Introduction : La responsabilité du secrétaire indépendant face aux données de relance
La secrétaire indépendante qui pilote la relance amiable pour plusieurs clients TPE se trouve à un carrefour délicat : elle accède à des données à caractère personnel (identifiants de débiteurs, adresses, historiques de paiement), les traite, les stocke et les transmet. Cette position intermédiaire soulève une question fondamentale : qui porte la responsabilité légale en cas de manquement au Règlement Général sur la Protection des Données (RGPD) ?
La réponse n'est pas binaire. Elle dépend du cadre contractuel établi avec chaque client, du rôle réel du secrétaire dans le traitement des données et de la documentation mise en place. Cet article clarifie les obligations légales et les bonnes pratiques pour sécuriser son activité.
Comprendre les rôles RGPD : Responsable de traitement et Sous-traitant
Qui est responsable de traitement ?
Le responsable de traitement est la personne ou l'entité qui détermine les finalités et les moyens du traitement des données. Dans le contexte d'une relance amiable, c'est généralement le cabinet comptable, la TPE elle-même ou le DAF externalisé qui décide :
- Que la relance doit être effectuée ;
- Auprès de quels débiteurs ;
- Selon quels délais et modalités ;
- Pendant combien de temps les données seront conservées.
Le responsable de traitement assume les responsabilités principales au regard du RGPD (articles 5 et 32 notamment).
Quel est le rôle du sous-traitant ?
Un sous-traitant (article 28 du RGPD) traite les données au nom et sur instruction du responsable. Le secrétaire indépendant peut être qualifié de sous-traitant s'il :
- N'a pas d'autonomie décisionnelle sur les données ;
- Traite les données exclusivement selon les instructions du client ;
- N'utilise les données que pour effectuer la mission confiée ;
- Met en œuvre les mesures de sécurité demandées par le responsable.
En tant que sous-traitant, le secrétaire indépendant reste responsable des mesures techniques et organisationnelles de sécurité, mais le responsable de traitement (le cabinet ou la TPE) porte la responsabilité principale vis-à-vis de la CNIL et des personnes concernées.
Le cas du responsable de traitement de fait
Attention : si le secrétaire indépendant dispose d'une latitude décisionnelle réelle (choisir les débiteurs à relancer, déterminer les contenus, décider de la conservation), il pourrait être qualifié de responsable de traitement de fait, même sans accord explicite. C'est un risque contractuel majeur.
Cadrer la responsabilité par le contrat
Établir un contrat de prestation de services clair
Pour éviter toute ambiguïté, le secrétaire indépendant doit rédiger ou faire valider un contrat de prestation de services avec chaque client. Ce contrat doit préciser :
- La nature exacte de la mission (relance amiable, suivi des relances, archivage) ;
- Les instructions précises du client (qui relancer, en quel format, à quelle fréquence) ;
- La limitation explicite : « prestation effectuée sous instruction et autorité du client » ;
- Les délais de conservation des données ;
- Les mesures de sécurité mis en place (chiffrement, accès limité, etc.).
Exemple concret : Un cabinet comptable confie à une secrétaire la relance des factures impayées. Le contrat stipule : « La secrétaire relance uniquement les débiteurs désignés par le cabinet, selon le modèle de courrier fourni, dans un délai de 8 jours suivant la date limite fixée. Les données sont supprimées 90 jours après la dernière relance. »
La convention de sous-traitance RGPD
Si le secrétaire indépendant est qualifié de sous-traitant, l'article 28 du RGPD impose une convention de traitement des données (ou contrat de sous-traitance). Cette convention doit couvrir :
- L'objet et la durée du traitement ;
- La nature et les finalités du traitement ;
- Les catégories de données traitées ;
- Les obligations et droits du responsable ;
- Les modalités de sécurité et de confidentialité ;
- Les droits des personnes concernées (droit d'accès, droit à l'oubli, etc.).
Cette convention évite les malentendus et fournit une protection légale en cas de contrôle de la CNIL.
Les obligations spécifiques de la secrétaire indépendante
Sécuriser l'accès aux données
La secrétaire indépendante qui traite les données doit mettre en œuvre des mesures techniques appropriées :
- Authentification sécurisée : accès par mot de passe robuste aux fichiers ou systèmes contenant les données ;
- Chiffrement : en transit (connexion HTTPS, email chiffré) et au repos (disque dur, cloud sécurisé) ;
- Limitation d'accès : seul le personnel autorisé peut accéder aux listes de débiteurs ;
- Traçabilité : logs d'accès pour documenter qui a consulté quelles données.
Respecter les droits des personnes
Les débiteurs sont des « personnes concernées » au sens du RGPD. Leur droit à l'effacement (article 17 du RGPD) n'est pas absolu : il cède lorsque les données restent nécessaires au recouvrement de la créance ou à la défense d'un droit en justice (article 17.3). Si un débiteur demande la suppression de ses données, la secrétaire doit :
- Signaler immédiatement la demande au responsable (le cabinet) ;
- Laisser le responsable de traitement répondre dans le délai d'un mois prévu par l'article 12 du RGPD (prolongeable de deux mois), puis exécuter l'effacement s'il est décidé ;
- Documenter cette suppression.
