En bref : l’article 226-13 du Code pénal punit toute révélation d’une information à caractère secret par un dépositaire professionnel. Les pièces comptables d’un client en font partie. À l’ère du cloud, ce constat impose de regarder où sont vraiment vos pièces, qui peut y accéder, et ce que cela coûterait à votre cabinet en cas de fuite ou de réquisition étrangère.
Mardi midi. Une cliente vous demande d’envoyer la liasse fiscale de l’année dernière à son nouvel investisseur. Vous prenez votre Pennylane, vous exportez la pièce, vous la collez dans un mail, vous l’envoyez. Pendant ce temps, le fichier transite par votre ordinateur, par votre boîte mail Gmail Business, par les serveurs Google, par la boîte mail du destinataire. Avant même qu’on regarde la qualité du chiffrement, posez-vous la vraie question : combien de tiers viennent d’avoir entre les mains une pièce comptable secrète ?
L’article 226-13 ne fait pas dans la nuance
L’article 226-13 du Code pénal a une particularité : il s’applique automatiquement dès lors que vous êtes dépositaire d’une information secrète, soit par état ou profession, soit en raison d’une fonction ou d’une mission. Pour un expert-comptable, cette qualité est constituée par la simple inscription à l’Ordre. Pas besoin de signer un NDA, pas besoin de mentionner expressément le secret dans la lettre de mission. Le secret est attaché à la profession.
« La révélation d’une information à caractère secret par une personne qui en est dépositaire soit par état ou par profession, soit en raison d’une fonction ou d’une mission temporaire, est punie d’un an d’emprisonnement et de 15 000 euros d’amende. »
Article 226-13 du Code pénal
Le Code de déontologie de l’Ordre des experts-comptables, en ses articles 145 et suivants, en rajoute. Le secret professionnel est qualifié d’« absolu », et il s’étend à l’ensemble du personnel du cabinet, aux stagiaires, et même aux prestataires extérieurs. Le simple fait d’avoir confié des pièces à un sous-traitant non encadré peut être constitutif d’une faute déontologique.
Pourquoi le cloud change la règle du jeu
Avant 2010, la question du secret comptable était simple. Les pièces étaient sur papier, dans un classeur, dans une armoire fermée. Aujourd’hui, elles sont sur un Drive partagé, dans un Pennylane, dans un Tiime, dans un Dext, dans un mail, dans un WeTransfer, et dans la copie locale du collaborateur qui télétravaille. Le périmètre du secret n’a pas changé. Le périmètre technique sur lequel il s’applique a, lui, explosé.
Or, chaque fois qu’une pièce sort du périmètre que vous contrôlez directement, elle entre dans le périmètre d’un sous-traitant. Le RGPD encadre cette relation par des contrats — les Data Processing Agreements — mais ces contrats ne créent pas la souveraineté ; ils l’organisent à votre place. Si l’éditeur du SaaS est américain, votre DPA ne peut pas vous protéger contre une réquisition CLOUD Act. Si l’éditeur a été racheté, votre DPA est renégocié sans vous. Si l’éditeur a un bug qui expose vos données, vous êtes informés après les autres.
Ce que disent vraiment les outils que vous utilisez
Pennylane est un acteur français, désormais valorisé à plus de deux milliards d’euros, qui a levé cent soixante-quinze millions d’euros début 2026. Sa juridiction est française. C’est une vraie différence avec un TaxDome ou un SmartVault. Mais Pennylane reste un SaaS hébergé : vos pièces vivent sur leurs serveurs, sous leur contrôle opérationnel, et la conformité de leur sécurité dépend de leur architecture. C’est gérable, à condition d’auditer le DPA et de comprendre que vous êtes en sous-traitance.
Dext, qui appartient au groupe IRIS, est britannique d’origine — donc post-Brexit hors Union européenne pour les questions de transferts. Tiime est français, plus petit, focalisé sur le segment indépendant et freelance. Cegid, EBP, Sage sont historiques mais restent des stacks lourdes, mal adaptées aux petits cabinets qui veulent du portail client.
