Expert-comptable et RGPD : comment stocker les documents clients en conformité

Un cabinet d'expertise comptable manipule, chaque jour, certaines des données les plus sensibles qui soient : liasses fiscales, bulletins de paie, RIB, extraits Kbis, pièces d'identité des dirigeants, contrats, relevés bancaires. Ce sont des documents à forte valeur, à la fois pour le client et pour un attaquant. Et depuis le RGPD, leur stockage n'est plus seulement une question de rangement : c'est une obligation légale dont le cabinet est responsable.

Cet article répond à une question précise que se posent beaucoup d'experts-comptables : où et comment stocker les documents clients pour rester en conformité RGPD, sans se raconter d'histoires sur ce qu'un outil de chiffrement fait vraiment. Il n'est pas un conseil juridique. Pour une analyse propre à votre cabinet, appuyez-vous sur votre ordre régional, votre DPO ou un avocat spécialisé.

Quick Answer

Le RGPD n'impose pas un logiciel précis, il impose un résultat : les documents clients doivent être protégés par des mesures techniques et organisationnelles appropriées au risque (article 32), conservés le temps strictement nécessaire, et hébergés chez des prestataires encadrés par un contrat de sous-traitance (article 28). Concrètement, pour un cabinet comptable, cela veut dire : chiffrer les données au repos, contrôler qui y accède, savoir précisément où elles sont hébergées (idéalement dans l'UE), formaliser chaque sous-traitant, et pouvoir purger une donnée quand sa durée de conservation est atteinte. Le chiffrement ne rend pas un cabinet conforme à lui seul, mais un cabinet qui stocke des documents clients non chiffrés sur un cloud grand public est, lui, clairement exposé.

Pourquoi le sujet est plus lourd pour un expert-comptable que pour n'importe qui

Un cabinet comptable cumule trois casquettes qui empilent les obligations.

D'abord, il est responsable de traitement pour ses propres données (ses salariés, sa facturation) et, le plus souvent, sous-traitant au sens du RGPD pour les données de ses clients qu'il traite pour leur compte. Cette position de sous-traitant l'oblige à offrir des garanties de sécurité suffisantes, et à répercuter ces garanties sur ses propres prestataires (le fameux effet cascade de l'article 28).

Ensuite, il est tenu au secret professionnel. La déontologie de la profession comptable impose la confidentialité sur les informations recueillies. Une fuite de documents clients n'est donc pas seulement un incident RGPD, c'est aussi un manquement déontologique, avec un risque de responsabilité civile et de perte de confiance immédiate.

Enfin, il est soumis à des durées de conservation longues et non négociables. Les documents et pièces comptables se conservent en général dix ans à compter de la clôture de l'exercice (article L123-22 du Code de commerce), et les documents fiscaux servant de justificatifs six ans au titre du droit de reprise de l'administration (livre des procédures fiscales). Un cabinet garde donc de la donnée sensible pendant une décennie. Plus la durée est longue, plus la surface d'exposition est grande, et plus la question du chiffrement au repos devient centrale.

Le scénario qui fait mal est connu : transfert de bulletins de paie par une pièce jointe non chiffrée, dépôt de la comptabilité d'un client sur un espace cloud partagé mal configuré, ou vol d'un ordinateur portable dont le disque n'est pas chiffré. Dans chacun de ces cas, la question que posera la CNIL est simple : les données étaient-elles chiffrées, et qui détenait la clé ?

La réponse de fond : ce que le RGPD attend réellement du stockage

Le RGPD ne parle presque jamais de technologie précise. Il fixe des principes, et c'est au cabinet de choisir les moyens. Pour le stockage de documents, cinq exigences reviennent systématiquement.

1. Sécurité et confidentialité (article 32)

L'article 32 demande des mesures adaptées au risque, et cite explicitement le chiffrement et la pseudonymisation comme exemples de mesures pertinentes. Pour des données aussi sensibles que des documents comptables et sociaux, le chiffrement au repos n'est pas un luxe : c'est la mesure attendue. La CNIL recommande d'ailleurs de longue date le chiffrement des supports et des sauvegardes contenant des données personnelles.

Là où beaucoup de cabinets se trompent, c'est en confondant deux choses très différentes. Un cloud grand public peut annoncer du chiffrement et rester capable de lire vos fichiers, parce qu'il détient les clés. Ce point est développé dans notre explication du chiffrement zero-knowledge, où le service qui héberge ne peut pas lire vos données, et dans la distinction entre chiffrement de bout en bout et zero-knowledge. La question déterminante n'est pas juste "est-ce chiffré ?" mais "qui détient la clé ?".

