Le RGPD et le secret professionnel ne sont pas deux contraintes distinctes que ton cabinet subit séparément. Sur ton site internet, ils se cumulent, se renforcent mutuellement, et forment un cadre réglementaire que la plupart des agences web ne maîtrisent pas quand elles construisent des sites pour des professionnels du chiffre.
Un cabinet comptable traite chaque jour des données parmi les plus sensibles qui existent : bulletins de paie, déclarations fiscales, bilans financiers, relevés bancaires, données personnelles de salariés. Dès que ces données transitent par ou vers ton site, dès qu’un formulaire de contact collecte un nom et un numéro de SIRET, dès qu’un espace client permet de déposer une facture, tu es soumis aux obligations du RGPD en plus du secret professionnel qui s’impose à ta profession depuis l’ordonnance de 1945.
Ce guide explique ce que ton site doit respecter, ce qu’il ne peut pas faire, et comment transformer ces obligations en signal de confiance plutôt qu’en contrainte subie.
En résumé sur les obligations de ton site
- Le secret professionnel s’applique aussi en ligne toute donnée financière ou fiscale transmise via ton site est couverte par l’obligation de discrétion
- Le RGPD impose un cadre précis dès le premier formulaire collecte de données, hébergement en Europe, politique de confidentialité, consentement explicite
- Ton site ne doit jamais stocker de documents financiers clients il doit renvoyer vers un outil tiers certifié, jamais héberger des pièces comptables en direct
- La conformité est un argument commercial un cabinet qui affiche ses garanties de sécurité inspire plus confiance qu’un concurrent qui n’en parle pas
Deux cadres réglementaires qui se cumulent sur ton site
Le secret professionnel des experts-comptables est inscrit dans le Code de déontologie depuis l’ordonnance du 19 septembre 1945. Il impose une obligation absolue de discrétion sur toutes les informations obtenues dans l’exercice de la mission. Il ne se limite pas aux données financières : il couvre tout ce que tu sais sur tes clients, leur situation, leurs décisions.
Le RGPD (Règlement Général sur la Protection des Données) encadre la collecte, le traitement, et le stockage des données personnelles. Il s’applique dès qu’une personne physique est identifiable dans les données traitées : un dirigeant, un salarié, un associé.
Ces deux cadres ne se remplacent pas. Un cabinet soumis au secret professionnel reste aussi soumis au RGPD. La CNIL précise d’ailleurs que les professionnels soumis à un secret professionnel renforcé ont des obligations RGPD d’autant plus strictes, précisément parce que les données qu’ils manipulent sont sensibles.
Un cabinet comptable qui dit « nous respectons le secret professionnel » remplit une obligation légale. Celui qui dit « voici comment nous protégeons vos données, où elles sont hébergées, et comment vous exercez vos droits » construit une relation de confiance que la conformité seule ne peut pas créer.
Ce que ton site doit respecter concrètement
Le formulaire de contact
C’est souvent le premier point de collecte de données personnelles sur un site de cabinet. Un nom, un email, un numéro de téléphone, parfois le nom de l’entreprise ou le type de mission cherchée : tout ça constitue des données personnelles au sens du RGPD.
Ton formulaire de contact doit inclure une case de consentement explicite (non pré-cochée) avec un texte clair sur l’usage des données. Pas une mention en bas de page en corps 8, mais un consentement que le visiteur donne activement avant de soumettre le formulaire. Et les données collectées doivent être supprimées après le délai de conservation défini dans ta politique de confidentialité.
La politique de confidentialité
Elle doit être accessible depuis chaque page du site (généralement dans le footer), rédigée en langage clair (pas en jargon juridique), et couvrir spécifiquement les données collectées par un cabinet comptable. Elle doit préciser quelles données sont collectées, pourquoi, par qui elles sont traitées, combien de temps elles sont conservées, et comment le visiteur peut exercer ses droits (accès, rectification, effacement).
Une politique de confidentialité copiée depuis un modèle générique ne suffit pas pour un cabinet. Les spécificités de la profession (sous-traitance de données clients, secret professionnel, données sociales et fiscales) doivent être mentionnées explicitement.
Les cookies et traceurs
Si ton site utilise Google Analytics, un pixel Facebook, ou tout autre outil de mesure d’audience, il doit informer les visiteurs et recueillir leur consentement avant d’activer ces traceurs. Un bandeau cookie qui ne propose pas de refus réel (bouton de refus absent ou difficile à trouver) est non conforme. La CNIL sanctionne régulièrement sur ce point.
Les mentions obligatoires spécifiques à la profession
En plus des mentions légales standard (nom, adresse, numéro de SIRET, hébergeur), le site d’un expert-comptable doit afficher :
L’inscription à l’Ordre des Experts-Comptables : région du Conseil régional, numéro d’inscription. C’est une obligation déontologique qui signale aussi à Google et aux visiteurs que le cabinet est un professionnel réglementé.
Le titre professionnel exact : « Expert-Comptable » est un titre protégé. Son utilisation sans inscription au tableau de l’Ordre est une fraude. L’afficher correctement sur le site est une obligation légale et un signal de crédibilité.
Les conditions générales d’intervention : si le site inclut un formulaire de demande de mission ou de devis, les CGI doivent être accessibles et acceptées explicitement.
L’hébergement des données, le point que les agences web oublient
Le RGPD impose que les données personnelles des résidents européens soient hébergées soit en Europe, soit dans un pays reconnu comme offrant un niveau de protection adéquat. Un hébergeur américain sans clauses contractuelles types conformes aux transferts de données hors UE met ton cabinet en non-conformité, même si les données ne semblent pas sensibles.