Côté américain, TaxDome et SmartVault sont des références utilisées par des dizaines de milliers de cabinets dans le monde anglophone. Leur architecture est solide, leur écosystème est puissant. Mais leur juridiction d’incorporation expose mécaniquement vos pièces clients au CLOUD Act. Pour un cabinet français, ce n’est pas un détail.
Conservation dix ans : ce que dit l’article R. 123-200 du Code de commerce
Au secret comptable s’ajoute l’obligation de conservation. L’article R. 123-200 du Code de commerce, complété par l’article L. 102 B du Livre des procédures fiscales, impose la conservation des pièces justificatives pendant dix ans à compter de la clôture de l’exercice. Cette obligation n’est pas une formalité : elle est régulièrement contrôlée, et son non-respect expose à un redressement fiscal et à des pénalités.
Or, dix ans, c’est plus que la durée de vie moyenne d’un SaaS. C’est plus que la durée d’un cycle de rachat-rebranding. Si votre éditeur ferme ou pivote, vous devez pouvoir récupérer toutes les pièces conservées sous une forme exploitable et auditable. La portabilité réelle, pas la portabilité affichée. C’est techniquement faisable sur la plupart des SaaS, mais le coût opérationnel d’une migration sur dix ans de pièces est rarement budgété.
La facture électronique 2026 ne résout pas le problème, elle le déplace
Le passage à la facture électronique obligatoire entre entreprises, planifié à partir de septembre 2026 pour les grandes, en 2027 pour les TPE-PME, va structurer les flux de facturation autour de plateformes agréées. C’est une bonne chose pour la traçabilité de cette catégorie spécifique de pièces. Mais ça ne couvre pas les autres : RIB, contrats clients, statuts juridiques, justificatifs de domicile, attestations URSSAF, relevés de comptes. Toutes ces pièces continueront d’être collectées par d’autres canaux, et ce sont elles qui posent le plus de problèmes de souveraineté.
Critères d’une chaîne de collecte propre
Avant de regarder Client Vault ou tout autre outil, voici la grille à appliquer. Hébergement chez un acteur français ou européen, juridiction de l’éditeur en France ou en UE. Espace cloisonné par client — pas un dossier global accessible à toute l’équipe. Traçabilité opposable des accès, dépôts, validations et suppressions. Demande de pièces structurée plutôt que par mail libre. Conformité RGPD sur les durées de conservation, droit à l’effacement, portabilité. Indépendance vis-à-vis d’un éditeur unique : si l’outil disparaît, le cabinet récupère ses données sous un format exploitable.
Cette grille permet d’évaluer Pennylane, TaxDome, SmartVault, ou n’importe quelle autre solution. Pennylane coche la souveraineté éditoriale mais reste un SaaS hébergé. TaxDome perd la souveraineté éditoriale. SmartVault aussi. Une stack WordPress avec coffre-fort souverain coche les six critères, à condition de bien choisir l’hébergeur.
Ce que Client Vault propose pour un cabinet comptable
Client Vault, comme plugin WordPress, crée un espace privé par client de votre cabinet. Quand vous demandez une liasse, un RIB ou un contrat, votre client dépose la pièce sur cet espace. Chaque dépôt est validé et horodaté. L’historique reste consultable et opposable. Quand vous transmettez une pièce à un confrère ou à un commissaire aux comptes, vous la téléchargez depuis votre coffre, vous l’envoyez par le canal de votre choix, mais vous gardez une trace centrale.
L’intérêt de l’architecture WordPress, c’est qu’elle s’intègre à votre stack existante plutôt qu’elle ne la remplace. Vous gardez Pennylane pour la compta, vous gardez Dext pour l’OCR, vous ajoutez Client Vault pour la collecte sécurisée des pièces non-flux. Les hooks WordPress permettent de connecter votre coffre à votre CRM, à votre messagerie, à vos automatisations. C’est de la cohabitation plutôt que de la concurrence.
