage hors ligne au-delà.
Mon obligation au secret professionnel me dispense-t-elle du RGPD ?
Non, les deux régimes se cumulent. Secret professionnel impose confidentialité absolue ; RGPD impose documentation, sécurité, droits des personnes. Aucun ne prime, ils coexistent.
Puis-je utiliser Microsoft 365 ou QuickBooks pour mes clients ?
Possible avec DPA + DPF + vérification non-réutilisation. Préférer alternatives UE (OnlyOffice, Cegid, Sage Cloud, ACD Cloud) pour souveraineté et simplification audit.
Dois-je nommer un DPO pour mon cabinet de 8 collaborateurs ?
Recommandé. Obligatoire si traitement à grande échelle (300+ clients, ou clients ayant beaucoup de salariés). DPO mutualisé via CSOEC ou externalisé : 200-500 €/mois.
Mon client demande la suppression de ses données : puis-je refuser ?
Suppression obligatoire après fin de mission, sous réserve obligations légales (10 ans comptabilité). Anonymisation pour preuves antérieures. Procédure documentée.
Que faire si je subis un ransomware avec données clients ?
Ne pas payer. Notification ANSSI + CNIL sous 72h + clients impactés + Bâtonnier OEC. Restaurer depuis sauvegardes chiffrées hors ligne (obligatoires). Plainte préfecture.
Le RGPD s'applique-t-il à mes données prospects (CRM cabinet) ?
Oui pleinement. Base prospect : durée 3 ans après dernier contact, droit d'opposition, mention dans politique. Pas d'achat de fichiers sans consentement vérifié.

Audit your site in 60 seconds

Free GDPR scan. No credit card.