Partage de mots de passe par e-mail : ce que risque réellement un cabinet comptable

L'état des lieux : des identifiants qui circulent partout

Un cabinet d'expertise comptable de taille moyenne détient, pour le compte de ses clients, plusieurs centaines de couples identifiant / mot de passe. Accès aux espaces professionnels d'impots.gouv.fr, comptes Net-Entreprises et Urssaf, portails bancaires en consultation, caisses de retraite, organismes sociaux, plateformes de dématérialisation : chaque dossier client génère en pratique quatre à six accès distincts, que le cabinet utilise tout au long de l'année pour produire les déclarations et tenir les comptes.

Comment ces identifiants arrivent-ils au cabinet, et comment y sont-ils conservés ? Dans la grande majorité des structures, la réponse tient en trois outils : l'e-mail, le SMS et le fichier Excel partagé sur le serveur. Le client envoie ses codes par courriel à son collaborateur habituel ; celui-ci les transfère à un collègue pendant ses congés ; une assistante les recopie dans un tableur pour que « tout le monde les retrouve ». Personne n'a décidé de ce fonctionnement : il s'est installé, dossier après dossier, parce que l'e-mail est l'outil que tout le monde possède déjà et que la période fiscale ne laisse pas le temps d'en chercher un autre.

Cette commodité explique que le partage de mots de passe en cabinet comptable par messagerie soit devenu la norme de fait de la profession. Elle n'en fait pas pour autant une pratique neutre sur le plan juridique, ni défendable sur le plan technique. C'est précisément ce que les deux sections suivantes examinent.

Ce que dit le droit : secret professionnel et article 32 du RGPD

Le secret professionnel de l'expert-comptable

L'expert-comptable est tenu au secret professionnel dans les conditions prévues à l'article 226-13 du Code pénal, en application de l'ordonnance n° 45-2138 du 19 septembre 1945 qui régit la profession. La révélation d'une information à caractère secret par une personne qui en est dépositaire par état ou par profession est punie d'un an d'emprisonnement et de 15 000 euros d'amende.

Les identifiants de connexion d'un client, ses accès fiscaux, sociaux ou bancaires, entrent sans difficulté dans le périmètre des informations couvertes par ce secret : ils ont été confiés au cabinet en raison de sa mission, et leur divulgation ouvre l'accès à l'ensemble de la situation patrimoniale et fiscale de l'intéressé. Le secret professionnel n'impose pas seulement de ne pas révéler ; il implique, en pratique, de conserver ces informations dans des conditions qui empêchent leur divulgation accidentelle. Un identifiant qui circule en clair dans des messageries multiples est difficilement compatible avec cette exigence.

L'article 32 du RGPD : une obligation de sécurité explicite

Le RGPD ajoute à cette obligation déontologique une obligation réglementaire précise. Son article 32 impose au responsable de traitement comme au sous-traitant de mettre en œuvre « des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Le texte cite lui-même, parmi ces mesures, le chiffrement des données à caractère personnel. Autrement dit, le chiffrement n'est pas une recommandation d'expert en sécurité : c'est un exemple donné par le règlement lui-même de ce que le législateur européen attend.

Le niveau de sécurité exigé s'apprécie au regard du risque pour les personnes concernées. Or les identifiants clients d'un cabinet donnent accès à des données fiscales, sociales et bancaires : le risque en cas de compromission est élevé, et le niveau de protection attendu l'est donc aussi. La CNIL a par ailleurs consacré aux mots de passe une recommandation dédiée (délibération n° 2022-100 du 21 juillet 2022), qui exclut clairement la conservation et la transmission d'identifiants en clair.

Responsable de traitement et sous-traitant

Sur le terrain du RGPD, la responsabilité de l'expert-comptable en matière de données est double. Pour ses propres traitements, gestion interne, personnel, prospection, le cabinet est responsable de traitement. Pour les données qu'il manipule pour le compte de ses clients, il agit le plus souvent comme sous-traitant au sens de l'article 28, avec les obligations propres à ce statut : garanties suffisantes en matière de sécurité, assistance du client en cas de violation, documentation des mesures mises en place. Dans les deux cas, l'obligation de sécurité de l'article 32 s'applique pleinement aux identifiants clients, qui sont des données à caractère personnel comme les autres, avec cette particularité qu'ils protègent l'accès à toutes les autres.

