Expert-comptable et RGPD : ce que dit la loi

Un site web d'expert-comptable collecte des données personnelles, souvent sans que le professionnel en soit pleinement conscient. Un formulaire de contact, un outil d'analytics, un bandeau cookies absent, une politique de confidentialité inexistante : chacun de ces points peut constituer une non-conformité au Règlement Général sur la Protection des Données (RGPD), en vigueur depuis 2018.

Pour un expert-comptable, la situation est doublement sensible. D'une part parce que vous êtes vous-même soumis au RGPD comme tout responsable d'un site web. D'autre part parce que vos clients vous confient des données financières et fiscales parmi les plus sensibles qui soient, et que votre image de professionnel rigoureux exige une conformité exemplaire. Voici ce que votre site doit obligatoirement mentionner et afficher.

Pourquoi le RGPD s'applique à votre site web

Le RGPD s'applique à toute personne physique ou morale qui collecte, traite ou stocke des données personnelles de résidents de l'Union européenne. Dès que votre site comporte un formulaire de contact, un formulaire de demande de devis, ou même un simple outil de mesure d'audience comme Google Analytics, vous collectez des données personnelles (adresses email, noms, adresses IP) et vous êtes soumis à cette réglementation.

La Commission Nationale de l'Informatique et des Libertés (CNIL) est l'autorité française chargée de contrôler le respect du RGPD. Elle peut prononcer des avertissements, des mises en demeure, et des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les cas les plus graves. Pour un cabinet indépendant, les sanctions sont proportionnées, mais un simple contrôle ou une plainte d'un visiteur peut entraîner une procédure coûteuse en temps et en image.

Les mentions légales : obligatoires sur tout site professionnel

Les mentions légales ne relèvent pas directement du RGPD mais de la loi pour la Confiance dans l'Économie Numérique (LCEN) de 2004. Elles sont obligatoires sur tout site web à usage professionnel et doivent être accessibles depuis toutes les pages du site, généralement via un lien en pied de page.

Pour un expert-comptable exerçant en tant que personne physique ou via une société, les mentions légales doivent indiquer votre nom complet (ou la dénomination sociale de votre cabinet), votre adresse professionnelle, votre numéro de téléphone, votre adresse email de contact, votre numéro SIRET, le nom et l'adresse de votre hébergeur web, et si vous êtes inscrit à l'Ordre des experts-comptables, votre numéro d'inscription et le nom de la région ordinale compétente.

Ces informations doivent être exactes et à jour. Une adresse obsolète ou un hébergeur non mentionné constituent des infractions à la LCEN, passibles d'une amende.

La politique de confidentialité : le coeur de votre conformité RGPD

La politique de confidentialité est le document qui explique à vos visiteurs quelles données vous collectez, pourquoi, comment vous les traitez, combien de temps vous les conservez, et quels sont leurs droits. Elle est obligatoire dès lors que votre site collecte des données personnelles, ce qui est le cas de presque tous les sites professionnels.

Ce qu'elle doit obligatoirement contenir :

L'identité du responsable du traitement : c'est vous, en tant qu'exploitant du site. Vous devez indiquer votre nom, votre adresse et un moyen de vous contacter.

Les finalités du traitement : pourquoi collectez-vous ces données ? Pour répondre à des demandes de contact, pour envoyer une newsletter, pour analyser le trafic de votre site, pour gérer les rendez-vous en ligne ?

La base légale de chaque traitement : le RGPD impose que chaque traitement de données repose sur une base légale. Pour un formulaire de contact, c'est généralement l'intérêt légitime ou l'exécution d'un contrat. Pour une newsletter, c'est le consentement explicite.

Les destinataires des données : si vous utilisez des outils tiers (Google Analytics, Calendly, Mailchimp, un CRM), vous devez mentionner que ces données peuvent être transmises à ces prestataires et préciser leur localisation géographique si elle est hors Union européenne.

Les durées de conservation : combien de temps conservez-vous les données des formulaires de contact ? Les adresses email de prospects non-convertis ? La règle générale est de ne pas conserver les données au-delà de leur finalité. Pour un formulaire de contact sans suite, 12 mois est une durée communément admise.

Les droits des personnes : vos visiteurs ont le droit d'accéder à leurs données, de les rectifier, de les supprimer, de s'opposer à leur traitement, et dans certains cas de demander leur portabilité. Vous devez expliquer comment ils peuvent exercer ces droits et dans quel délai vous vous engagez à répondre (un mois maximum selon le RGPD).

