Un cabinet d’expert-comptable doit-il devenir l’architecte proactif de la conformité de ses clients, presque un DPO externalisé ? Ou strictement s’en tenir à son rôle de sous-traitant pour protéger son propre périmètre de responsabilité ? Deux experts s’affrontent. Voici la synthèse de leur échange, et la méthode pour trancher dans votre cabinet.
| L’ouvrage de référence La conformité des données n’est plus une option pour la profession du chiffre. Faites-en une force. |
Acheter le livre
Pourquoi votre cabinet est une cible de premier plan
Pour paralyser une entreprise ou usurper des identités à grande échelle, ce n’est plus la banque que l’on vise : c’est le cabinet d’expertise comptable. Bulletins de paie, numéros de sécurité sociale, arrêts maladie, déclarations de patrimoine, comptabilité : tout y est concentré. Une véritable mine d’or pour les attaquants, et un point de contrôle privilégié pour la CNIL.
| Le risque chiffré Jusqu’à 20 millions d’euros, ou 4 % du chiffre d’affaires mondial : c’est le plafond des sanctions RGPD. S’y ajoutent les contrôles de l’Ordre, les cyberattaques en cascade et l’atteinte à la réputation. |
La question qui divise la profession
Au cœur de l’échange, une question presque existentielle pour la profession : jusqu’où le cabinet doit-il aller ? Deux positions s’opposent.
| La thèse du conseil | La thèse de la prudence |
|---|---|
| « Le prolongement naturel de notre devoir de conseil. » Transformer la contrainte en avantage concurrentiel et en nouvelle mission. Une vue à 360° qui positionne le cabinet en tiers de confiance. Diagnostics, registre, DPO mutualisé : une offre à vendre. | « Une expansion qui brouille des rôles définis très strictement. » Protéger d’abord la frontière des responsabilités. Le cabinet subit déjà une double exposition aux risques. Trop accompagner, c’est absorber la responsabilité du client. |
Les points chauds du débat
La double exposition
Le cabinet est responsable de traitement pour sa propre gestion (ses salariés, ses bases de données) et sous-traitant pour les missions de ses clients. Confondre ces deux casquettes est la première erreur relevée par la CNIL lors de ses contrôles. Le client, lui, reste le seul responsable de traitement de ses propres salariés.
Devoir d’alerte, ou ingérence ?
L’article 28.3 du RGPD impose au sous-traitant d’informer immédiatement le responsable si une instruction enfreint la réglementation. Devoir d’alerte, donc : on ne peut pas fermer les yeux. Mais alerter n’est pas agir à la place de l’autre. L’image retenue dans le débat : un ophtalmologue qui décèle un problème cardiaque alerte son patient, il ne l’opère pas à cœur ouvert.
| Cas pratique : le droit d’accès Un salarié du client demande au cabinet l’accès à ses données de paie (article 15). Le réflexe serviable serait de lui envoyer son bulletin. C’est une faute de positionnement : le cabinet doit relayer la demande au client, seul responsable. Intervenir directement court-circuite le responsable de traitement. |
La paie, ce sont des données de santé
Un bulletin de paie n’est pas qu’une suite de chiffres. Arrêts de travail, invalidité : ce sont des données de santé relevant de l’article 9, auxquelles s’ajoutent les coordonnées bancaires. Plus les données sont sensibles, plus la rigueur sur la répartition des rôles s’impose.
DPO externe ou mutualisé : l’opportunité et sa condition
Le rôle de DPO externe ou mutualisé est explicitement possible, et c’est une vraie opportunité pour la profession. Sa condition : l’indépendance. L’article 38 exige une absence totale de conflit d’intérêt. Tout repose alors sur une lettre de mission claire et sur des livrables standardisés mais adaptés (politique de conservation, modèle de registre), plutôt que sur une substitution au client. Le boulanger du coin n’embauchera jamais un DPO à plein temps : le cabinet, déjà tiers de confiance, est le mieux placé pour répondre à ce besoin, à condition de cadrer son rôle.