Pour les agences WordPress qui équipent des cabinets : c’est exactement le type de déploiement où vous apportez une valeur visible. Choix de l’hébergeur français, configuration du certificat SSL, intégration avec Pennylane par webhook, formation des collaborateurs, support annuel. Un cabinet de cinq personnes représente un déploiement reproductible que vous pouvez packager.
Limites honnêtes
Client Vault n’est pas un logiciel de comptabilité. Il ne remplace pas Pennylane, ni Tiime, ni Cegid. Il n’a pas vocation à le faire. Il complète votre stack côté collecte de pièces et portail client. Il ne fait pas non plus la facture électronique au sens des plateformes agréées 2026 : pour ça, vous utiliserez votre solution de facturation et la plateforme officielle.
Enfin, la souveraineté impose une médiation technique. Si vous n’avez pas d’agence WordPress de confiance, ou si vous n’êtes pas à l’aise avec la maintenance d’un site WP, le bénéfice est moins net. Pour un cabinet qui veut le minimum d’effort technique et qui accepte la dépendance SaaS, un Pennylane standard reste plus simple. La voie souveraine demande un engagement.
Faisons connaissance
Si vous êtes expert-comptable, fiscaliste, ou agence WordPress qui sert des cabinets, et que la souveraineté de la collecte de pièces vous intéresse, échangeons en visio. Vingt à trente minutes pour comprendre votre situation, regarder votre stack actuelle, et voir comment articuler une voie WordPress souveraine avec ce que vous utilisez déjà.
Questions fréquentes
L’article 226-13 s’applique-t-il aux experts-comptables ?
Oui. L’inscription à l’Ordre confère automatiquement la qualité de dépositaire d’informations à caractère secret. Le Code de déontologie de l’Ordre, en ses articles 145 et suivants, qualifie le secret professionnel d’absolu et l’étend à tous les membres du cabinet ainsi qu’aux prestataires extérieurs encadrés.
Stocker des pièces clients sur Google Drive viole-t-il le secret comptable ?
Pas mécaniquement, mais c’est une zone à risque. Google Drive est un sous-traitant au sens RGPD : vous devez disposer d’un DPA, vérifier l’analyse des transferts hors UE, et garantir le cloisonnement et la traçabilité. En pratique, un Drive partagé non structuré ne fournit pas ces garanties.
Pennylane est-il conforme à l’article 226-13 ?
Pennylane est un acteur français, qui propose un DPA et une architecture sécurisée. Cela ne dispense pas le cabinet de qualifier sa propre relation de sous-traitance et de respecter ses obligations. Pennylane est compatible avec une démarche conforme, mais la conformité reste partagée.
TaxDome ou SmartVault sont-ils acceptables pour un cabinet français ?
Leur juridiction d’incorporation aux États-Unis les expose au CLOUD Act. Cela impose au cabinet une analyse d’impact spécifique, des mesures techniques additionnelles et une vigilance accrue sur les évolutions de DPA. La conformité n’est pas impossible, mais elle est plus complexe à instruire qu’avec un acteur français ou européen.
Quelle peine encourt un cabinet qui révèle par négligence ?
L’article 226-13 prévoit un an d’emprisonnement et quinze mille euros d’amende. La sanction pénale est rare en pratique, mais l’amende administrative CNIL et la sanction disciplinaire de l’Ordre sont, elles, plus régulières. À cela s’ajoute le coût réputationnel.
Combien de temps faut-il conserver les pièces comptables ?
L’article R. 123-200 du Code de commerce et l’article L. 102 B du Livre des procédures fiscales imposent dix ans à compter de la clôture de l’exercice. Cette durée s’applique aux pièces justificatives, aux livres comptables et aux documents de gestion.
Que dit le RGPD sur les pièces comptables clients ?
Le RGPD impose la sécurité du traitement (article 32), la traçabilité, l’encadrement contractuel des sous-traitants (article 28) et la limitation des durées de conservation (article 5). Pour les pièces comptables, la durée légale fiscale prime, mais les autres principes s’appliquent intégralement.
