Fiduciaire et expert-comptable : des dossiers sous secret, et presque aucune règle technique
Ou : les comptes d’un client en disent parfois plus long que son dossier médical, et personne n’a écrit comment les protéger.
La réponse courte : un expert-comptable ou un conseiller fiscal est tenu au secret professionnel, en Belgique par la loi du 17 mars 2019 sur ces professions, en France par l’ordonnance de 1945 qui organise l’expertise comptable. Aucun des deux ordres ne publie en revanche de règle technique sur l’accès distant : ni VPN, ni double facteur, ni guide de cybersécurité propre dans le cas de l’ITAA belge. Les obligations se déduisent donc du secret, du RGPD et parfois des contrats des clients soumis à NIS2. Le socle est le même que pour les autres cabinets : une connexion chiffrée vers les dossiers, un double facteur, un compte par personne et des postes chiffrés. C’est le secteur le moins balisé parmi les obligations réglementaires des PME.
En Belgique, l’article 120 de la loi de 2019 rend applicable aux experts-comptables, aux conseillers fiscaux, à leurs stagiaires et aux personnes dont ils sont responsables la disposition pénale sur le secret professionnel. Elle renvoie à l’article 458 de l’ancien Code pénal ; depuis le 1er septembre 2026, cette infraction figure à l’article 352 du nouveau code. La même loi ajoute, à son article 50, un devoir de confidentialité sur les données confiées. En France, l’article 21 de l’ordonnance de 1945 soumet les experts-comptables, leurs salariés et leurs stagiaires au secret, sous les peines de l’article 226-13 du Code pénal : un an d’emprisonnement et 15 000 euros d’amende.
VPN pour fiduciaire et expert-comptable : ce que disent les textes
| Obligation | Belgique | France | Suisse |
|---|---|---|---|
| Secret professionnel | Loi du 17 mars 2019, article 120 ; Code pénal de 2024, article 352 | Ordonnance de 1945, article 21 ; Code pénal, article 226-13 | Pas de secret pénal propre ; devoir de discrétion, article 62 de la loi sur la protection des données |
| Règle technique de l’ordre | Aucune publiée par l’ITAA | Aucune ; outils de sensibilisation avec Cybermalveillance.gouv.fr | Aucune règle fédérale identifiée |
| Sécurité des données | RGPD, article 32 | RGPD, article 32 | Loi sur la protection des données, article 8 |
L’absence de règle écrite n’est pas une absence de risque. Le Conseil national de l’ordre des experts-comptables a alerté ses membres en janvier 2024 sur des fraudes par usurpation de numéro de téléphone dont « plusieurs cabinets » avaient été victimes. Il a rejoint le dispositif Cybermalveillance.gouv.fr en avril 2024, et c’est avec lui que ce dernier a lancé, en juin 2026, une MalletteCyber PRO gratuite destinée aux TPE-PME. L’Ordre y rappelle que huit TPE-PME sur dix reconnaissent ne pas être préparées à une cyberattaque. En Belgique, l’ITAA ne publie pas de guide, mais sa police collective de responsabilité civile ouvre des conditions favorables pour une couverture cyber, par l’intermédiaire d’un courtier.
Deux évolutions rendent la question plus pressante. La facturation électronique, d’abord : en Belgique, elle est obligatoire entre entreprises depuis le 1er janvier 2026 ; en France, toutes les entreprises doivent pouvoir recevoir des factures électroniques depuis le 1er septembre 2026, et les PME devront en émettre au plus tard le 1er septembre 2027. Chaque plateforme ajoutée est un compte de plus à protéger. NIS2, ensuite : les cabinets comptables ne figurent pas parmi les secteurs de la directive, mais leurs clients qui y sont soumis doivent contrôler la sécurité de leurs fournisseurs directs, et le Centre pour la Cybersécurité Belgique conseille à ces fournisseurs d’appliquer au moins le niveau Basic de ses CyberFundamentals, qui exige le double facteur pour l’accès à distance.
En Suisse, la situation est différente : le secret professionnel pénal de l’article 321 du Code pénal ne cite pas les fiduciaires, mais l’article 62 de la loi sur la protection des données punit d’une amende pouvant atteindre 250 000 francs la révélation intentionnelle de données secrètes connues dans l’exercice d’une profession.
Le secret de l’avocat
Les avocats, eux, disposent d’une règle déontologique écrite sur la sécurité des échanges électroniques. Elle est détaillée dans le VPN du cabinet d’avocats.
Le client soumis à NIS2
Un client industriel ou hospitalier peut exiger du cabinet un niveau de sécurité contractuel. Le mécanisme est expliqué dans NIS2 et l’accès distant des PME.
L’assurance cyber du cabinet
Une couverture cyber pose ses propres conditions, bien plus précises que celles de l’ordre. Elles sont réunies dans les exigences des assureurs cyber.