Guide sectoriel

RGPD pour experts-comptables : guide complet et audit gratuit 2026

Les experts-comptables manipulent des données particulièrement sensibles (revenus, situations familiales, données salariés clients, données bancaires) tout en étant soumis au secret professionnel (Art. 21 Ordonnance 1945 sur l'expertise comptable). Le Conseil Supérieur de l'Ordre des Experts-Comptables (CSOEC) a publié plusieurs guides RGPD et un kit dédié. Les obligations cumulent : DPA avec chaque client (responsable de traitement) ET avec chaque sous-traitant (Cegid, EBP, Sage, ACD), registre des traitements obligatoire, DPO recommandé voire obligatoire (traitement à grande échelle), sécurisation des fiches paie et déclarations sociales, transferts internationaux pour les cabinets utilisant des outils US (Microsoft 365, QuickBooks). La CNIL a renforcé ses contrôles depuis 2023 suite à plusieurs fuites majeures dans des cabinets ayant subi ransomware.

5 obligations RGPD spécifiques aux experts-comptables

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Signer un DPA avec chaque client (sous-traitant Art. 28)

Le cabinet est sous-traitant pour les données clients (paies, comptabilité). DPA conforme Art. 28 obligatoire : finalités, sécurité, sous-traitants ultérieurs (Sage, Cegid), procédure breach, restitution fin de mission.

2

Maintenir registres des traitements client ET cabinet

Deux registres distincts : (1) traitements pour clients (sous-traitant), (2) traitements internes cabinet (RH, marketing, facturation). Modèle CSOEC disponible. Mise à jour annuelle.

3

Sécuriser logiciels métier (Cegid, Sage, EBP, ACD)

Authentification forte (2FA obligatoire), accès par habilitations, chiffrement disque, sauvegarde chiffrée hors site, mises à jour de sécurité hebdomadaires. Vérifier hébergement UE des éditeurs cloud.

4

Conserver les données clients selon obligations légales

Comptabilité : 10 ans (Art. L.123-22 Code commerce). Paie : 5 ans bulletins, 50 ans pour retraite. Déclarations fiscales : 6 ans. Au-delà : archivage hors ligne ou destruction documentée.

5

DPO obligatoire pour cabinets de plus de 250 salariés ou clients

Traitement à grande échelle de données sensibles (revenus, paies) = DPO obligatoire (Art. 37 RGPD). DPO interne formé ou mutualisé via CSOEC : 200-500 €/mois. Cabinets < 50 clients : recommandé.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2024
2,2 M€
DOCTOLIB (analogie données sensibles)

Manquement à la sécurité des données de santé hébergées (proche cabinets paie/santé).

CNIL délibération SAN-2024-001
2022
20 000 €
Cabinet d'huissiers

Conservation excessive de données, défaut de procédure de suppression.

CNIL délibération SAN-2022-011
2023
Mise en demeure
Cabinet expertise comptable (ransomware)

Fuite de données suite à ransomware, absence de sauvegardes chiffrées hors site.

CNIL MED-2023-009

Comment vérifier votre conformité RGPD en tant que comptables

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Cegid et Sage sont-ils conformes RGPD ?
Oui les éditeurs français Cegid, Sage, EBP, ACD sont conformes RGPD avec hébergement UE et DPA disponibles. Vérifier conventions de sous-traitance, certifications (ISO 27001), 2FA activé.
Combien de temps conserver les pièces comptables d'un ancien client ?
10 ans à compter de la clôture de l'exercice (Art. L.123-22 Code commerce). 5 ans après fin de mission pour responsabilité civile professionnelle. Archivage hors ligne au-delà.
Mon obligation au secret professionnel me dispense-t-elle du RGPD ?
Non, les deux régimes se cumulent. Secret professionnel impose confidentialité absolue ; RGPD impose documentation, sécurité, droits des personnes. Aucun ne prime, ils coexistent.
Puis-je utiliser Microsoft 365 ou QuickBooks pour mes clients ?
Possible avec DPA + DPF + vérification non-réutilisation. Préférer alternatives UE (OnlyOffice, Cegid, Sage Cloud, ACD Cloud) pour souveraineté et simplification audit.
Dois-je nommer un DPO pour mon cabinet de 8 collaborateurs ?
Recommandé. Obligatoire si traitement à grande échelle (300+ clients, ou clients ayant beaucoup de salariés). DPO mutualisé via CSOEC ou externalisé : 200-500 €/mois.
Mon client demande la suppression de ses données : puis-je refuser ?
Suppression obligatoire après fin de mission, sous réserve obligations légales (10 ans comptabilité). Anonymisation pour preuves antérieures. Procédure documentée.
Que faire si je subis un ransomware avec données clients ?
Ne pas payer. Notification ANSSI + CNIL sous 72h + clients impactés + Bâtonnier OEC. Restaurer depuis sauvegardes chiffrées hors ligne (obligatoires). Plainte préfecture.
Le RGPD s'applique-t-il à mes données prospects (CRM cabinet) ?
Oui pleinement. Base prospect : durée 3 ans après dernier contact, droit d'opposition, mention dans politique. Pas d'achat de fichiers sans consentement vérifié.

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.