Qu’est-ce que le RGPD ? Guide complet

Un cabinet comptable traite chaque jour des centaines de données personnelles sensibles pour ses clients : numéros de sécurité sociale, coordonnées bancaires, bulletins de paie, bilans financiers. Ces données sont exactement au cœur de ce que le RGPD, le Règlement général sur la protection des données, a été conçu pour protéger. Pourtant, beaucoup de cabinets et de TPE/PME avancent encore à tâtons sur le sujet, entre crainte des sanctions et flou sur les obligations concrètes.

Ce guide ne répond pas à la question « qu’est-ce que le RGPD en théorie », mais à une question bien plus utile : que change-t-il pour vous, concrètement, en tant que cabinet ou entreprise en France ? Vous trouverez ici les droits à respecter, les obligations à mettre en place, les sanctions réelles prononcées par la CNIL, et une checklist pour démarrer ou vérifier votre niveau de conformité au RGPD.

Pourquoi le RGPD concerne particulièrement les cabinets comptables et leurs clients TPE/PME

Un cabinet d’expertise comptable porte souvent deux rôles distincts selon les situations. Pour ses propres données (personnel, prospects, fournisseurs), il est responsable de traitement. Pour les données de ses clients TPE/PME qu’il traite dans le cadre de sa mission de tenue comptable ou de gestion de la paie, il est sous-traitant au sens réglementaire. Cette double position crée des obligations distinctes, et les confondre est l’une des erreurs les plus fréquentes observées lors des contrôles.

En tant que sous-traitant, le cabinet doit impérativement signer un contrat conforme à l’article 28 du RGPD avec chaque client. Ce contrat précise la nature des traitements, les catégories de données et les obligations respectives. Le cabinet doit traiter les données uniquement sur instruction documentée du client, garantir la confidentialité, encadrer le recours à des sous-traitants ultérieurs, et restituer ou supprimer les données en fin de mission. La CNIL met à disposition une fiche pratique sur les contrats de sous-traitance pour guider la rédaction de ces clauses.

Les données traitées dans un cabinet ne sont pas anodines. Coordonnées bancaires, éléments de paie incluant les numéros de sécurité sociale, informations fiscales confidentielles : ces informations sont exactement celles qu’un incident de sécurité mettrait le plus gravement en danger. Le RGPD impose une vigilance proportionnelle au risque réel. Dans ce secteur, ce risque est structurellement élevé du fait de la nature même des données traitées, données de paie, identifiants fiscaux, relevés bancaires, dont la divulgation peut entraîner des préjudices sérieux pour les personnes concernées.

RGPD : les droits des personnes que votre structure doit être en mesure d’honorer

Le règlement reconnaît neuf droits aux personnes dont vous traitez les données. Les plus sollicités dans un contexte comptable et commercial sont le droit d’accès (savoir quelles données vous détenez sur elles), le droit de rectification (corriger des informations inexactes), le droit à l’effacement (supprimer des données devenues inutiles ou traitées sans base juridique valide) et le droit d’opposition. Chacun de ces droits doit pouvoir être exercé simplement, et vous devez y répondre dans les meilleurs délais, en pratique, dans un délai d’un mois.

Honorer ces droits ne se fait pas par hasard. Cela suppose d’avoir une cartographie de vos traitements, de savoir où se trouve chaque donnée, et d’avoir un interlocuteur identifié pour recevoir ces demandes. Un client qui demande à supprimer ses données après la fin du contrat, ou un salarié qui veut accéder à ses bulletins de paie archivés, doit obtenir une réponse. Si votre cabinet ne peut pas répondre à ces demandes de manière répétée, c’est un signal que la mise en conformité RGPD n’est pas terminée, et il convient alors de cartographier vos traitements, de formaliser une procédure de traitement des demandes et, le cas échéant, de faire appel à un délégué externe.

La base juridique du traitement conditionne aussi les droits applicables. Pour les traitements comptables et fiscaux, la base la plus fréquente est l’obligation légale, suivie de l’exécution du contrat de mission. Le consentement n’est généralement pas adapté à ces traitements obligatoires. Pour la prospection commerciale ou la communication auprès de clients existants, c’est l’intérêt légitime ou le consentement qui s’applique, et le droit d’opposition entre alors pleinement en jeu.

