Un cabinet d’avocats a besoin de documenter ses traitements de données sans verser inutilement le contenu des dossiers clients dans un nouvel outil. C’est le premier critère d’un logiciel RGPD pour avocats : savoir tenir un registre, suivre des prestataires et traiter une demande de droit tout en limitant l’exposition du secret professionnel. Aucune plateforme n’est imposée par le RGPD et aucun nombre de dossiers ne rend un tableur automatiquement illicite. Cette page propose une méthode d’achat fondée sur un essai avec des données fictives, une revue des accès et une vraie sortie, plutôt qu’un classement de marques ou une promesse de prix.
Le guide RGPD du Conseil national des barreaux propose une méthode pour des cabinets, y compris de petite taille, et couvre clients, archives, prestataires, sécurité et transferts. Il ne certifie aucun logiciel. Le guide général RGPD pour avocats traite les obligations métier ; le présent article aide à choisir comment organiser leur preuve. Commencez par lister les tâches qui posent problème dans votre cabinet, puis vérifiez si elles demandent un nouveau produit ou une discipline plus claire dans les outils déjà disponibles.
Le secret définit le périmètre de la démonstration
L’article 66-5 de la loi du 31 décembre 1971 couvre notamment les consultations, correspondances et pièces du dossier. L’article 2 du règlement intérieur national précise la portée du secret et la responsabilité de l’avocat à l’égard des personnes qui coopèrent à son activité. Le RGPD ne dispense pas le cabinet de cette obligation ; inversement, le secret n’efface pas les règles applicables aux traitements de données. L’article 90 du RGPD permet des règles nationales conciliant les pouvoirs de l’autorité de contrôle et les obligations de secret. Il ne constitue pas, à lui seul, une règle selon laquelle tout éditeur doit être hébergé exclusivement dans l’Union.
La première question n’est pas « où héberge-t-on toutes les pièces ? » mais « quelles informations faut-il mettre dans l’outil de conformité ? ». Un registre peut décrire une activité de gestion des dossiers sans y verser les conclusions d’un client ni les pièces pénales. Une revue de contrat peut garder un identifiant et l’accord avec l’éditeur sans copier tous les documents du dossier. Pour une demande d’accès, certaines pièces et données sont nécessaires au travail mais leur stockage doit être précisément limité. Faites dessiner les flux de données avant de choisir les fonctions. Le guide sur secret professionnel et RGPD donne le cadre de fond ; l’achat doit réduire les accès inutiles.
Utilisez des clients fictifs pendant la vente. Créez un dossier de contentieux, un dossier de conseil et une candidature à un poste au cabinet. Demandez ce que l’éditeur peut voir lorsqu’il fournit un support, ce qui est consigné dans les journaux et comment un accès temporaire est autorisé puis révoqué. Testez l’accès d’un associé, d’une secrétaire, d’un collaborateur et d’un prestataire. Un même cabinet peut avoir besoin de cloisonner certains dossiers, mais « tous les avocats voient tout » n’est pas un paramètre à accepter par défaut. La journalisation des accès peut aider à définir les événements à enregistrer sans promettre qu’un journal seul évite la divulgation.
Distinguer les fonctions qui ont un intérêt réel
Un registre des activités de traitement au titre de l’article 30 peut couvrir la gestion des clients, des dossiers, de la facturation, des ressources humaines, du site, de la prospection et des accès aux locaux selon les pratiques du cabinet. Le nombre de fiches ne se déduit pas du nombre d’avocats : une petite structure peut avoir plusieurs systèmes, tandis qu’un plus grand cabinet peut regrouper des activités similaires lorsque la description reste exacte. L’exception de l’article 30, paragraphe 5, se juge par activité pour les organismes de moins de 250 personnes ; elle ne vaut pas si le traitement est non occasionnel, comporte le risque prévu ou porte sur des données des articles 9 ou 10. Les dossiers habituels et la paie ne deviennent pas occasionnels parce que le cabinet est petit. Le modèle de registre aide à vérifier les champs ; le logiciel doit surtout faciliter leur révision.
Le suivi des prestataires est une seconde tâche. Un éditeur de gestion de cabinet, une messagerie, un hébergeur ou un service de transcription peut agir comme sous-traitant lorsqu’il traite des données pour le compte du cabinet. La qualification dépend de la réalité du service, pas de l’étiquette « fournisseur ». L’article 28 prévoit un contrat écrit, y compris électronique, ou un autre acte juridique contraignant du droit de l’Union ou d’un État membre pour une relation de sous-traitance, avec le contenu requis. Dans la relation commerciale ordinaire, le contrat est la voie habituelle. Le logiciel doit aider à relier l’accord, les instructions et les sous-traitants ultérieurs à l’activité, non déclarer la conformité parce qu’un PDF est joint. La revue des accords de sous-traitance et la qualification des rôles demandent deux décisions distinctes.