Les nouveaux fronts : facturation électronique, IA, transferts, cyber
La facturation électronique (calendrier 2026-2027) et la montée de l’intelligence artificielle ajoutent des obligations de conseil : choix d’une plateforme agréée, minimisation des données, contrats de « sous-traitance ultérieure » conformes à l’article 28 pour chaque nouvel outil. S’y ajoute la localisation des données : un logiciel qui héberge aux États-Unis ouvre une faille au regard de l’arrêt Schrems II. Et la cybersécurité, bientôt encadrée par la directive NIS2, impose chiffrement et sauvegardes déconnectées contre les rançongiciels.
Le point d’accord
Au-delà de leur désaccord sur l’étendue du rôle, les deux experts convergent : le cabinet est devenu un carrefour critique, cible de premier plan pour les données sensibles. L’identification rigoureuse des rôles, « la pierre angulaire de la démarche », est indispensable avant la moindre action. La profession se tient au croisement d’anciennes règles très ancrées, le secret professionnel issu de l’ordonnance de 1945, et de régulations nouvelles et imposantes : RGPD, intelligence artificielle, bientôt NIS2. Il n’y a pas de vainqueur : à chaque structure de trouver son juste milieu.
| Le bon réflexe Le secret professionnel de l’expert-comptable et le RGPD se renforcent mutuellement. Bien articulés, ils positionnent le cabinet en tiers de confiance absolu. |
La réponse : l’ouvrage de référence
Aucun ouvrage ne traitait, jusqu’ici, ces sujets spécifiquement pour la profession. C’est désormais chose faite. Écrit par DPO FRANCE, spécialiste de la conformité des cabinets, « La conformité RGPD des cabinets d’expertise comptable et de commissariat aux comptes 2026 » donne une méthode claire, des outils prêts à l’emploi et une longueur d’avance. Plus de 200 pages pour passer, concrètement, de la lecture à l’action.
Ce que vous allez y trouver
- Une méthode pas à pas pour mettre votre cabinet en conformité, et surtout pour le prouver.
- La qualification de votre rôle, responsable ou sous-traitant, mission par mission : paie, comptabilité, déclaratif, secrétariat, audit.
- La sécurité des données clients, la gestion des violations sous 72 heures et la préparation d’un contrôle de la CNIL.
- Un décryptage complet de NIS2 et du règlement européen sur l’IA, avec l’analyse des outils nommés : ChatGPT, Copilot, Gemini, Claude, Mistral.
- Les spécificités du commissariat aux comptes, secret professionnel et restriction d’accès aux données sensibles.
- Une offre clé en main pour accompagner vos propres clients et ouvrir une nouvelle source de missions.
- Treize annexes opérationnelles : registre, clauses de l’article 28, durées de conservation, politique de confidentialité, procédure de violation, grille d’auto-audit, charte IA, glossaire, et plus encore.
| Une structure pensée pour l’action Chaque chapitre suit le même fil : du cadre réglementaire aux cas pratiques, à la FAQ, à la checklist et au repère « En pratique avec DPO FRANCE ». |
Pour qui ? Experts-comptables, commissaires aux comptes, associés et collaborateurs, responsables conformité, délégués à la protection des données internes, externes ou mutualisés, réseaux, associations de gestion et cabinets internationaux.
De la lecture à l’action : l’accompagnement DPO FRANCE
Le livre donne la méthode. DPO FRANCE vous accompagne pour l’exécuter, selon deux modèles au choix, à valeur égale.
| DPO externalisé | En marque blanche |
|---|---|
| « Nous sommes votre DPO. » DPO FRANCE devient le DPO externe de votre cabinet, et de vos clients qui le souhaitent. Indépendance conforme à l’article 38, conformité documentée, contrôle CNIL préparé. Votre cabinet affiche un DPO de métier, sans recrutement. | « Votre marque, notre expertise. » Vous proposez l’accompagnement RGPD sous votre propre nom. DPO FRANCE opère en coulisses. Vous ouvrez une nouvelle source de missions et de revenus récurrents. Aucune expertise à bâtir en interne : nous la fournissons. |
Dans les deux cas, vous disposez de :
- Diagnostic de conformité et grille d’auto-audit.
- Registre des traitements et clauses de l’article 28.
- Politique de durée de conservation et procédure de violation sous 72 heures.
- DPO mutualisé, préparation aux contrôles, veille NIS2 et IA.
Donnez à votre cabinet l’avance que vos clients attendent
Deux pas pour avancer : procurez-vous l’ouvrage, puis parlons de votre accompagnement, en direct ou en marque blanche.