Les sanctions concrètes : CNIL, notification, réputation

L'échelle des sanctions administratives

L'article 83 du RGPD fixe le plafond des amendes administratives : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements à l'article 32, et jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires pour les manquements les plus graves. Ces plafonds concernent avant tout les grands groupes ; ils ne sont pas l'échelle pertinente pour un cabinet. Ce qui l'est davantage, c'est la pratique effective de la CNIL : le défaut de sécurité fondé sur l'article 32 figure, année après année, parmi les manquements les plus fréquemment retenus dans ses délibérations publiques, et plusieurs sanctions ont visé précisément des mots de passe conservés ou transmis en clair. La CNIL dispose en outre depuis 2022 d'une procédure de sanction simplifiée, conçue pour les dossiers de moindre ampleur, c'est-à-dire, typiquement, des structures de la taille d'un cabinet.

La notification sous 72 heures

La sanction financière n'est d'ailleurs pas le premier point de contact avec le régulateur. En cas de violation de données, une boîte mail compromise contenant des identifiants clients en est une, l'article 33 du RGPD impose de notifier la CNIL dans un délai de 72 heures. Si le risque pour les personnes est élevé, l'article 34 impose en plus d'informer individuellement les clients concernés. Concrètement : appeler ses clients pour leur expliquer que leurs accès fiscaux et bancaires ont pu être consultés par un tiers, et leur demander de changer l'ensemble de leurs mots de passe.

Le coût réel : la confiance

C'est là que se situe le risque le plus tangible pour la profession. Un cabinet ne vend pas des déclarations : il vend la confiance qu'on peut lui confier ce qu'on ne confierait à personne d'autre. Une violation de données n'entraîne pas nécessairement une amende ; elle entraîne en revanche, presque mécaniquement, des conversations difficiles avec chaque client concerné, et une question qui restera posée : si le cabinet n'a pas su protéger mes codes d'accès, que protège-t-il ?

Pourquoi l'e-mail est techniquement indéfendable

Indépendamment du droit, la sécurité de l'e-mail pour un expert-comptable pose un problème structurel : la messagerie n'a jamais été conçue pour transporter des secrets. Cinq caractéristiques la rendent inadaptée à cet usage, quelle que soit la prudence des utilisateurs.

• Un transport non maîtrisé. Le chiffrement d'un e-mail en transit dépend de la configuration de chaque serveur traversé, que ni le cabinet ni le client ne contrôlent. Le contenu, lui, reste lisible en clair sur les serveurs des deux messageries, et de toutes les boîtes en copie.
• La boîte mail est la cible principale des attaquants. Le hameçonnage vise d'abord les comptes de messagerie, parce qu'ils donnent accès à tout le reste. Une seule boîte compromise au cabinet, et c'est l'historique complet des échanges, identifiants inclus, qui devient accessible.
• Une rétention illimitée. Un mot de passe envoyé par e-mail en 2019 est toujours lisible aujourd'hui, dans le dossier « Éléments envoyés » du client, dans la boîte de réception du collaborateur, dans les sauvegardes des deux. Personne ne purge ces historiques.
• Des transferts incontrôlables. Un e-mail se transfère en un clic, volontairement ou par erreur de destinataire. Chaque transfert crée une copie supplémentaire du secret, hors de tout contrôle du cabinet.
• Aucune traçabilité. Il est impossible de savoir qui a consulté un identifiant transmis par e-mail, ni quand, ni de le révoquer. En cas d'incident, le cabinet ne peut ni reconstituer ce qui s'est passé, ni démontrer les mesures qu'il avait prises, alors même que l'article 32 lui impose de pouvoir le faire.

