Guide complet RGPD pour gestorías et asesorías (2026) : ce que la loi vous impose et comment vous y conformer

Cet article est une information générale sur la réglementation en matière de protection des données. Il ne remplace pas le conseil d'un avocat ni l'analyse concrète de votre propre cabinet : utilisez-le comme une carte, pas comme un avis juridique.

Sommaire

1. Qui le RGPD oblige-t-il et pourquoi votre gestoría est-elle concernée deux fois ?
2. Quels documents votre cabinet doit-il avoir ?
3. Avez-vous besoin d'un délégué à la protection des données ?
4. Quel délai avez-vous en cas de violation de données ?
5. De combien de temps disposez-vous pour répondre à un client qui demande ses données ?
6. Votre gestoría a-t-elle des obligations supplémentaires au titre de la loi contre le blanchiment de capitaux ?
7. Que se passe-t-il si vous ne vous conformez pas ?
8. Checklist : par où commencer
9. Questions fréquentes

Qui le RGPD oblige-t-il et pourquoi votre gestoría est-elle concernée deux fois ?

Le RGPD s'applique à toute entreprise, tout autónomo (travailleur indépendant) ou toute entité qui traite des données de personnes physiques dans l'Union européenne, quelle que soit sa taille. Il n'y a pas d'exception pour les PME ni pour les indépendants : une asesoría de deux personnes et une multinationale relèvent du même règlement, même si le nombre de mesures concrètes dont chacune a besoin est différent (art. 5 RGPD, principe de responsabilité).

Une gestoría ou asesoría est particulière parce qu'elle remplit deux rôles distincts qui ne se mélangent jamais :

• En tant que sous-traitant (art. 28 RGPD) : lorsque vous tenez la comptabilité, la paie ou la fiscalité d'un client, vous traitez les données de ses salariés, de ses clients ou de ses fournisseurs sur instruction de ce client. C'est lui qui décide à quoi servent ces données et qui répond de la base légale ; vous signez avec lui un contrat de sous-traitance qui fixe ce que vous pouvez faire, comment vous protégez ces données et ce qu'elles deviennent à la fin du contrat.
• En tant que responsable du traitement : pour les données de votre propre activité — votre personnel, vos fournisseurs, votre propre facturation, votre marketing — vous répondez exactement comme n'importe quelle autre entreprise.

Si vous gérez le volet social de plusieurs clients, vous traitez en outre des données de santé (arrêts de travail, taux de handicap) qui figurent sur les bulletins de paie : ce sont des données de catégorie particulière (art. 9 RGPD) et elles exigent une obligation de confidentialité renforcée avec votre équipe, même si la base légale pour les traiter est celle de votre client.

Quels documents votre cabinet doit-il avoir ?

Le socle documentaire que le RGPD exige d'une gestoría, avec son article exact :

• Registre des activités de traitement (art. 30 RGPD) : la liste des données que vous manipulez, à quelles fins et pendant combien de temps. En tant que sous-traitant, votre version du registre est plus courte que celle d'un responsable du traitement (art. 30.2 RGPD).
• Contrat de sous-traitance (art. 28 RGPD) avec chaque client dont vous gérez les données — et avec chaque sous-traitant ultérieur si vous confiez une partie du travail à un autre professionnel (art. 28.2 RGPD).
• Mentions d'information pour vos propres clients et pour votre personnel (arts. 13-14 RGPD) : quelles données vous traitez, à quelles fins et sur quelle base légale.
• Analyse de risques et, le cas échéant, une analyse d'impact (EIPD) lorsque le traitement est susceptible d'engendrer un risque élevé pour les personnes (art. 35 RGPD) — par exemple si vous gérez le volet social de nombreux clients à la fois et traitez donc des données de santé à grande échelle.
• Registre des incidents de sécurité (art. 33.5 RGPD) : toute violation est documentée en interne, qu'elle soit notifiée ou non à l'AEPD.
• Politique de conservation : combien de temps vous conservez chaque donnée et quand vous l'effacez (art. 5.1.e RGPD, principe de limitation de la conservation).
• Procédure relative aux droits : comment vous répondez lorsque quelqu'un demande à accéder à ses données, à les rectifier, à les effacer ou à les emporter (arts. 12-22 RGPD).

Avez-vous besoin d'un délégué à la protection des données ?

