Conformité RGPD du cabinet d'avocats : le guide pratique, obligation par obligation
Pour un cabinet d'avocats, être en conformité avec le RGPD, c'est pouvoir démontrer à tout moment que les données qu'il traite (dossiers clients, facturation, personnel, site internet) le sont dans les règles : registre des traitements, information des personnes, durées de conservation, sécurité, contrats avec les prestataires, procédure en cas de violation de données et, si la loi l'impose, délégué à la protection des données. Ces obligations valent pour un avocat seul comme pour un cabinet de cinquante. Le secret professionnel ne les écarte pas : il en aménage certaines.
Sources : le texte du RGPD sur EUR-Lex, les pages de la CNIL et le guide pratique "Les avocats et le règlement général sur la protection des données" (2e édition, mai 2023) du CNB, du barreau de Paris et de la Conférence des bâtonniers, préfacé par la présidente de la CNIL, téléchargeable sur la page RGPD du CNB (ci-dessous "le guide CNB").
Le secret professionnel ne dispense pas du RGPD
Le secret professionnel (article 66-5 de la loi du 31 décembre 1971) interdit de divulguer ce que le client vous confie ; le RGPD encadre la façon dont vous collectez, conservez, sécurisez et supprimez ces données. Les deux se cumulent. Le guide CNB précise que, dans ses dossiers, l'avocat est responsable de traitement et non sous-traitant de son client, en raison de son indépendance : il déconseille de signer des clauses qui vous qualifieraient de sous-traitant.
Le secret produit en revanche des aménagements prévus par les textes :
- Pas d'information due à la partie adverse : l'article 14, paragraphe 5, point d), l'écarte lorsque les données "doivent rester confidentielles en vertu d'une obligation de secret professionnel".
- Selon le guide CNB, une demande d'accès ou d'effacement de la partie adverse, ou d'une personne citée dans le dossier d'un client, ne peut pas être satisfaite.
- Lors d'un contrôle de la CNIL, le secret ne peut pas être opposé aux agents, "sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client" (article 19 de la loi Informatique et Libertés).
- Les données pénales peuvent être traitées par les auxiliaires de justice "pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi" (article 46 de la loi Informatique et Libertés), et les données sensibles lorsque c'est nécessaire "à la constatation, à l'exercice ou à la défense d'un droit en justice" (article 9 du RGPD, paragraphe 2, point f).
Responsabilité (accountability) : pouvoir prouver sa conformité
Selon l'article 5, paragraphe 2, du RGPD, le responsable du traitement est responsable du respect des principes de protection des données "et est en mesure de démontrer que celui-ci est respecté". Il ne suffit donc pas d'être en règle : il faut pouvoir le prouver, par écrit, si la CNIL le demande.
| Document à pouvoir produire | Texte |
|---|---|
| Registre des activités de traitement | RGPD, article 30 |
| Documentation de chaque violation de données | RGPD, article 33, paragraphe 5 |
| Contrats avec les sous-traitants | RGPD, article 28 |
| Mentions d'information (conventions, contrats, site) | RGPD, articles 13 et 14 |
| Politique de durées de conservation | RGPD, article 5, paragraphe 1, point e) |
| Procédure de réponse aux demandes de droits | RGPD, article 12 |
| Preuve du consentement aux cookies | RGPD, article 7 ; loi Informatique et Libertés, article 82 |
Le registre des traitements : obligatoire même sous 250 salariés
L'article 30 impose un registre écrit, papier ou électronique, présenté à la CNIL sur demande. Pour chaque traitement : coordonnées du cabinet (et du délégué s'il existe), finalité, catégories de personnes et de données, destinataires, transferts hors de l'Union européenne et, "dans la mesure du possible", délais d'effacement et mesures de sécurité.
Le paragraphe 5 dispense les organismes de moins de 250 employés, sauf si le traitement "n'est pas occasionnel", présente un risque pour les personnes ou porte sur des données sensibles ou pénales. La CNIL juge cette dérogation "limitée à des cas très particuliers de traitements, mis en œuvre de manière occasionnelle et non routinière" et cite la gestion des clients parmi les traitements à inscrire. Le guide CNB conclut que les avocats, dont les traitements sont permanents et portent le plus souvent sur des données sensibles ou pénales, doivent tenir un registre.
Un registre de cabinet comporte en général une fiche par traitement : dossiers clients, facturation, vigilance anti-blanchiment, personnel et collaborateurs, prospection, site internet (formulaire, rendez-vous, mesure d'audience). La CNIL fournit un modèle au format tableur sur la même page.
Informer clients, prospects et tiers (articles 13 et 14)
Quand les données viennent de la personne, l'article 13 impose de lui indiquer, dès la collecte : l'identité du cabinet et, s'il existe, du délégué ; les finalités et la base juridique ; les destinataires ; les transferts hors de l'Union ; la durée de conservation ; ses droits, dont celui de saisir la CNIL.
