En bref. Un cabinet d’avocats doit respecter à la fois le RGPD et le secret professionnel. Le secret protège les pièces et échanges couverts par l’article 66-5 de la loi du 31 décembre 1971 ; il n’efface pas les obligations de sécurité, de documentation, d’information et de gestion des droits. La méthode consiste à identifier chaque traitement du cabinet, puis à organiser l’accès aux informations sans exposer inutilement le dossier du client.
Le guide pratique du CNB, du barreau de Paris et de la Conférence des bâtonniers, refondu en 2023, fournit des fiches sur les clients, archives, salariés, prestataires, transferts et droits. Il couvre les cabinets de petite taille autant que les structures importantes. Ce guide opérationnel se concentre sur les décisions où une règle générique « RGPD » ne suffit pas : confidentialité du dossier, choix du fournisseur, demande d’accès et contrôle de la CNIL.
1. Cartographier les traitements du cabinet
Un dossier de client n’est pas le seul traitement. Le cabinet gère aussi les demandes initiales, la facturation, les conflits d’intérêts, les collaborateurs, les candidatures, le site web et, parfois, la prospection. Les finalités et bases légales ne sont pas identiques. Dans son registre des traitements, le cabinet distingue les catégories de personnes : clients, adversaires, témoins, représentants de personnes morales, salariés et prospects. Il indique où résident les données et qui peut y accéder.
Un client personne morale ne rend pas tout le dossier étranger au RGPD. Les correspondants, dirigeants, témoins et salariés mentionnés sont des personnes physiques. Les dossiers peuvent contenir des données de santé ou relatives à l’orientation sexuelle, couvertes par l’article 9, et des données relatives aux infractions et condamnations, couvertes par l’article 10. Le traitement de ces catégories appelle une analyse spécifique ; invoquer globalement « le contrat de conseil » ne suffit pas à traiter toutes les informations du dossier.
Exemple hypothétique : un cabinet conseille une société dans un litige social. Il traite le nom des dirigeants, les coordonnées des témoins, des échanges RH et peut-être des certificats médicaux. La fiche du registre doit refléter cette diversité, les accès limités à l’équipe du dossier et les règles d’archivage. Une notice destinée à la société cliente ne règle pas à elle seule les questions d’information des personnes dont les données proviennent d’autres sources ; les exceptions et limites applicables doivent être examinées avec précision.
Le cabinet est normalement responsable des décisions essentielles relatives à ses dossiers et à son organisation. Il ne devient pas sous-traitant du client par le seul effet de la lettre de mission. Un prestataire d’hébergement ou d’édition de logiciel peut, lui, agir pour son compte ; l’article 28 du RGPD exige alors un encadrement contractuel adapté. Une qualification erronée peut cacher les responsabilités de chacun sur les accès, la conservation et la réponse aux demandes.
2. Ce que protège le secret professionnel
L’article 66-5 de la loi de 1971 couvre, en conseil comme en défense, les consultations, les correspondances avec le client et entre avocats sauf correspondances officielles, les notes d’entretien et plus généralement les pièces du dossier. Le Règlement intérieur national apporte les règles déontologiques de la profession. Le secret impose de contrôler aussi les accès des collaborateurs, des assistants et des prestataires techniques ; il ne suffit pas d’apposer la mention « confidentiel » sur un répertoire partagé.
Il serait toutefois inexact de dire que le secret « prime » partout sur le RGPD ou interdit à la CNIL tout contrôle du contenu d’un cabinet. La CNIL précise ses pouvoirs et les secrets opposables : le secret professionnel ne peut en principe justifier un refus général de communiquer des informations, mais les correspondances entre l’avocat et son client constituent une exception explicite. Dans une demande concrète, identifiez exactement la pièce protégée, le lien avec l’objet du contrôle et une façon de fournir les autres éléments nécessaires. Faites intervenir immédiatement le bâtonnier ou le conseil compétent selon la procédure pertinente si un différend survient.
Le secret doit également être pris en compte quand une personne demande l’accès à ses données. Le droit d’accès n’est pas un droit indifférencié à l’intégralité du dossier judiciaire, surtout s’il révèle des informations sur d’autres personnes ou la stratégie d’un client. Inversement, le secret ne doit pas devenir une formule automatique pour ignorer une demande légitime du client ou d’un salarié. La procédure d’exercice des droits aide à séparer les informations communicables, les droits d’autrui et les exceptions applicables. Consignez la décision et les éléments effectivement remis.
