La particularité du cabinet : deux casquettes RGPD
Un cabinet d'expertise comptable occupe une position unique : il est responsable de traitement pour ses propres activités (ses salariés, ses clients, sa prospection), et sous-traitant quand il traite les données pour le compte de ses clients — la paie des salariés du client en est l'exemple canonique.
Conséquence directe : l'article 30 vous impose de tenir deux volets de registre — le registre de vos traitements propres (art. 30.1) et le registre de vos activités de sous-traitance (art. 30.2), qui liste pour quels clients vous traitez quoi. Beaucoup de cabinets n'ont formalisé ni l'un ni l'autre, alors qu'ils manient des données parmi les plus sensibles du tissu économique : rémunérations, situations familiales, coordonnées bancaires, parfois saisies sur salaire ou arrêts maladie.
Les traitements types d'un cabinet
| Traitement | Casquette | Base légale | Durée indicative |
|---|---|---|---|
| Dossiers clients (tenue, révision, fiscal) | Responsable | Contrat / obligation légale | 10 ans (pièces comptables) |
| Paie pour le compte des clients | Sous-traitant | Contrat de mission | Selon instruction du client |
| Personnel du cabinet | Responsable | Obligation légale | 5 ans (bulletins) |
| Prospection / réseautage | Responsable | Intérêt légitime (B2B) | 3 ans après le dernier contact |
| Lettre de mission & LAB-FT | Responsable | Obligation légale | 5 ans après fin de relation |
Vos 5 obligations prioritaires
- Formaliser les deux volets du registre — traitements propres ET activités de sous-traitance (article 30.1 et 30.2).
- Vérifier vos lettres de mission : la clause protection des données (article 28) doit encadrer la paie et toute mission manipulant des données des salariés du client.
- Encadrer vos propres outils : logiciel de production, portail client, GED, hébergeur — vos sous-traitants à vous.
- Cloisonner les accès : chaque collaborateur n'accède qu'à ses dossiers ; les données de paie ne circulent pas par email non protégé.
- Préparer la réponse aux violations : un cabinet est une cible de choix (rançongiciels) — procédure 72 h écrite et sauvegardes testées.
À quoi ressemble le registre d'un cabinet, concrètement
Fiche « Paie clients » (volet sous-traitant) : POUR QUI — la liste de vos clients avec mission sociale ; QUOI — identités, rémunérations, situations familiales, IBAN des salariés de vos clients ; SUR QUELLE INSTRUCTION — la lettre de mission avec clause article 28 ; OÙ — votre logiciel de paie (hébergé UE, DPA signé) ; SÉCURITÉ — accès nominatifs, chiffrement, sauvegarde quotidienne.
Côté traitements propres, les fiches « Dossiers clients », « Personnel », « Prospection » suivent la structure classique : qui, quoi, pourquoi, où, jusqu'à quand.
Les erreurs qu'on voit le plus souvent
- Aucun registre du tout — « on est un petit cabinet » ne fait pas tomber l'obligation.
- Les bulletins de paie des clients envoyés en pièce jointe non protégée.
- Des lettres de mission antérieures à 2018 jamais mises à jour côté données.
- L'ancien collaborateur dont les accès n'ont jamais été coupés.
Faites-le en 30 minutes
Le modèle « cabinet comptable » de la plateforme distingue précisément les deux casquettes et déroule chaque fiche en questions guidées, score à l'appui. Au bout : votre rapport PDF officiel — celui qu'on aime pouvoir montrer quand on est soi-même le conseil de ses clients.