Documenter la conformité
L'article 32 du RGPD exige des mesures de sécurité « appropriées » au risque ; s'y ajoutent le registre des activités de traitement (article 30) et, si nécessaire, l'analyse d'impact (article 35). Pour le secrétaire indépendant, cela signifie :
- Tenir un registre des traitements (quelles données, dans quel but, pour combien de temps) ;
- Produire une analyse de risque (évaluation d'impact, AIPD) si nécessaire ;
- Documenter les contrats et instructions reçues ;
- Archiver les preuves de sécurité (mise à jour des systèmes, sauvegardes, tests d'accès).
Les cadres légaux de la relance amiable
L441-10 du Code du commerce
L'article L441-10 encadre les délais de paiement : 30 jours après réception par défaut, 60 jours date de facture au maximum si le contrat le prévoit. Avant d'engager une relance, il faut vérifier que le délai applicable a expiré. Cette vérification doit être documentée et fondée sur les instructions du client.
Durées de conservation : prescription commerciale et RGPD
Les durées de conservation des données de relance ne relèvent pas d'un texte unique : elles découlent du principe RGPD de limitation de la conservation et de la prescription commerciale de l'article L110-4 du Code de commerce (5 ans), qui justifie de garder les preuves de relance tant qu'une action reste juridiquement possible. Le secrétaire indépendant applique les instructions écrites de son client sur ce point.
Traçabilité et limites du mandat
La relance amiable peut impliquer des interactions avec des débiteurs potentiellement frauduleux. Le secrétaire indépendant doit respecter les obligations de traçabilité sans dépasser son mandat (ce rôle relève plutôt du cabinet ou du responsable légal).
Les risques en cas de non-conformité
Responsabilité pénale
Un manquement grave au RGPD peut entraîner des sanctions pénales (articles 226-16 à 226-24 du Code pénal) pour le responsable de traitement ET le sous-traitant, en particulier en cas de défaut de sécurité, d'accès non autorisé ou de divulgation de données.
Responsabilité civile
Un débiteur ayant subi un préjudice du fait d'un traitement non conforme (divulgation publique, relance erronée, etc.) peut demander réparation. C'est pourquoi une assurance responsabilité civile adaptée est recommandée.
Contrôle CNIL
La CNIL peut engager des contrôles. L'absence de contrat, de documentation ou de mesures de sécurité aura un impact négatif sur le jugement de conformité.
Bonnes pratiques pour sécuriser l'activité
- Modèle de contrat RGPD : utiliser un modèle validé légalement pour tous les clients (à adapter selon le rôle réel) ;
- Formation interne : connaître les droits RGPD élémentaires et les procédures de sécurité ;
- Audit annuel : vérifier que les contrats, mesures de sécurité et instructions sont à jour ;
- Assurance RC : couvrir les risques liés aux données et à la responsabilité civile ;
- Suppression programmée : automatiser la suppression des données à l'expiration du délai contractuel ;
- Trace écrite : conserver les emails d'instruction du client pour justifier de l'exécution conforme.
RECOVMAX : un outil pour maîtriser la conformité dans la relance multi-clients
Gérer la relance amiable pour plusieurs clients tout en respectant le RGPD exige une organisation rigoureuse. Un outil dédié à la relance post-facturation peut faciliter cette conformité.
RECOVMAX est conçu pour les secrétaires indépendantes, office managers et DAF externalisés qui pilotent un portefeuille de relances multi-clients. Il offre une vue centralisée par client, une trace complète des actions de relance et une architecture par défaut en marque blanche (les relances portent l'identité du cabinet, sans mention de l'outil dans leur contenu).
Cet outil intervient après l'émission de la facture, sans fonctionnalité de facturation. Il permet de :
- Documenter chaque relance et chaque instruction du client ;
- Respecter les délais légaux (L441-10) et contractuels ;
- Archiver les preuves de conformité ;
- Automatiser la suppression des données selon les délais définis ;
- Maintenir une séparation nette entre clients (isolation des données).
En structurant le processus de relance, RECOVMAX aide à réduire les risques RGPD et à professionnaliser la gestion multi-clients.
Conclusion
La secrétaire indépendante en charge de la relance amiable n'est pas responsable seule des données : cette responsabilité est partagée selon le cadre contractuel. En mettant en place des contrats clairs, des mesures de sécurité appropriées et une documentation solide, elle limite les risques légaux et renforce la confiance de ses clients.
Le RGPD ne doit pas paralyser l'activité, mais l'inciter à s'organiser de manière professionnelle et traçable. C'est à ce prix que la relance amiable multi-clients peut se déployer en toute conformité.