3. Bases légales et données sensibles
Pour la gestion d’une lettre de mission avec une personne physique, l’exécution du contrat peut fonder certains traitements nécessaires. Pour les pièces concernant d’autres personnes, examinez le fondement propre au traitement et la nécessité de ces données. Les obligations comptables ou certaines diligences de lutte contre le blanchiment relèvent d’obligations légales lorsqu’elles s’appliquent. Une liste de contacts destinée à promouvoir le cabinet requiert une analyse distincte des règles de prospection. Le consentement n’est ni une solution universelle ni une condition systématique pour qu’un avocat puisse défendre son client.
Lorsque des données de l’article 9 apparaissent dans un dossier, l’article 9.2.f peut être pertinent pour la constatation, l’exercice ou la défense de droits en justice. Cette condition doit être articulée avec une base de l’article 6 et avec la nécessité des informations traitées. D’autres activités du cabinet peuvent relever d’une autre condition ; ne généralisez pas le motif contentieux à toute la comptabilité ou aux ressources humaines. Pour des données d’infractions, l’article 10 et les dispositions nationales demandent une attention distincte.
Exemple hypothétique : dans une affaire de discrimination, le cabinet reçoit des données de santé d’un témoin. Il en a besoin pour apprécier une pièce précise, mais n’a pas besoin de les placer dans un moteur de recherche interne accessible à tous. La décision utile porte sur les personnes habilitées, les copies nécessaires, les communications à la juridiction et la conservation après clôture. Le secret et la minimisation conduisent ici à des contrôles concrets sur le dossier.
4. Prestataires, cloud et échanges
Le guide CNB de 2023 consacre des fiches aux fournisseurs, à la sécurité et aux transferts hors Union européenne. Il ne permet pas d’affirmer qu’un fournisseur nommé serait « conforme » par nature ou que toute solution étrangère serait interdite. Pour un logiciel de cabinet, demandez où les données sont stockées, qui peut les lire en assistance, quel chiffrement est utilisé, comment les accès sont tracés, si des sous-traitants ultérieurs interviennent et comment les données sont restituées à la fin du contrat. Vérifiez les clauses, la configuration réelle et les garanties des transferts éventuels.
Le choix d’un hébergement en France ou dans l’Union peut simplifier certains risques, sans régler à lui seul le secret professionnel. Une certification de sécurité, si elle est revendiquée, doit correspondre au service et au périmètre achetés. Une configuration moins exposée peut être préférable même avec le même fournisseur : comptes nominatifs, authentification renforcée, droits par dossier, accès support limité et journalisé. L’article 32 du RGPD demande des mesures appropriées au risque, pas la marque ou la qualification unique d’un service cloud.
Pour les échanges avec les clients, définissez une règle selon la sensibilité et la destination : messagerie professionnelle sécurisée, portail documentaire, pièce protégée par un canal distinct pour le mot de passe, ou canal procédural requis. Le RPVA répond à des usages de communication avec les juridictions lorsque les textes de procédure le prévoient ; il ne constitue pas une obligation générale pour tous les échanges entre avocat et client. Un outil de visioconférence ou de partage de gros fichiers doit être examiné avant qu’une pièce secrète y soit déposée. La facilité d’un lien public non authentifié peut exposer le dossier malgré une politique de sécurité formelle.
Si une fonction d’IA est utilisée pour résumer des pièces, examinez sa finalité, la réutilisation éventuelle des données, les accès des fournisseurs, la conservation des prompts et le contrôle humain du résultat. Le CNB a publié un guide sur déontologie et IA en 2026. Une instruction interne simple peut interdire le dépôt de dossiers identifiants dans les comptes personnels non approuvés, puis décrire les conditions d’un usage autorisé. Le secret doit être vérifié dans la chaîne technique entière, pas seulement dans l’interface de l’outil.
5. Collaborateurs, habilitations et départs
Accordez l’accès aux dossiers selon la mission réelle. Un associé peut superviser plusieurs équipes, mais un stagiaire ou un prestataire informatique n’a pas besoin d’ouvrir toutes les pièces. Une méthode utile relie chaque groupe d’accès à un type de dossier ou de tâche, puis prévoit une revue après changement d’équipe. Le partage d’identifiants empêche de comprendre qui a consulté ou exporté une pièce. Les journaux d’accès deviennent utiles s’ils sont protégés et consultables lors d’un incident.