2. Minimisation et durée de conservation

On ne conserve que ce qui est nécessaire, aussi longtemps que nécessaire. Pour un cabinet, cela crée une tension réelle : les durées légales comptables sont longues (dix ans), mais tout ce qui traîne au-delà, ou qui n'aurait jamais dû être collecté, devient un risque net. Un stockage conforme doit permettre de retrouver et de supprimer une donnée précise une fois sa durée atteinte. Un dossier client chiffré et bien rangé, dossier par dossier, se purge beaucoup plus proprement qu'un cloud fourre-tout.

3. Contrôle des accès

Qui, dans le cabinet, peut ouvrir le dossier de tel client ? Un stagiaire a-t-il accès aux fichiers de paie de tous les clients ? Le RGPD impose une gestion des habilitations proportionnée. Le chiffrement par dossier ou par fichier, avec des espaces séparés par profil, aide à cloisonner, ce qui limite la casse en cas de compte compromis.

4. Localisation des données et transferts hors UE

Depuis l'arrêt Schrems II, les transferts vers des prestataires soumis à des législations extra-européennes (notamment américaines) sont un vrai point de vigilance. Beaucoup de cabinets utilisent, sans y penser, des outils dont les serveurs sont hors UE. Ce n'est pas interdit par principe, mais cela impose des garanties supplémentaires et une documentation. La solution la plus simple pour réduire le risque reste de savoir précisément où sont les données, et de privilégier un hébergement UE, ou mieux, de garder les documents en local sur les postes du cabinet.

5. Encadrement contractuel des sous-traitants (article 28)

Dès que vous confiez le stockage à un tiers (cloud, éditeur de logiciel, hébergeur), il devient votre sous-traitant. Il faut un contrat conforme à l'article 28, la liste tenue à jour de ces prestataires, et l'assurance qu'ils offrent des garanties suffisantes. Moins vous avez de sous-traitants qui peuvent techniquement lire les données, plus votre chaîne est simple à sécuriser et à auditer.

Comparatif des approches de stockage

Approche	Chiffrement au repos	Qui détient la clé	Localisation	Sous-traitance à documenter
Cloud grand public (Drive, Dropbox perso)	Oui, côté serveur	Le fournisseur	Souvent hors UE	Oui, garanties à vérifier
Suite comptable SaaS classique	Variable, souvent côté serveur	L'éditeur	Selon l'éditeur	Oui
Serveur local / NAS du cabinet	Seulement si activé	Le cabinet	Locale	Non (mais responsabilité pleine)
Outil local-first chiffré (clé côté cabinet)	Oui, par fichier	Le cabinet uniquement	Locale, cloud optionnel	Réduite au minimum

Aucune ligne n'est "la bonne" dans l'absolu. Un cabinet qui a besoin de collaboration en temps réel entre plusieurs bureaux n'aura pas les mêmes contraintes qu'un praticien seul. Mais la logique RGPD pousse dans une direction claire : réduire le nombre d'acteurs capables de lire les documents, et savoir exactement où ils sont.

Ce que ça implique concrètement

Voici les bonnes pratiques actionnables, indépendamment de tout outil.

• Chiffrez le disque de chaque poste (BitLocker sous Windows, FileVault sous macOS, LUKS sous Linux). C'est la base minimale contre le vol de matériel, et c'est gratuit.
• Chiffrez aussi les documents eux-mêmes, pas seulement le disque. Le chiffrement de disque protège un poste éteint et volé ; il ne protège pas un fichier sensible synchronisé par erreur vers un cloud tiers. Sur les mécanismes concrets, voir notre guide pour chiffrer ses notes et documents pour de bon.
• Cartographiez vos flux : où partent les bulletins de paie, où sont stockées les liasses, quels outils synchronisent quoi. Beaucoup de fuites viennent d'une synchronisation cloud oubliée.
• Tenez le registre des sous-traitants à jour et vérifiez la localisation de leurs serveurs.
• Chiffrez et testez vos sauvegardes. Une sauvegarde en clair sur un disque externe est une fuite qui attend son heure.
• Séparez les accès par collaborateur et par dossier client, plutôt qu'un grand espace partagé où tout le monde voit tout.
• Définissez une politique de purge alignée sur les durées légales (dix ans comptable, six ans fiscal), et appliquez-la.
• Préparez la gestion d'incident : en cas de violation, une notification à la CNIL peut être requise sous 72 heures. Si les données étaient chiffrées avec une clé que l'attaquant n'a pas, l'impact et parfois les obligations de notification aux personnes s'en trouvent réduits. C'est tout l'intérêt du chiffrement fort au repos, développé dans notre analyse du chiffrement local face au cloud classique le jour d'une fuite de données.