Pour un site de cabinet comptable, l’hébergement doit être européen par défaut. C’est le cas pour la grande majorité des hébergements WordPress sérieux (OVH, Infomaniak, Ionos), mais il faut le vérifier explicitement et pouvoir le mentionner dans ta politique de confidentialité.
Pour les données qui transitent par un espace client ou un outil métier connecté au site, la même règle s’applique. Les grands éditeurs (Dext, Pennylane, Tiime) hébergent généralement en Europe, mais vérifier reste ta responsabilité.
L’hébergement des données n’est pas un détail technique réservé aux développeurs. C’est la première question à poser à ton hébergeur, et la réponse doit figurer dans ta politique de confidentialité. Un cabinet qui ne sait pas où sont hébergées les données de ses clients n’est pas conforme, même si son site est beau.
Ce point est développé dans notre article sur l’espace client sécurisé pour expert-comptable.
OVH, Infomaniak, Ionos ou équivalent · mentionné dans la politique de confidentialité
Pas un modèle générique · couvre les données clients, la sous-traitance, le secret professionnel
Case non pré-cochée · texte clair sur l’usage des données
Bouton de refus aussi visible que le bouton d’acceptation
Région du Conseil régional, numéro d’inscription visible
JAMAIS · utilise un outil tiers certifié · ton site est une porte, pas un coffre-fort
Ce que tu ne peux pas faire sur ton site
Stocker des documents clients dans WordPress. La médiathèque WordPress n’est pas chiffrée, pas auditée, et pas conforme pour des données financières. Un bilan ou une fiche de paie uploadé dans WordPress est une non-conformité immédiate. Le site doit rediriger vers un outil tiers certifié.
Publier des témoignages clients avec des données identifiantes sans accord explicite. Si tu mentionnes un client sur ton site (nom, entreprise, chiffres), tu as besoin d’un accord écrit explicite. Un accord verbal ne suffit pas. Cette règle s’applique aussi aux études de cas et aux exemples de missions.
Utiliser un formulaire de contact qui envoie des données sensibles par email non chiffré. Les échanges par email standard ne sont pas sécurisés. Si ton formulaire de contact collecte des informations sur la situation fiscale ou financière d’un prospect, les données doivent être traitées dans un environnement sécurisé, pas dans une boîte email Gmail.
Un cabinet comptable qui protège correctement les données de ses prospects avant même d’être leur expert-comptable envoie un signal fort sur la façon dont il protégera leurs données une fois la mission signée. La conformité RGPD est un argument commercial avant d’être une contrainte.
Ce que ça change pour la construction du site
Ces obligations ne sont pas une liste de cases à cocher après coup. Elles conditionnent des choix techniques faits dès la conception du site : le choix de l’hébergeur, l’outil de gestion des cookies, la façon dont les formulaires sont configurés, la structure des mentions légales.
Une agence web qui n’a pas l’habitude des professions réglementées produit souvent un site visuellement correct mais techniquement non conforme sur ces points. C’est l’une des raisons pour lesquelles nous spécialisons notre accompagnement sur les cabinets comptables. Pour voir comment toutes ces contraintes s’intègrent dans un projet complet, notre guide sur le site internet pour cabinet comptable pose l’ensemble du cadre.
Les questions fréquentes sur le RGPD et le secret professionnel
Faut-il nommer un DPO (Délégué à la Protection des Données) pour mon cabinet ?
La désignation d’un DPO est obligatoire pour les organismes dont l’activité de base consiste en des traitements de données sensibles à grande échelle. La plupart des cabinets comptables de taille moyenne ne sont pas directement concernés par l’obligation légale, mais se doter d’un référent RGPD interne ou externe est une bonne pratique. La CNIL publie les critères précis sur son site.
Mon cabinet peut-il utiliser Google Analytics sur son site ?
Oui, à condition de recueillir le consentement explicite des visiteurs avant l’activation des cookies analytiques, et de configurer une anonymisation des adresses IP. Sans consentement préalable, Google Analytics est non conforme au RGPD selon la position de la CNIL.
Comment obtenir l’accord de mes clients pour les mentionner sur mon site ?
Un email de confirmation suffit pour un témoignage textuel simple. Pour une étude de cas détaillée ou la mention de chiffres spécifiques, un accord écrit plus formel est recommandé. Dans tous les cas, l’accord doit préciser ce qui sera publié, où, et pour quelle durée.
Quelle différence entre secret professionnel et RGPD dans la pratique ?
Le secret professionnel est une obligation déontologique absolue : tu ne peux pas divulguer d’informations sur tes clients sans leur accord, même anonymisées si elles permettent une identification. Le RGPD est une obligation légale sur le traitement des données : il encadre la façon dont tu collectes, stockes, et utilises les données personnelles. Les deux s’appliquent simultanément, et un manquement à l’un peut entraîner des sanctions disciplinaires (Ordre) ou administratives (CNIL).
La conformité RGPD d’un cabinet comptable, ça se construit avec le site
Le RGPD et le secret professionnel ne sont pas des obstacles à la présence en ligne d’un cabinet comptable. Ils définissent le cadre dans lequel cette présence doit être construite pour être à la fois conforme et crédible. Un cabinet qui affiche clairement ses garanties de sécurité, son hébergement européen, et sa politique de traitement des données construit une relation de confiance avec ses prospects avant même le premier contact.
C’est cette conformité qu’on intègre dans la construction des sites de cabinets. Pour connecter le site aux outils métiers dans le respect de ces contraintes, notre article sur la connexion du site aux outils de facturation détaille les options techniques disponibles.
