Sous-traiter la paie : ce que dit le cadre déontologique

Confier la production de paie à un tiers pose trois questions que les associés se posent rarement dans cet ordre : en ai-je le droit, que dois-je dire à mon client, et que reste-t-il de ma responsabilité. Voici le cadre applicable, ce qu’il exige, et ce qui relève de la prudence plutôt que de l’obligation.

Ce que la sous-traitance change, et ne change pas

Un principe domine tout le reste : la mission reste celle du cabinet. Le client a contracté avec vous, la lettre de mission porte votre signature, et la responsabilité professionnelle de l’exécution vous incombe, y compris pour la part réalisée par un tiers. La sous-traitance est une modalité d’organisation, pas un transfert de mission.

Ce qui change, c’est l’architecture des obligations : vous devez désormais garantir que le tiers respecte les mêmes exigences que vous en matière de confidentialité, de qualité et de protection des données. Ce qui ne change pas : l’interlocuteur du client, la signature des livrables, la facturation et la responsabilité.

Cette distinction paraît théorique. Elle devient très concrète le jour d’un incident, quand le client se tourne vers vous et que la question porte sur ce que vous aviez organisé, contrôlé et documenté en amont.

Secret professionnel et transmission de données

Le périmètre du secret

L’expert-comptable est tenu au secret professionnel dans les conditions prévues par l’article 21 de l’ordonnance du 19 septembre 1945. Ce secret couvre les informations dont le professionnel a connaissance à l’occasion de sa mission, ce qui englobe très largement les données de paie : rémunérations, situations individuelles, arrêts de travail, litiges en cours.

Les obligations du sous-traitant

Le sous-traitant n’est pas soumis au même régime ordinal s’il n’est pas lui-même inscrit à l’Ordre. C’est précisément pour cela que l’engagement de confidentialité doit être contractuel, explicite, étendu aux personnes intervenant chez lui, et maintenu après la fin du contrat. Un engagement générique de deux lignes ne suffit pas quand les données traitées sont celles de vos clients.

L’articulation avec le RGPD

Secret professionnel et protection des données personnelles se cumulent, ils ne se substituent pas. Le volet RGPD impose un contrat écrit avec un contenu minimal, décrit par la CNIL : nature et finalité du traitement, catégories de données, instructions documentées, sous-traitance ultérieure, localisation, sort des données en fin de contrat. Le secret professionnel, lui, relève de votre statut et n’est pas négociable contractuellement.

L’information du client

Trois niveaux existent, du moins au plus engageant, et ils ne se valent pas.

Niveau	Ce qu’il consiste à faire	Quand il suffit
Information générale	Mentionner le recours possible à des prestataires dans les conditions générales	Rarement suffisant en paie, où les données sont sensibles
Clause dans la lettre de mission	Prévoir expressément la faculté de sous-traiter, avec les garanties associées	Situation la plus courante et la plus sûre
Accord exprès du client	Obtenir un accord écrit et spécifique, identifiant le sous-traitant	Recommandé quand le client est sensible ou le périmètre large

La logique est double. Sur le plan de la relation, un client qui découvre l’existence d’un tiers à l’occasion d’un incident réagit toujours mal, indépendamment de la régularité formelle. Sur le plan de la protection des données, le client final est responsable de traitement : la chaîne doit lui être connue, et l’ajout d’un sous-traitant ultérieur suppose une information, voire une autorisation.

En pratique, la clause dans la lettre de mission, complétée d’une information au moment de la mise en place, couvre la quasi-totalité des situations. Elle a un autre mérite : elle transforme un sujet potentiellement gênant en élément de transparence.

Ce qui doit figurer dans la lettre de mission

• La faculté de recourir à un sous-traitant pour tout ou partie de l’exécution, sans transfert de responsabilité.
• Le maintien du cabinet comme interlocuteur unique et signataire des livrables.
• L’engagement de confidentialité imposé au sous-traitant, au moins équivalent au vôtre.
• Le traitement des données personnelles : renvoi aux annexes RGPD, localisation des données, absence de transfert hors Union européenne le cas échéant.
• L’information du client en cas de changement de sous-traitant.