Le départ d’un collaborateur demande plus que la restitution de son ordinateur : fermeture des comptes, révocation des jetons, transfert des dossiers, vérification des espaces personnels synchronisés et rappel des obligations de secret. Le cabinet doit pouvoir retrouver qui a validé chaque étape. Pour les assistants et prestataires extérieurs, les engagements contractuels de confidentialité ne remplacent pas les limitations techniques. Une analyse de sécurité du traitement doit prendre en compte la conséquence possible d’une erreur d’envoi ou d’une session non fermée.
Exemple hypothétique : une collaboratrice change de département. Son nouveau rôle donne accès à des dossiers de droit social ; les accès à certains dossiers de fusion doivent être retirés. Une liste des personnes admises sur chaque espace et une revue des droits permettent d’éviter que l’ancien accès reste actif par défaut. Ce geste protège la confidentialité des deux clientèles et laisse une trace du contrôle effectué.
6. Archivage, droits et incidents
Un dossier clos n’est pas automatiquement supprimé ni conservé pour une durée identique à tous les autres. Définissez une politique par type d’affaire, obligations applicables, prescriptions pertinentes et besoin de défense du cabinet. Distinguez les pièces du dossier, les factures, les journaux et les candidatures. Le guide CNB fournit un référentiel de durées à adapter. Le guide général sur la conservation explique la séparation entre données actives et archives à accès restreint. Les chiffres fixes « dossier plus dix ans » ou « vingt-cinq ans pour tout acte » ne remplacent pas cette analyse.
Lorsqu’une personne demande l’effacement, identifiez la donnée et sa finalité. Une facture soumise à conservation comptable suit une règle différente d’un ancien contact de prospection. Si une pièce reste nécessaire pour établir ou défendre des droits, expliquez le motif et limitez son accès. La réponse doit être compréhensible sans dévoiler des informations couvertes par le secret d’un autre client. Le DPO, s’il existe, conseille le cabinet ; sa désignation n’est pas déclenchée par un seuil automatique de dix ou cinquante collaborateurs. Les critères de l’article 37 portent notamment sur les activités principales et l’échelle des traitements. La fiche sur les missions du DPO aide à distinguer conseil et responsabilité du cabinet.
Une perte d’ordinateur, un accès non autorisé ou l’envoi d’une pièce au mauvais destinataire peut constituer une violation de données. Consignez les faits, les catégories de données, les mesures prises et l’évaluation du risque. Si les conditions des articles 33 et 34 sont réunies, la notification à la CNIL et la communication aux personnes peuvent être nécessaires. La procédure de notification détaille ces seuils. Le secret professionnel impose aussi d’évaluer les conséquences pour le client et les obligations déontologiques pertinentes ; ces évaluations se coordonnent sans être confondues.
7. Lutte contre le blanchiment : vérifier le champ de la mission
Les règles de lutte contre le blanchiment et le financement du terrorisme ne s’appliquent pas indistinctement à tous les conseils et défenses. Le code monétaire et financier définit les activités concernées et les exceptions, notamment pour la consultation juridique et la procédure juridictionnelle dans les conditions prévues. Si une mission entre dans le champ, le cabinet documente la vigilance et ses durées ; les conditions de déclaration et le rôle du bâtonnier doivent être examinés dans le texte applicable. Il serait trompeur de dire que « le secret cède » en bloc dès qu’une mission touche une transaction.
Exemple hypothétique : le même cabinet représente un client dans un procès et l’assiste ensuite pour une opération immobilière. Les obligations de vigilance peuvent différer entre les deux missions. Le cabinet qualifie chacune, restreint l’accès aux pièces de vigilance et conserve la justification de sa décision. Le registre RGPD reflète ces finalités séparées, sans donner à l’ensemble du dossier un délai de conservation unique.
8. Répondre à un contrôle sans dévoiler le dossier entier
Une inspection de la CNIL peut porter sur le cabinet. Préparez le registre, les notices, les contrats avec prestataires, les règles d’accès et les preuves de leur application. Si une demande vise une correspondance avocat-client, identifiez la pièce précise et expliquez immédiatement la protection invoquée. L’exception ne dispense pas de produire les autres éléments que la CNIL peut demander. La coopération, la traçabilité des copies remises et l’intervention du conseil ou du bâtonnier selon le cas sont des protections concrètes.
Un exercice utile consiste à vérifier, sur un dossier fictif, si une personne peut retrouver la version de la notice remise au client, la liste des prestataires techniques, le paramétrage des accès et la date d’archivage prévue. L’exercice doit aussi tester la recherche d’une demande de droit ou d’un incident. Il mesure la capacité du cabinet à expliquer ses traitements sans exposer des dossiers réels à des personnes qui n’ont aucune raison de les consulter.