Un point important pour éviter les illusions : self-héberger un outil ne veut pas dire chiffrer. Beaucoup de solutions installées sur votre propre serveur stockent en clair dans la base de données, comme le montre notre comparatif des alternatives self-hosted qui chiffrent vraiment les données. "Sur mon serveur" et "chiffré" sont deux propriétés distinctes.

Où Filarr peut aider (et où il ne fait pas le travail à votre place)

Filarr est un espace de travail local-first chiffré : vos notes et vos fichiers vivent chiffrés sur votre disque, et la synchronisation cloud est optionnelle. Pour un cabinet comptable, cela répond directement à plusieurs exigences de l'article 32 sur le stockage.

Ce que Filarr résout :

• Chiffrement fort au repos, par fichier. Chaque fichier est chiffré en AES-256-GCM avec sa propre clé, isolée des autres. La clé de chaque fichier est elle-même protégée par une clé dérivée de votre mot de passe (PBKDF2-SHA512, 600 000 itérations selon les recommandations OWASP 2024, ou Argon2id en option). Concrètement, la compromission d'un fichier ne donne pas accès aux autres. Le principe est détaillé dans notre article sur les clés KEK et FEK et le chiffrement par fichier.
• La clé reste de votre côté. En local, personne d'autre que le cabinet ne peut ouvrir les documents. Si vous activez la sync, le serveur ne stocke que des blobs chiffrés opaques, ce qui limite le nombre d'acteurs capables de lire les données et simplifie la chaîne de sous-traitance.
• Fonctionnement 100 % hors ligne et espaces multi-profils, utiles pour cloisonner par collaborateur ou par type de dossier.

Ce que Filarr ne fait PAS, et qu'il faut entendre clairement : Filarr n'est pas une certification RGPD, ni un logiciel de comptabilité, ni un conseil juridique. Il chiffre le stockage, ce qui est une pièce importante de la conformité, mais la conformité complète dépend de tout votre traitement : registre, bases légales, information des personnes, contrats de sous-traitance, gestion des droits, durées de conservation. Un cabinet peut utiliser Filarr et rester non conforme s'il néglige le reste. À l'inverse, aucun outil ne remplacera une organisation rigoureuse. Filarr couvre honnêtement la partie "protéger les documents et garder la clé", pas l'ensemble du sujet.

À noter aussi, pour rester crédible : l'écosystème de Filarr est plus jeune que celui des suites comptables établies, l'application mobile est encore en finalisation, et le produit ne prétend pas remplacer votre logiciel de production comptable. Il s'agit d'un espace de stockage et de notes chiffré, pas d'un outil métier.

FAQ

Le RGPD m'oblige-t-il à chiffrer les documents de mes clients ? Le texte n'impose pas le chiffrement mot pour mot, mais l'article 32 exige des mesures adaptées au risque et cite le chiffrement en exemple. Vu la sensibilité des documents comptables et sociaux, ne pas chiffrer au repos est difficilement défendable en cas de contrôle ou d'incident. En pratique, c'est la mesure attendue.

Puis-je garder les documents clients sur un cloud grand public ? Ce n'est pas interdit par principe, mais il faut vérifier trois points : le chiffrement (et surtout qui détient la clé), la localisation des serveurs (attention aux transferts hors UE) et l'existence d'un contrat de sous-traitance conforme à l'article 28. Beaucoup d'offres grand public sont faibles sur au moins un de ces points.

Combien de temps dois-je conserver les pièces comptables ? En général dix ans pour les documents et pièces comptables (article L123-22 du Code de commerce) et six ans pour les justificatifs fiscaux au titre du droit de reprise. Ces durées varient selon la nature du document, vérifiez le cas précis. Le point clé RGPD : au-delà de la durée nécessaire, la donnée doit pouvoir être supprimée.

Le chiffrement de mon disque suffit-il ? Il protège un poste éteint et volé, ce qui est indispensable, mais pas suffisant. Il ne protège pas un fichier synchronisé par erreur vers un cloud, ni un partage mal configuré, ni un compte compromis pendant que la session est ouverte. Le chiffrement des documents eux-mêmes, avec une clé maîtrisée, complète la protection.

Utiliser un outil chiffré me met-il automatiquement en conformité ? Non. Le chiffrement du stockage est une brique importante mais partielle. La conformité couvre aussi le registre des traitements, les bases légales, l'information des clients et de leurs salariés, les contrats de sous-traitance, la gestion des droits et des durées. Un outil ne remplace pas une démarche de mise en conformité, il la facilite.