RGPD : les quatre obligations opérationnelles que vous ne pouvez pas ignorer

Tenir un registre des traitements

Le registre des traitements est le document central de votre conformité au RGPD. Il recense tous les traitements de données personnelles que vous effectuez, avec pour chacun la finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité associées. La CNIL propose un modèle simplifié en format tableur, conçu spécifiquement pour les TPE/PME et les petites structures, disponible sur son site officiel. Ce registre n’est pas un document à produire une fois pour toutes : il doit refléter la réalité de vos traitements à tout moment.

Pour le rendre utile sans qu’il devienne un fardeau, raisonnez par finalité métier, pas par logiciel. Chaque activité, gestion des clients, facturation, gestion de la paie, recrutement, prospection commerciale, site web, donne lieu à une fiche distincte. Un même outil peut servir à plusieurs traitements, et un traitement peut mobiliser plusieurs outils. Désignez un pilote du registre, même à temps très partiel, pour assurer sa mise à jour régulière.

Sécurité adaptée et notification des violations en 72 heures

Vous avez l’obligation de mettre en place des mesures techniques et organisationnelles proportionnées aux risques. Concrètement, cela couvre le chiffrement des données sensibles, la gestion des accès, la traçabilité des opérations et la sauvegarde régulière. En cas de violation de données, fuite, accès non autorisé, perte, vous devez notifier la CNIL dans les 72 heures suivant la découverte de l’incident, sauf si la violation ne présente aucun risque pour les personnes concernées.

Cette obligation de notification est fréquemment oubliée dans les petites structures, alors qu’elle figure régulièrement parmi les motifs de sanction prononcés par la CNIL en France. Plusieurs décisions publiques de l’autorité illustrent ce point : le défaut de notification constitue à lui seul un manquement sanctionnable, indépendamment des autres griefs retenus.

L’analyse d’impact pour les traitements à risque élevé

Pour tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une analyse d’impact sur la protection des données (AIPD) doit être réalisée avant la mise en œuvre. Dans le contexte d’un cabinet comptable, cela peut concerner le déploiement d’un outil d’automatisation traitant en masse des données de paie ou fiscales de milliers de tiers. L’analyse doit documenter les risques identifiés et les mesures prises pour les atténuer.

DPO : qui doit en désigner un et pourquoi tout le monde devrait y réfléchir

La désignation d’un délégué à la protection des données (DPO) est obligatoire dans trois situations définies par l’article 37 du RGPD : les autorités et organismes publics, les structures dont l’activité principale implique un suivi régulier et systématique à grande échelle des personnes, et celles dont l’activité principale consiste à traiter à grande échelle des données sensibles. Pour la plupart des cabinets comptables de taille moyenne, la désignation n’est pas légalement obligatoire.

Ce n’est pas la taille de la structure qui déclenche l’obligation, mais la nature et l’ampleur des traitements. Une PME classique n’est donc pas automatiquement concernée. En revanche, un cabinet traitant des données de paie pour des milliers de salariés de clients pourrait se retrouver dans le périmètre des traitements à grande échelle de données sensibles.

Même sans obligation légale, beaucoup de cabinets choisissent de désigner un délégué externe mutualisé pour structurer leur conformité au RGPD à moindre coût. Ce professionnel conseille, vérifie le respect du règlement, accompagne les analyses d’impact, gère les demandes d’exercice de droits et sert de point de contact avec la CNIL. C’est une décision de gouvernance, pas uniquement une contrainte réglementaire.

Ce que la CNIL sanctionne vraiment : des chiffres qui font réfléchir

Les montants des amendes prononcées ont fortement augmenté ces dernières années. Selon les bilans publiés par la CNIL, le total cumulé des amendes prononcées en France a atteint près de 487 millions d’euros en 2025. Pour illustrer l’éventail des décisions récentes : en janvier 2026, un opérateur de téléphonie mobile a écopé de 27 millions d’euros pour des manquements cumulés, durées de conservation non respectées, défaut de sécurité et absence de notification de violation aux personnes concernées. France Travail a reçu une amende de 5 millions d’euros pour ne pas avoir sécurisé correctement les données des demandeurs d’emploi. Le cadre légal fixe le plafond à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé.