Presque certainement pas, et cela vaut la peine de bien l'expliquer car c'est l'un des doutes qui circulent le plus parmi les gestorías. L'art. 34.1 LOPDGDD (texte consolidé au BOE) contient une liste fermée de types d'entités tenues de désigner un délégué, en plus des cas généraux de l'art. 37.1 RGPD (autorités publiques, suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données de catégorie particulière).

Une asesoría ou gestoría ne figure pas sur cette liste du fait de fournir des services fiscaux, comptables ou sociaux. Le seul point de l'art. 34.1 LOPDGDD qui mentionne la réglementation contre le blanchiment de capitaux est le point j), et il vise celui qui est responsable d'un fichier commun du secteur (les fichiers de solvabilité patrimoniale ou de prévention de la fraude) — et non les professionnels qui, comme une gestoría, consultent ou alimentent ces fichiers en appliquant leurs obligations d'identification des clients. Être « entité assujettie » (sujeto obligado) au titre de la Ley 10/2010 ne fait pas de vous le responsable d'un fichier commun.

Cela dit, chaque cabinet est un cas particulier : si votre volume de données de santé traitées au titre du volet social augmente beaucoup, ou si vous traitez des données à une échelle inhabituelle pour le secteur, faites le point sur votre situation avec un juriste. Même si ce n'est pas obligatoire pour vous, désigner un délégué reste toujours une option volontaire valable (art. 34.2 LOPDGDD) — étant entendu qu'une fois désigné, vous relevez du même régime que si c'était obligatoire.

Quel délai avez-vous en cas de violation de données ?

Si vous perdez un ordinateur portable contenant des données, si votre messagerie est piratée ou si vous envoyez des informations au mauvais destinataire, le compte à rebours commence. L'art. 33 RGPD fixe un maximum de 72 heures à compter du moment où vous en avez eu connaissance pour le notifier à l'AEPD via son portail en ligne (sede electrónica), sauf s'il est improbable que cela engendre un risque pour les droits des personnes concernées. Si le risque est élevé, vous devez en outre avertir directement les personnes concernées, sans délai et dans un langage clair (art. 34 RGPD).

Même lorsque vous décidez qu'il n'est pas nécessaire de le notifier à l'AEPD, la loi vous oblige tout de même à consigner l'incident en interne dans votre registre des incidents (art. 33.5 RGPD) : documenter toutes les défaillances, qu'elles soient notifiées ou non, est obligatoire.

De combien de temps disposez-vous pour répondre à un client qui demande ses données ?

Lorsque quelqu'un vous demande d'accéder à ses données, de les corriger, de les effacer ou de les lui remettre dans un fichier pour les emporter ailleurs, vous avez un mois à compter de la réception de la demande pour répondre (art. 12.3 RGPD). Ce délai peut être prolongé de deux mois supplémentaires pour les demandes particulièrement complexes, à condition d'informer la personne du motif dans le premier mois.

Si le délai est dépassé, la bonne réaction n'est pas de l'ignorer : répondez au plus vite, consignez la date réelle de la réponse et suivez la procédure malgré tout.

Votre gestoría a-t-elle des obligations supplémentaires au titre de la loi contre le blanchiment de capitaux ?

Si vous fournissez des conseils fiscaux, comptables ou sociaux, la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, fait de vous une « entité assujettie » (art. 2.1) et vous impose d'identifier vos clients —y compris les bénéficiaires effectifs des sociétés— avant de commencer à travailler pour eux. Cette obligation est indépendante du RGPD, mais elle génère un traitement de données propre (copie de la pièce d'identité, activité économique, origine approximative des fonds) qu'il faut également documenter et protéger : accès restreint, conservation séparée du dossier fiscal ordinaire.

Que se passe-t-il si vous ne vous conformez pas ?

C'est l'AEPD qui contrôle le respect du RGPD en Espagne. Elle peut demander des explications, ordonner des changements, prononcer un avertissement ou infliger une amende. L'art. 83 RGPD fixe les maximums possibles sur deux niveaux — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et jusqu'à 20 millions ou 4 %, selon l'infraction, le plus élevé des deux montants s'appliquant.

En pratique, ces chiffres sont le plafond légal, pas la norme : la sanction est graduée selon la gravité, la taille de l'entreprise et selon que vous avez coopéré ou non avec l'Agence. Selon l'AEPD elle-même, en 2025 l'Agence a reçu 30 931 réclamations, le chiffre le plus élevé de son histoire (+64 % par rapport à 2024), et a infligé des sanctions pour un total de 48 108 765 € — près de 40 % de ce montant pour des violations de données mal gérées. Ce sont des données officielles, pas une menace : elles montrent que le contrôle se renforce, et que le domaine le plus sanctionné (les violations de données) est précisément celui que l'on évite avec une procédure interne claire et appliquée à temps.

