Échange de pièces et portail client : quelles solutions sécurisées ?

L'article 32 du RGPD impose au responsable de traitement de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité des données. De son côté, l'article 21 de l'ordonnance du 19 septembre 1945 tient l'expert-comptable au secret professionnel, dans les conditions et sous les peines de l'article 226-13 du code pénal. Ces deux obligations couvrent une chose très concrète de votre quotidien : les pièces de vos clients, du relevé bancaire à la facture, quand elles entrent et sortent du cabinet.

Or l'échange de ces pièces se déplace, année après année, vers les portails intégrés aux logiciels de production. Cegid Loop, MyUnisoft ou Pennylane proposent une interface partagée entre le cabinet et son client, où le dirigeant dépose ses documents et suit ses dossiers. C'est un fait, pas un jugement. La question utile n'est pas de savoir quel outil est le meilleur, mais par quels canaux vos pièces sortent réellement aujourd'hui, et si ces canaux sont maîtrisés.

Le geste banal qui pose la question

Un client vous transmet ses factures et ses relevés. Un autre vous envoie un scan de son bail. Vous, en retour, vous adressez un bilan, une liasse, une attestation. Les fichiers s'accumulent, certains sont lourds, et il faut bien qu'ils circulent.

En pratique, dans un cabinet, ce moment se règle avec l'outil qui se trouve sous la main. Le client dépose ses pièces en pièce jointe, votre messagerie les rejette parce qu'elles sont trop lourdes, alors il passe par un WeTransfer. Ou il partage un dossier depuis son Drive personnel. Ou il apporte une clé USB à un rendez-vous. Vous-même, pour renvoyer un document, vous joignez un fichier à un e-mail. Chacun de ces gestes fonctionne, au sens où le fichier arrive. Le problème n'est pas là. Il est dans ce qui reste ouvert, non tracé, ou hébergé on ne sait où, une fois le fichier parti.

Ce qui reste ouvert quand la pièce est partie

Trois risques reviennent quand les pièces circulent par des canaux improvisés. Aucun ne relève de la fatalité, et aucun ne mérite d'être dramatisé.

• La divulgation. Une pièce couverte par le secret professionnel qui transite par un service grand public dépend d'un prestataire que vous n'avez pas choisi pour ça. Le lien peut être transféré, deviné, ou rester accessible plus longtemps que prévu.
• La perte de contrôle. Un lien de partage peut rester actif après que le destinataire a récupéré le fichier, sans que vous soyez prévenu qu'il est encore ouvert. Selon le service, un lien expire ou non, se révoque ou non : c'est un point à vérifier plutôt qu'à supposer.
• La perte de traçabilité. Quand une pièce part par une boîte personnelle ou une clé, vous ne savez pas qui l'a téléchargée, ni quand, ni si elle a été rediffusée. Le jour où il faut reconstituer ce qui a été communiqué, à qui, il ne reste rien à consulter.

En pratique, dans un cabinet, ces trois risques se combinent souvent avec un quatrième, plus discret : la pièce jointe trop lourde rejetée pousse au contournement. Quand la voie officielle est un peu pénible, chacun trouve la sienne, et c'est justement là que la maîtrise se perd.

Plutôt que de condamner tel ou tel outil, la démarche utile est de vérifier ses propriétés. Avant de choisir un service, vérifiez si le lien expire, s'il peut être révoqué, si les téléchargements sont journalisés et où les fichiers sont hébergés.

Ce que change un canal maîtrisé

Un canal maîtrisé, ce n'est pas un outil de plus, c'est un outil dont vous connaissez trois choses : où sont hébergés les fichiers, combien de temps un accès reste ouvert, et qui a récupéré quoi. Un portail client digne de ce nom vise précisément ce cadre : un dépôt unique et tracé, dans les deux sens, où le client charge ses pièces et où vous déposez vos documents.

Je précise un point pour rester honnête : le portail intégré à votre logiciel de production n'est pas la seule réponse possible, et il ne dispense pas de bien le configurer. C'est une option parmi les canaux maîtrisés, souvent pertinente parce qu'elle vit là où vos dossiers vivent déjà. D'autres solutions professionnelles, hébergées en France ou dans l'Union européenne, avec expiration des liens et journal des accès, remplissent le même rôle. Ce qui compte, c'est le cahier des charges, pas la marque.

Une grille pour vérifier par où partent vos pièces

Ces questions n'exigent aucune compétence technique. Leurs réponses disent où vous en êtes.

• Existe-t-il, au cabinet, un canal officiel unique pour recevoir et envoyer les pièces, connu de tous les collaborateurs et clients ?
• Les liens ou accès que vous ouvrez expirent-ils au bout d'un délai, ou restent-ils ouverts indéfiniment ?
• Les envois et dépôts sont-ils tracés : qui a déposé quoi, qui a récupéré quoi, à quelle date ?
• Savez-vous où sont physiquement hébergées les pièces que vous échangez : en France, dans l'Union européenne, ailleurs ?
• Vos collaborateurs, ou vos clients, contournent-ils le portail par confort, avec un mail ou un Drive personnel ?
• Le portail est-il réellement utilisé côté client, ou reste-t-il une case cochée que personne n'ouvre ?
• Pouvez-vous révoquer immédiatement l'accès d'un client dont la relation s'est terminée ?

Si plusieurs réponses sont « je ne sais pas », ce n'est pas un reproche : c'est simplement qu'aucun canal officiel n'a été posé, ou qu'il n'a pas été rendu assez simple pour être adopté.

Où s'arrête mon rôle

C'est une limite que je tiens à poser, parce qu'elle vous protège. Je mets en place et je configure le canal maîtrisé, qu'il s'agisse du portail intégré à votre logiciel ou d'une autre solution, je paramètre l'expiration des accès, la journalisation et l'hébergement, et je forme vos équipes et vos clients à s'en servir. C'est le terrain technique.

Apprécier ce que couvre le secret professionnel dans un échange donné, décider quelle pièce peut sortir et vers qui, juger si une communication est opportune : cela reste votre responsabilité, avec votre délégué à la protection des données le cas échéant. Je fournis le canal sûr et je m'assure qu'il fonctionne. Ce qui passe dedans, et vers qui, c'est votre décision.

Par où commencer

Commencez par cartographier vos canaux d'échange : je recense par quels chemins vos pièces entrent et sortent réellement aujourd'hui, mail, WeTransfer, clé USB, Drive personnel ou portail, et je note pour chacun l'expiration des accès, la traçabilité et le lieu d'hébergement. Vous recevez une image claire de ce qui est maîtrisé et de ce qui ne l'est pas, et, si c'est pertinent, la mise en place d'un canal de dépôt unique assez simple pour que clients et collaborateurs l'adoptent.