Le guide CNB place cette information dans la convention d'honoraires pour les clients, dans le contrat pour les collaborateurs et salariés, et dans une politique de confidentialité pour les prospects. Elle peut porter sur les traitements du cabinet en général, sans être reprise dossier par dossier. Le CNB a ajouté une clause "Protection des données à caractère personnel" à ses modèles de conventions d'honoraires.
Quand les données viennent d'un tiers (partie adverse, témoins, salariés d'un client), l'article 14 prévoit en principe la même information : c'est l'exception liée au secret professionnel, vue plus haut, qui évite à l'avocat de prévenir l'adversaire.
Les demandes d'exercice des droits appellent une réponse dans un délai d'un mois, prolongeable de deux mois pour une demande complexe si la personne en est prévenue dans le premier mois (article 12, paragraphe 3). L'effacement d'un dossier peut être refusé tant que court la prescription de la responsabilité de l'avocat : l'article 17 écarte ce droit lorsque les données restent nécessaires "à la constatation, à l'exercice ou à la défense de droits en justice".
Durées de conservation des dossiers d'avocats
Les données ne se conservent que le temps nécessaire à leur finalité (article 5, paragraphe 1, point e). La CNIL distingue trois phases : la base active, l'archivage intermédiaire (données conservées à part, accès restreint, parce qu'une obligation légale ou un risque de contentieux le justifie) et, plus rarement, l'archivage définitif.
| Données | Durée | Fondement |
|---|---|---|
| Dossier client en cours | Durée de la mission | Guide CNB, fiche n° 1 |
| Dossier clos, représentation ou assistance en justice | 5 ans à compter de la fin de la mission, en archivage intermédiaire | Code civil, article 2225 ; guide CNB, fiches n° 1 et 2 |
| Pièces d'identification du client (lutte contre le blanchiment) | 5 ans à compter de la fin de la relation | Code monétaire et financier, article L. 561-12, cité par le guide CNB |
| Pièces comptables | 10 ans à compter de la clôture de l'exercice | Code de commerce, article L. 123-22, cité par le guide CNB |
| Documents fiscaux | 6 ans | Livre des procédures fiscales, article L. 102 B, cité par le guide CNB |
L'article 2225 du Code civil, dont le Conseil constitutionnel a reproduit le texte et confirmé la conformité le 28 septembre 2023, vise "l'action en responsabilité dirigée contre les personnes ayant représenté ou assisté les parties en justice". Pour les autres missions, comme le conseil, s'applique le délai de droit commun de l'article 2224 : cinq ans à compter du jour où le client a connu ou aurait dû connaître les faits, dans la limite de vingt ans fixée par l'article 2232. C'est pourquoi le guide CNB admet une conservation de dix, voire vingt ans, à condition de la justifier : un choix à documenter, pas une durée par défaut.
À la clôture, le guide recommande de rendre les originaux au client après copie, de ne garder que les éléments utiles en cas de contentieux et d'archiver le dossier à part : les collaborateurs perdent leur accès, seuls des associés habilités le consultent, et chaque consultation est tracée.
Sécurité des données et secret professionnel
L'article 32 impose un "niveau de sécurité adapté au risque". Le guide CNB juge ce risque "généralement élevé pour la profession d'avocat" et rappelle qu'une violation des données d'un client est aussi une violation du secret. Les mesures qu'il retient, avec le guide de la sécurité des données personnelles de la CNIL :
- un compte par personne, des droits d'accès limités aux dossiers utiles, une authentification multifacteur ;
- des mots de passe robustes plutôt que changés à date fixe : depuis sa recommandation de 2022, la CNIL n'exige plus de renouvellement périodique pour les comptes utilisateurs classiques, seulement pour les comptes administrateurs ;
- le chiffrement des portables, des serveurs et des supports amovibles ;
- l'envoi des pièces par une plateforme sécurisée plutôt que par courriel en clair ;
- des sauvegardes régulières, dont une hors ligne, et des mises à jour appliquées sans délai ;
- une charte informatique, qui s'impose aussi au collaborateur libéral, interdisant les logiciels et outils, notamment d'intelligence artificielle, non autorisés ;
- des dossiers papier sous clé et hors de vue des visiteurs.
Sous-traitants : logiciel de gestion, messagerie, hébergeur
Est sous-traitant le prestataire qui traite des données "pour le compte" du cabinet. Le guide CNB cite l'éditeur de logiciel de cabinet en ligne, l'hébergeur de données et le comptable ; c'est généralement aussi le cas de la messagerie et du stockage en ligne, de l'hébergeur du site et de l'outil de prise de rendez-vous. Un hébergeur qui ne peut pas lire les données chiffrées qu'il stocke reste un sous-traitant, précise le guide.