L’analyse des décisions de la CNIL révèle un schéma récurrent : défaut de sécurité des données, non-respect des durées de conservation, absence de preuve du consentement en prospection commerciale, et absence de notification des violations. Ces manquements ne concernent pas uniquement les grandes entreprises. Selon les données publiées par la CNIL, les 23 sanctions simplifiées prononcées depuis janvier 2026, cumulant 133 750 euros, montrent clairement que les petites structures sont aussi dans le viseur de l’autorité de contrôle.

Checklist pratique pour initier ou vérifier votre conformité au RGPD

La mise en conformité ne se fait pas en une journée, mais elle commence par des actions claires et délimitées. Voici les premières étapes à mener :

• Cartographier vos traitements en vous appuyant sur le modèle de registre simplifié disponible sur le site de la CNIL, et désigner un pilote chargé de le maintenir à jour.
• Identifier pour chaque traitement sa base juridique (obligation légale, exécution du contrat, intérêt légitime), les données concernées et leur durée de conservation réelle.
• Vérifier que vos mentions d’information sont à jour sur tous vos supports : formulaires, contrats, site web.
• Contrôler que vos contrats de sous-traitance avec les clients TPE/PME sont conformes à l’article 28 du RGPD, et que vos sous-traitants numériques (hébergeurs, éditeurs de logiciels) disposent eux aussi d’un encadrement contractuel adapté.
• Tester votre capacité à répondre à une demande d’exercice de droits dans un délai raisonnable : avez-vous un interlocuteur identifié et un processus en place ?

Ces cinq actions permettent de couvrir les manquements les plus fréquemment sanctionnés. Elles constituent un socle minimum, pas un aboutissement.

Choisir un environnement numérique qui intègre la protection des données dès la conception

La conformité au RGPD ne repose pas uniquement sur des procédures : elle dépend aussi des outils que vous utilisez pour stocker et traiter les données comptables de vos clients. Un logiciel hébergé en France réduit significativement les risques liés aux transferts de données hors Union européenne, l’un des points de contrôle les plus scrutés par la CNIL, sans pour autant dispenser d’autres mesures : chiffrement, gestion des accès, encadrement contractuel des sous-traitants, politiques d’audit. C’est ce que la CNIL désigne sous le terme de « protection des données dès la conception » (ou conformité par conception) : choisir un environnement qui réduit les risques à la source, avant même de rédiger une procédure.

MyUnisoft est conçu pour accompagner les cabinets dans cette démarche. La plateforme est hébergée en France, ce qui contribue à limiter l’exposition aux transferts de données hors UE pour les données comptables et fiscales traitées par les cabinets et leurs clients TPE/PME. Pour en savoir plus sur l’architecture de sécurité de la solution et sur les clauses de sous-traitance disponibles, les équipes MyUnisoft sont disponibles pour répondre à vos questions.

Ce que vous devez retenir avant de passer à l’action

La conformité au RGPD n’est pas une contrainte administrative à gérer une fois puis à oublier. C’est un cadre vivant qui évolue avec vos traitements, votre structure et les décisions de la CNIL. Pour un cabinet comptable ou une TPE/PME, les obligations sont claires et atteignables : tenir un registre à jour, sécuriser les données, respecter les droits des personnes, désigner un interlocuteur identifié pour les demandes entrantes.

Si vous n’êtes pas certain de votre niveau de conformité RGPD aujourd’hui, commencez par votre registre des traitements. C’est toujours la première pièce à mettre en place, et c’est aussi celle qui révèle immédiatement où se trouvent vos angles morts. Une fois cette cartographie réalisée, vous disposez d’une base solide pour prioriser les chantiers suivants et les mettre en œuvre dans l’ordre.