La protection des données commence par une question très concrète : qui reçoit quelles informations et pour quelle raison ? Dans une fiduciaire, les pièces comptables et salariales exigent une organisation lisible, du premier envoi à l’archivage.
La CNPD précise qu’une certification ne réduit pas la responsabilité du responsable du traitement ou du sous-traitant. Vérifiez exactement ce qui est certifié.
Le cadre à vérifier
Les rôles de responsable du traitement et de sous-traitant se déterminent selon les traitements réellement effectués. Ils ne découlent pas du seul nom du contrat. Durée de conservation, sécurité, information et droits des personnes doivent être examinés pour chaque finalité.
Distinguer certification et conformité quotidienne
GDPR-CARPA est un mécanisme de certification présenté par la CNPD. Il repose sur des critères et une procédure d’évaluation. Une entreprise qui envisage cette démarche doit d’abord identifier les traitements et l’organisation concernés.
Le sigle ne remplace pas le registre des traitements, l’organisation des droits, la gestion des accès ou les mesures de sécurité. Une certification peut soutenir une démonstration sur son périmètre ; elle n’autorise pas à ignorer les autres obligations.
Lire le certificat plutôt que le seul logo
Demandez le certificat et identifiez l’entité, les opérations couvertes, la période et l’organisme de certification. Vérifiez le statut de l’organisme auprès de la CNPD et les informations publiques relatives au certificat.
Ne confondez pas une certification RGPD avec une certification de sécurité de l’information ou un simple engagement contractuel. Chacune répond à un objet différent. Dans le choix d’un prestataire de paie ou de comptabilité, rapprochez le périmètre certifié du service réellement acheté.
Préparer le dossier interne
Cartographiez les données : salariés, clients, fournisseurs, bénéficiaires effectifs et pièces d’identité. Identifiez les accès, les durées, les destinataires et les transferts éventuels. Les rôles de responsable et de sous-traitant doivent être définis selon les opérations réellement effectuées.
Vérifiez les contrats, procédures d’incident, sauvegardes et modalités de réponse aux demandes. Une procédure doit être utilisable par les équipes, pas seulement disponible dans un document. Conservez des preuves de son application et des contrôles réalisés.
Intégrer la démarche au choix d’une fiduciaire
Demandez comment les pièces sont transmises, qui peut les consulter et comment vos données seront restituées à la fin de la mission. Les données de paie nécessitent une attention particulière à la séparation des accès.
Une certification pertinente peut être un élément du dossier de choix, avec les contrats, les mesures techniques et la capacité à expliquer les procédures. Elle ne doit pas devenir une formule commerciale substituée à ces vérifications.
Transformer la promesse de certification en questions vérifiables
Lorsque vous recevez un certificat, rapprochez d’abord le nom de l’entité avec celui du cocontractant. Identifiez ensuite les traitements couverts et les limites annoncées. Un service de paie, une plateforme documentaire et une autre société du même groupe ne doivent pas être considérés comme couverts sans lecture du périmètre.
Demandez la référence du certificat, sa période et les modalités de vérification de son statut. Le dispositif présenté par la CNPD distingue la certification des traitements et l’agrément des organismes d’évaluation. Il faut donc vérifier le bon document pour la bonne question. Un logo sur une présentation commerciale ne fournit pas cette précision.
Préparez un exemple de traitement qui vous concerne : envoi des variables, production du bulletin, mise à disposition et conservation. Repérez à chaque étape les accès, les outils et les sous-traitants. Le guide des échanges de données avec une fiduciaire détaille cette organisation quotidienne ; la certification doit être rapprochée de ce fonctionnement concret.
Faire vivre les contrôles entre deux évaluations
Une procédure de retrait des accès doit fonctionner lorsqu’un collaborateur part. Une procédure d’incident doit permettre de savoir qui prévenir et quelles informations réunir. Pour tester votre organisation, utilisez un scénario fictif et relevez les décisions, les délais internes et les points d’incertitude. Évitez d’exposer des données réelles uniquement pour démontrer un processus.
Conservez les preuves de contrôle : revues de droits, validations, suivi des demandes et corrections. Il ne s’agit pas d’accumuler des documents sans usage, mais de pouvoir expliquer ce qui a été vérifié, par qui et avec quel résultat. Si un outil ou un prestataire change, identifiez les traitements touchés et les documents à réexaminer.
Le guide de la digitalisation comptable aide à préparer le test des nouveaux outils et leur restitution. Pour les données salariales, le calendrier des variables de paie doit aussi préciser les personnes habilitées. La démarche devient utile quand chaque règle se traduit dans le travail réel. Demandez au prestataire comment un changement majeur sera évalué au regard du périmètre certifié, plutôt que de supposer que le certificat s’étend automatiquement au nouveau service.
| Point | Vérification | Limite à éviter |
|---|---|---|
| Entité | Nom du titulaire et cocontractant | Étendre le certificat à tout un groupe |
| Périmètre | Traitements et services concernés | Assimiler un logo à une couverture générale |
| Statut | Référence, période et vérification | Se fier à une ancienne copie isolée |
| Fonctionnement | Contrôles et changements suivis | Confondre procédure écrite et application réelle |
Passons à un cas concret
Exemple pédagogique fictif, destiné à expliquer le raisonnement.
Une entreprise transmet les variables de paie par une boîte partagée accessible à toute son équipe. Avant de changer de logiciel, elle doit réduire les accès au besoin réel, définir un canal adapté et savoir qui valide les informations. Elle examine ensuite les contrats et les sous-traitants du service retenu. Le contrôle ne se limite pas à demander une mention « conforme RGPD » : il porte sur des accès, des usages et des preuves que l’on peut vérifier.
Les points à préparer
- Périmètre et entité du certificat identifiés.
- Organisme et validité contrôlés.
- Traitements, accès et sous-traitants recensés.
- Procédures appliquées et preuves conservées.
Questions fréquentes
La certification couvre-t-elle automatiquement toute l’entreprise ?
Son périmètre doit être lu dans le certificat. Il ne faut pas l’étendre à des traitements qui n’y figurent pas.
Un logo ISO prouve-t-il une certification GDPR-CARPA ?
Non. Les certifications n’ont pas le même objet ; vérifiez le certificat exact et son organisme émetteur.
Les mots utiles de ce guide
Les questions à poser au professionnel
- Quels rôles et quelles responsabilités sont documentés ?
- Qui peut accéder aux données salariales et comment les droits sont-ils retirés ?
Pour préciser le périmètre de votre demande, consultez aussi notre dossier comptabilité.
Et pour votre situation ?
Pour évaluer un prestataire, apportez la description des données et du service attendu. Demandez-lui de relier ses engagements et éventuelles certifications aux traitements réellement proposés, avec des accès, une restitution et une procédure d’incident clairement définis. Recherchez dans notre annuaire le professionnel adapté à votre besoin, puis demandez-lui une mission et un devis détaillés.
Sources et vérification
Références consultées le 20 septembre 2026. Les démarches officielles précisent les conditions et exceptions applicables.
Ce guide explique une démarche générale. Les règles applicables dépendent de votre situation ; il ne constitue pas une consultation personnalisée. Signaler une correction.
Votre prochaine étape
Un besoin précis mérite le bon interlocuteur
Comptabilité, fiscalité, création ou paie : préparez vos questions, puis recherchez dans l’annuaire le professionnel qui pourra examiner votre situation. Vérifiez ses missions et son statut avant de lui confier votre dossier.