Un contact pour les demandes liées aux données : une adresse email dédiée (par exemple dpo@votrecabinet.fr) ou un formulaire spécifique facilite la gestion de ces demandes.

Le bandeau cookies : une obligation souvent mal appliquée

Les cookies sont de petits fichiers déposés sur le navigateur du visiteur par votre site ou par les outils tiers que vous utilisez (Google Analytics, boutons de partage réseaux sociaux, outils de chat en ligne). Ils font l'objet d'une réglementation spécifique : les cookies non strictement nécessaires au fonctionnement du site ne peuvent être déposés qu'avec le consentement préalable et explicite du visiteur.

La CNIL a précisé ses exigences : le bandeau de cookies doit proposer trois options clairement visibles : accepter, refuser, et personnaliser. Il est interdit de concevoir le bandeau de façon à rendre l'acceptation plus facile que le refus (ce que la CNIL appelle les "dark patterns"). Le bouton "Refuser" doit être aussi accessible que le bouton "Accepter", sans étapes supplémentaires.

Pour un site d'expert-comptable, les cookies les plus courants proviennent de Google Analytics (mesure d'audience), des outils de prise de rendez-vous en ligne (Calendly, Acuity), et des plugins de formulaire. Si vous utilisez ces outils, un bandeau de consentement conforme est obligatoire.

Les cookies strictement nécessaires au fonctionnement du site (cookies de session, panier sur un site e-commerce, préférence de langue) sont exemptés de consentement mais doivent tout de même être mentionnés dans votre politique de cookies.

Les formulaires de contact et de devis

Chaque formulaire sur votre site collecte des données personnelles. Pour être conforme au RGPD, un formulaire doit comporter deux éléments obligatoires.

Une case à cocher non pré-cochée avec un texte indiquant comment les données seront utilisées. Par exemple : "J'accepte que mes données soient utilisées pour traiter ma demande et me recontacter. En savoir plus [lien vers la politique de confidentialité]."

Un lien vers votre politique de confidentialité accessible depuis le formulaire.

Si votre formulaire permet de s'inscrire à une newsletter ou de recevoir des communications marketing, le consentement doit être distinct et explicite : une case dédiée à cet usage, séparée du consentement pour le traitement de la demande.

Ne pré-cochez jamais les cases. Le RGPD exige un consentement actif, jamais passif.

Les spécificités de l'expert-comptable : les données clients en mission

Au-delà du site web, votre activité de conseil implique le traitement de données particulièrement sensibles : données financières, données fiscales, données sociales de salariés. Si ces données ne transitent pas par votre site public, elles sont traitées dans vos outils de gestion de cabinet.

En tant que responsable de traitement, vous devez tenir un registre des activités de traitement, document interne qui liste chaque catégorie de données que vous traitez, leur finalité, leur durée de conservation, et les mesures de sécurité mises en place. Ce registre n'est pas publié sur votre site mais doit être disponible en cas de contrôle CNIL.

Vos contrats avec vos clients doivent également mentionner les conditions dans lesquelles vous traitez leurs données, conformément à l'article 28 du RGPD qui encadre la relation entre responsable de traitement (votre client) et sous-traitant (vous, en tant que prestataire traitant leurs données).

Checklist pratique pour votre site

Pour faire le point rapidement sur votre niveau de conformité, voici les éléments à vérifier :

Mentions légales complètes et accessibles depuis toutes les pages. Politique de confidentialité présente, accessible, et à jour (notamment si vous avez changé d'outils depuis sa rédaction). Bandeau cookies conforme avec option de refus aussi accessible que l'acceptation. Formulaires de contact avec case de consentement non pré-cochée et lien vers la politique. Aucun cookie non-nécessaire déposé avant le consentement de l'utilisateur. Durées de conservation définies et respectées pour les données collectées via le site.

Si vous utilisez des outils hébergés aux États-Unis (Google Analytics, Mailchimp, certains CRM), vérifiez que votre politique de confidentialité le mentionne et que ces outils proposent des garanties de conformité (clauses contractuelles types, certification Privacy Shield successeur).

Besoin d'un site conforme dès le départ ?

Keywebin intègre les exigences RGPD dans la conception des sites web d'experts-comptables : mentions légales, politique de confidentialité, bandeau cookies conforme, formulaires. Nous créons un site qui respecte vos obligations légales sans que vous ayez à vous en préoccuper. Contactez-nous.