La conservation constitue une troisième tâche. Un dossier clos, une facture, une candidature et un journal de connexion n’ont pas nécessairement le même point de départ ni la même justification de durée. Demandez qui choisit la règle, comment une exception ou un contentieux suspend une suppression envisagée et comment la mesure est ensuite exécutée dans le système de gestion des dossiers. Un programme de conformité peut porter une décision et envoyer une tâche ; il ne doit pas prétendre supprimer les copies dans les systèmes qu’il ne pilote pas. Le guide sur les durées de conservation éclaire ce travail.
La quatrième tâche est la gestion des droits et incidents. Lorsqu’une personne demande l’accès à ses données, le cabinet doit reconnaître la demande même si elle arrive par un canal ordinaire, évaluer l’identité et les limites applicables, puis répondre selon les délais des articles 12 et 15. Le secret, les droits d’autres personnes et la nature des documents exigent un examen juridique, non une réponse automatique contenant toute la pièce. En cas de violation de données personnelles, l’article 33 demande de documenter chaque violation et de notifier la CNIL sans retard injustifié et, si possible, dans les 72 heures après connaissance, sauf risque improbable pour les personnes ; un retard est expliqué. La communication aux personnes sous l’article 34 est une analyse distincte de haut risque. Une panne technique sans donnée personnelle compromise n’est pas automatiquement une violation RGPD.
Vérifier l’hébergement et les accès sans raccourci
Demandez les lieux de stockage, de sauvegarde et d’assistance, les personnes et sociétés pouvant accéder aux données et les garanties applicables. L’hébergement dans l’UE peut réduire certaines questions de transfert, mais il ne prouve ni l’absence d’accès depuis un pays tiers ni la conformité au secret professionnel. Un prestataire établi hors UE n’est pas automatiquement interdit ; une offre « souveraine » n’est pas automatiquement suffisante. Pour un cabinet, une politique interne ou un contrat client peut poser des exigences plus strictes : identifiez-les et vérifiez le service exact. Le guide cloud et RGPD aide à examiner les flux, sans remplacer l’analyse de votre dossier.
Vérifiez l’article 32 RGPD par le risque : authentification, chiffrement, séparation des comptes, sauvegardes, restauration, journalisation, gestion des vulnérabilités et accès du support. N’exigez pas une étiquette de certification qui n’est pas imposée à tout outil de cabinet ; demandez des preuves adaptées aux données traitées. Sur un environnement de test, révoquez l’accès d’un collaborateur, restaurez une version et cherchez une pièce après transfert d’un dossier entre équipes. Un contrôle technique utile se voit dans cette épreuve, pas seulement dans une fiche commerciale. La sécurité des données personnelles et la politique de sécurité fournisseurs fournissent des questions supplémentaires à adapter.
Si l’outil ne contient que des métadonnées de conformité, l’exposition peut être moindre, mais ces métadonnées peuvent encore révéler des noms de clients, des sujets sensibles ou l’existence d’un dossier. Faites une revue champ par champ. Demandez au fournisseur d’expliquer ce qu’il collecte dans ses journaux et son support. Une clause de confidentialité générale ne vaut pas preuve de séparation des accès. Le cabinet doit définir quelle information est nécessaire pour tenir sa documentation et conserver le contenu du dossier dans son environnement métier approprié. Une charte informatique peut formaliser les consignes internes d’accès et d’usage, à adapter aux pratiques du cabinet plutôt qu’à copier comme une garantie technique.
Comparer quatre méthodes sur la même affaire fictive
La première méthode est un registre structuré et un calendrier d’échéances gérés en interne. Elle peut convenir si une personne tient les versions et si les changements sont rares. Une deuxième est un outil de registre et de tâches, adapté quand les informations sont réparties entre associés et services. Une troisième est une plateforme privacy reliant registre, prestataires, AIPD et droits. Une quatrième est une suite de gestion de cabinet qui possède aussi certaines fonctions de conformité ; vérifiez que son module de conformité ne confond pas suivi d’affaires et registre article 30. Le comparatif pour petites structures donne un panorama ; le cabinet doit ajouter l’essai de secret et d’accès décrit ici.
Utilisez une affaire fictive avec un client, deux membres du cabinet, un hébergeur et une demande d’accès d’une personne mentionnée dans le dossier. Demandez au candidat de créer l’activité, attribuer les rôles, relier le contrat du prestataire et enregistrer la demande sans diffuser la pièce à tous les comptes. Modifiez le fournisseur d’hébergement et vérifiez qui revoit les accès, les transferts et la conservation. Puis exportez le registre et l’historique pour un contrôle, en excluant les pièces qui n’ont pas à être versées au registre. Un tableur peut être évalué sur les mêmes tâches : l’absence de licence ne signifie pas absence de contrôle.