Le décret du 30 mars 2012, qui porte le code de déontologie des professionnels de l’expertise comptable, fixe le cadre général de l’exercice ; votre conseil régional de l’Ordre reste l’interlocuteur pour valider une rédaction particulière. Cet article expose une pratique, il ne remplace pas cette vérification.

Les 4 points de contrôle avant de signer

1. L’identité du sous-traitant. Qui produit réellement : le prestataire lui-même, une filiale, un tiers ? La sous-traitance en cascade doit être connue et autorisée.
2. La localisation des données. Où sont hébergées les données et qui y accède, y compris pour la maintenance technique. Un hébergement en France ou dans l’Union européenne simplifie l’ensemble du dossier.
3. L’engagement de confidentialité. Sa portée, sa durée au-delà du contrat, et son extension nominative aux personnes intervenant sur vos dossiers.
4. L’assurance. Attestation de responsabilité civile professionnelle à jour, montants et franchise, objet couvrant explicitement la production de paie pour compte de tiers.

Ces quatre points se vérifient en une demi-heure et se réexaminent une fois par an. Ils constituent, avec le contrat, la trace de la diligence que vous avez exercée dans le choix de votre prestataire. Le détail des clauses contractuelles figure dans notre article sur les 12 clauses d’un contrat de sous-traitance de paie, et notre propre cadre est présenté sur la page sous-traitance de paie pour cabinets d’expertise comptable.

Questions fréquentes sur la sous-traitance et la déontologie

Un expert-comptable a-t-il le droit de sous-traiter la production de paie ?

Oui. Le recours à un prestataire pour l’exécution matérielle d’une partie de la mission est une modalité d’organisation admise, à condition que le cabinet conserve la maîtrise de la mission, reste l’interlocuteur du client et garantisse le respect de la confidentialité. Ce qui est encadré, ce n’est pas le principe, ce sont les conditions.

Faut-il l’accord écrit du client ?

La pratique la plus sûre consiste à prévoir la faculté de sous-traiter dans la lettre de mission, puis à informer le client au moment de la mise en place. Un accord exprès et spécifique se justifie lorsque le client est particulièrement sensible ou lorsque le périmètre confié est large. Au minimum, la chaîne de traitement des données doit lui être connue.

Le sous-traitant est-il tenu au secret professionnel ?

Pas au titre du statut ordinal s’il n’est pas lui-même inscrit à l’Ordre. C’est pourquoi l’engagement de confidentialité doit être contractuel, explicite, étendu aux personnes qui interviennent sur vos dossiers et maintenu après la fin du contrat. Cet engagement est le point à ne pas traiter par une formule générique.

Que se passe-t-il en cas de fuite de données ?

La chaîne de responsabilité suit celle décrite au contrat et dans les annexes RGPD. Le client final, responsable de traitement, doit être informé sans délai, et les obligations de notification à la CNIL s’apprécient selon la nature de la violation. Sur le plan professionnel, la question portera aussi sur les diligences que le cabinet avait exercées dans le choix et le suivi de son prestataire.

Faut-il modifier la lettre de mission ?

Si elle ne prévoit rien, oui, par avenant ou lors du renouvellement. Cinq mentions suffisent : faculté de sous-traiter sans transfert de responsabilité, maintien du cabinet comme interlocuteur unique, engagement de confidentialité imposé au tiers, traitement des données personnelles, information en cas de changement de prestataire.

Le sous-traitant peut-il être en contact avec le client ?

Cela dépend de ce que vous décidez et de ce que prévoit le contrat. En marque blanche stricte, non : tous les échanges passent par le cabinet. Certains cabinets autorisent un contact technique direct pour la collecte des variables, ce qui accélère la production, à condition que ce soit encadré et couvert par une clause de non-démarchage.

Article publié par Archipaie — Externalisation paie et veille juridique — Paie et RH, Lyon.