Aucun de ces points ne relève d'un mauvais usage corrigible par une consigne interne. C'est l'outil lui-même qui est inadapté au transport et à la conservation d'identifiants.

Les alternatives et leurs limites

Quatre familles de solutions existent. Chacune mérite d'être examinée honnêtement, avec ses apports et ses limites au regard du fonctionnement réel d'un cabinet.

Le gestionnaire de mots de passe grand public

Les gestionnaires généralistes offrent un vrai progrès : chiffrement sérieux, génération de mots de passe robustes, partage encadré entre utilisateurs. Leur limite tient à leur modèle : ils sont organisés par utilisateur et par coffre, pas par dossier client. Rattacher des centaines d'identifiants à des dossiers, les affecter par portefeuille de collaborateurs, et surtout collecter les codes auprès des clients sans repasser par l'e-mail : rien de tout cela n'est prévu. Le maillon faible, la transmission initiale par le client, reste entier.

Le fichier Excel chiffré

Protéger le classeur des mots de passe par un mot de passe est un réflexe compréhensible, mais il déplace le problème sans le résoudre : le mot de passe du fichier doit lui-même être partagé, le plus souvent par e-mail, et il est le même pour tous. Impossible de restreindre l'accès à certains dossiers, impossible de révoquer un collaborateur qui part sans changer le mot de passe et le rediffuser à tous, aucune trace des consultations. Et chaque copie du fichier qui circule échappe définitivement au contrôle du cabinet.

Le module du logiciel de production

Certains outils de production comptable proposent de stocker des identifiants, notamment pour l'automatisation des télédéclarations. C'est utile, mais partiel : ces modules couvrent les plateformes que le logiciel connaît, rarement les portails bancaires, les organismes sociaux annexes ou les accès divers d'un dossier. Le reste continue de vivre ailleurs, c'est-à-dire, en pratique, dans les e-mails et les tableurs.

Le gestionnaire professionnel conçu pour les cabinets

Reste la quatrième option : un gestionnaire dédié à la profession. Les critères qui le distinguent sont identifiables indépendamment de tout produit : une organisation native par dossier client et par portefeuille de collaborateurs ; un chiffrement de bout en bout dit « zero-knowledge », dans lequel l'éditeur lui-même ne peut pas lire les données ; une collecte des identifiants directement auprès du client, chiffrée dès la saisie, sans que les codes ne transitent jamais par une messagerie ; des droits d'accès individuels avec révocation immédiate ; et un journal d'audit qui permet de démontrer, le cas échéant, les mesures prises. Ce sont exactement les mesures « techniques et organisationnelles appropriées » que l'article 32 demande, appliquées au cas particulier des identifiants clients.

Par où commencer : l'état des lieux

Le partage d'identifiants par e-mail n'est pas une faute morale : c'est une pratique héritée, que le droit et la technique ont rendue indéfendable. La bonne nouvelle est que la remédiation est un projet borné, pas un chantier permanent, à condition de commencer par le commencement : savoir précisément quels identifiants le cabinet détient, où ils se trouvent, qui y accède et comment ils ont été transmis. Cet inventaire est, en soi, la première mesure organisationnelle que demande l'article 32, et c'est lui qui permet ensuite de choisir une solution à la mesure du besoin réel, plutôt qu'à l'aveugle.

C'est exactement l'objet de l'audit que PassCompta propose aux cabinets : un état des lieux structuré de la gestion des accès, restitué par écrit, qui sert de base de décision, que la suite se fasse avec nous ou non.

Sources et références

• Code pénal, article 226-13 (violation du secret professionnel), Légifrance
• Ordonnance n° 45-2138 du 19 septembre 1945 portant institution de l'Ordre des experts-comptables, Légifrance
• Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33, 34 et 83, EUR-Lex
• CNIL, Recommandation relative aux mots de passe (délibération n° 2022-100 du 21 juillet 2022)
• CNIL, Violations de données personnelles : les obligations de notification
• CNIL, Les sanctions prononcées par la CNIL