Certains éditeurs, dont Dastra, Data Legal Drive et OneTrust, décrivent des fonctionnalités privacy. Ces pages ne démontrent ni leur adaptation à votre secret professionnel ni l’hébergement de l’offre envisagée. Ne supposez pas qu’une marque est interdite ou supérieure à une autre du seul fait de son pays d’origine, de son tarif supposé ou de la taille du cabinet. Faites exécuter l’essai, examiner le contrat et vérifier les conditions de support, de transfert et de sortie. Un comparatif général des logiciels RGPD peut orienter les catégories, pas décider à la place du cabinet.
Conserver une preuve utile et une sortie praticable
Le document de décision devrait expliquer ce qui a été testé, par qui, avec quelles données fictives et quelles questions restent ouvertes. Gardez la version des conditions contractuelles, la liste des sous-traitants annoncés et les réponses du fournisseur sur l’accès aux données. Une offre peut changer avant signature ; vérifiez que le contrat final correspond à l’environnement montré. Chiffrez le coût complet : licences, utilisateurs, import, configuration, aide à la migration, support, stockage, extraction et temps interne. N’annoncez pas une fourchette universelle pour « un cabinet moyen » sans devis comparables.
Testez la sortie dès l’essai. Exportez les fiches d’activité, les liens aux prestataires, les décisions, les dossiers de demande et les journaux nécessaires, dans des formats lisibles sans le produit. Vérifiez comment seront restituées ou supprimées les données après la fin du service et quelles copies doivent être conservées pour une obligation légale. L’article 28 RGPD prévoit, au choix du responsable, la restitution ou l’effacement des données personnelles en fin de prestation, ainsi que l’effacement des copies existantes détenues par le sous-traitant, y compris après une restitution, sauf si le droit de l’Union ou d’un État membre impose au sous-traitant leur conservation. Il faut aussi traiter les sauvegardes dans un plan réaliste ; le texte ne crée pas une échéance technique universelle de suppression immédiate de chaque bloc de sauvegarde.
Une migration ne doit pas disperser le secret. Si le cabinet passe d’un ancien outil à un nouveau, utilisez un échantillon fictif pour cartographier les colonnes puis un processus sécurisé et autorisé pour les données réelles. Journalisez qui copie quoi et révoquez les accès temporaires. Faites contrôler qu’un dossier clos n’a pas été rendu visible à une autre équipe. Le coût de reprise et d’audit de cette migration fait partie du prix réel, même si la licence paraît modeste. Un outil plus vaste peut coûter moins en reconstitution ; un outil simple peut suffire si les flux sont maîtrisés.
Questions fréquentes
Un cabinet doit-il acheter un logiciel RGPD ?
Non. Il doit remplir ses obligations et préserver le secret, pas acheter une catégorie de produit. Un registre avec propriétaire, versions et procédure de changement peut fonctionner. L’intérêt d’un logiciel se juge sur les erreurs évitées et les preuves récupérables dans une affaire fictive représentative.
Le secret impose-t-il tout hébergement en France ou dans l’UE ?
L’article 66-5 et le RIN imposent la protection du secret, mais ne désignent pas à eux seuls un pays d’hébergement universel. Examinez les lieux et les accès effectifs, les transferts, les mesures de sécurité et les contraintes particulières de votre cabinet ou de votre client. Une localisation UE seule n’écarte pas toutes les questions de confidentialité.
Chaque fournisseur de logiciel est-il un sous-traitant RGPD ?
Non, sa qualité dépend de son traitement effectif pour le compte du cabinet. Certains fournisseurs peuvent être responsables de leurs propres traitements et sous-traitants pour d’autres fonctions. Analysez le service, puis exigez le cadre de l’article 28 lorsqu’il s’applique.
Peut-on partager une pièce entière pour répondre à un droit d’accès ?
Parfois, mais le droit d’accès porte sur les données personnelles de la personne et les informations prévues par le RGPD ; il ne donne pas automatiquement tout le dossier. Il faut examiner les droits d’autrui et les règles de secret applicables. Un logiciel peut aider à préserver la version de la réponse et ses motifs, sans effectuer seul cette appréciation.
Un achat justifié par les dossiers protégés
Choisissez la méthode qui permet de maintenir un registre vrai, vérifier les prestataires, contenir les accès et répondre aux personnes sans exposer le contenu des affaires à un nouvel environnement inutile. La preuve vient d’une démonstration adaptée, du contrat exact et d’un export exploitable. Le secret professionnel et le RGPD restent des décisions et responsabilités du cabinet après l’installation du logiciel.