Une petite entreprise qui a sa documentation en ordre, répond dans les délais et coopère avec l'Agence ne se trouve pas dans le scénario des montants maximaux. C'est pourquoi il vaut mieux régler cela : non pas pour éviter une frayeur ponctuelle, mais pour cesser d'y penser.

Checklist : par où commencer

Si vous n'avez encore rien préparé, voici l'ordre raisonnable :

1. Notez dans une liste quelles données vous traitez pour le compte de vos clients et lesquelles sont les vôtres (registre des activités).
2. Vérifiez que vous avez signé le contrat de sous-traitance (art. 28 RGPD) avec chaque client actif.
3. Écrivez qui répond si une demande d'exercice de droits ou une violation de données survient, et dans quel délai.
4. Vérifiez où sont hébergés vos logiciels et vos sauvegardes : s'ils sortent de l'Union européenne, examinez les garanties de ce transfert.
5. Mettez par écrit, avec une date, pourquoi vous n'avez pas besoin d'un délégué à la protection des données (ou pourquoi vous en avez besoin).

Chacun de ces points a son propre document type dans Tranquilia, généré à partir des réponses de votre wizard.

Questions fréquentes

Le RGPD s'applique-t-il de la même façon à un autónomo qu'à une grande entreprise ?

Oui. Le règlement ne distingue ni par la taille ni par la forme juridique (art. 5 RGPD). Ce qui change, c'est le volume de mesures concrètes dont vous avez besoin : une petite gestoría n'a pas besoin de la même chose qu'un grand cabinet, mais toutes deux partent des mêmes obligations de base.

Une gestoría a-t-elle besoin du consentement de ses clients pour tenir leur comptabilité ?

Non. La base légale pour fournir le service contracté est l'exécution du contrat (art. 6.1.b RGPD), et non le consentement. Le consentement n'est nécessaire que pour ce qui n'est pas nécessaire au service, comme l'envoi de newsletters ou de promotions.

Quelle est la différence entre responsable du traitement et sous-traitant ?

Le responsable du traitement décide à quoi servent les données et sur quelle base légale. Le sous-traitant les traite pour le compte d'un autre, en suivant ses instructions. Une gestoría est sous-traitante pour les données des clients de son client, et responsable du traitement pour les données de sa propre activité (art. 4.7 et 4.8 RGPD).

Combien de temps l'AEPD met-elle à traiter une réclamation ?

Ce guide ne fixe pas de délai de résolution unique pour toute réclamation : cela dépend du type de procédure. Ce qui a bien un délai fixe, c'est votre obligation de réponse aux personnes (un mois, art. 12.3 RGPD) et de notification des violations (72 heures, art. 33 RGPD).

Avoir un logiciel de gestoría dans le cloud me libère-t-il de ma responsabilité ?

Non. Le logiciel que vous utilisez est votre sous-traitant (art. 28 RGPD) : vous restez responsable de l'existence d'un contrat avec lui et du choix d'un prestataire offrant des garanties suffisantes. La responsabilité ne se délègue pas, elle se répartit par contrat.

---

Vous voulez le voir appliqué à votre propre cabinet ? Tranquilia génère automatiquement le registre des activités, le contrat de sous-traitance et le reste des documents de ce guide à partir d'un questionnaire adapté aux asesorías et gestorías. Le niveau gratuit permet de l'essayer avec jusqu'à 2 entreprises, sans carte bancaire et sans limite de temps — rendez-vous sur tranquilia.es.

Guide élaboré par Tranquilia by GRAC SA. Publié le 16 juillet 2026. Dernière révision : 16 juillet 2026. Le contenu s'appuie sur les sources officielles citées ci-dessous et ne constitue pas un conseil juridique individuel.

Sources

• Reglamento (UE) 2016/679 (RGPD) — EUR-Lex
• Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD) — texto consolidado, BOE
• Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales — BOE
• AEPD — Notificación de brechas de seguridad (art. 33 RGPD), Sede electrónica
• AEPD — Nota de prensa: «La Agencia recibió más de 30 000 reclamaciones en 2025, un 64% más que el año anterior» (6 de mayo de 2026)