L'article 28 exige des prestataires qui présentent des "garanties suffisantes" et un contrat. Ce contrat décrit le traitement (objet, durée, finalité, données, personnes) et oblige le prestataire à n'agir que sur vos instructions documentées, à imposer la confidentialité à son personnel, à assurer la sécurité, à ne pas recourir à un autre sous-traitant sans votre autorisation écrite, à vous aider pour les demandes de droits et les violations, à supprimer ou restituer les données en fin de contrat et à accepter les audits. La CNIL publie des exemples de clauses.
Le guide CNB demande que toutes les données hébergées figurent au contrat, même si le prestataire "s'interdit" d'y accéder, et qu'un contrat ancien sans ces clauses soit complété par avenant. Pour les données sensibles, il recommande des serveurs en France ou dans l'Union européenne. Un transfert hors de l'Union suppose une décision d'adéquation ou des garanties appropriées (chapitre V du RGPD) et figure au registre. Sur le choix de l'hébergeur du site, voir notre article sur l'hébergement d'un site d'avocat.
Violation de données : le délai de 72 heures
Une violation de données est un incident, accidentel ou malveillant, qui entraîne la destruction, la perte, l'altération ou la divulgation de données, ou un accès non autorisé : messagerie piratée, rançongiciel, ordinateur volé, courriel envoyé au mauvais destinataire. Trois obligations s'enchaînent :
- Documenter toutes les violations, même sans risque : faits, effets, mesures prises (article 33, paragraphe 5).
- Notifier la CNIL "dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance", sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes (paragraphe 1). La CNIL admet une notification en deux temps, initiale puis complémentaire.
- Informer les personnes "dans les meilleurs délais" si le risque est élevé (article 34), sauf exceptions, par exemple des données chiffrées.
Le guide CNB prend l'exemple d'un avocat qui perd une clé USB contenant des dossiers clients : la simple possibilité qu'un tiers y accède justifie la notification. Une violation touchant les dossiers d'un avocat présentera souvent un risque élevé, ajoute-t-il, et l'information des personnes doit alors être rédigée sans manquer au secret. Deux précautions : fixer au contrat le délai d'alerte de vos sous-traitants (le guide évoque en général 48 heures au plus) et, si vous êtes assuré contre le risque cyber, porter plainte au plus tard 72 heures après la connaissance de l'atteinte, condition de l'indemnisation (article L. 12-10-1 du Code des assurances, rappelé par le guide).
Délégué à la protection des données : obligatoire ou non pour un cabinet ?
L'article 37 impose un délégué (DPO) aux organismes publics, et à ceux dont l'activité de base consiste en un suivi régulier et systématique de personnes à grande échelle ou en un traitement à grande échelle de données sensibles ou pénales. Le critère n'est pas l'effectif, mais l'échelle du traitement.
Pour l'avocat qui exerce seul, le considérant 91 du RGPD indique que le traitement des données de ses clients ne devrait pas être considéré comme effectué à grande échelle ; la CNIL reprend l'exemple dans sa fiche sur la grande échelle. Pour les cabinets structurés, l'analyse se fait au cas par cas (nombre de personnes, volume de données, durée des traitements), mais le guide CNB estime que, "pour la plupart, les cabinets d'avocats ne peuvent être considérés comme effectuant des traitements de données à caractère personnel à grande échelle". Plus un cabinet traite de dossiers comportant des données de santé ou pénales, plus cette analyse mérite d'être consignée.
Même sans obligation, le guide recommande de nommer un référent interne et, à défaut de délégué, de se faire accompagner par un spécialiste. Un délégué désigné se déclare auprès de la CNIL et ses coordonnées figurent dans vos mentions d'information.
Le site internet du cabinet : cookies, formulaire de contact, prise de rendez-vous
Un site internet d'avocat conforme réunit, selon la fiche n° 9 du guide CNB, quatre séries de mentions : mentions légales de la loi pour la confiance dans l'économie numérique, mentions déontologiques du règlement intérieur national, informations RGPD et politique de cookies. Les mentions légales et déontologiques ont leurs propres règles ; elles ne remplacent pas l'information RGPD, qui doit figurer sur une page dédiée et facile à trouver. Une politique de confidentialité absente ou introuvable fait partie des erreurs fréquentes sur les sites d'avocats.
Cookies. L'article 82 de la loi Informatique et Libertés soumet au consentement préalable les traceurs qui ne sont pas strictement nécessaires au service : publicité, boutons de partage, vidéos intégrées, outils de mesure d'audience qui ne remplissent pas les conditions d'exemption de la CNIL. L'internaute doit pouvoir "accepter ou refuser le dépôt et/ou la lecture des cookies avec le même degré de simplicité", et la poursuite de la navigation ne vaut pas consentement, rappelle le guide CNB. En pratique : un bouton "Tout refuser" aussi visible que "Tout accepter".
Formulaire de contact. Ne demandez que ce qui sert à répondre et affichez une mention courte (cabinet, finalité, droits) avec un lien vers la politique de confidentialité ; la CNIL publie des exemples de mentions. Un champ libre recevra parfois des éléments sensibles : traitez ces messages comme des pièces de dossier et fixez une durée de conservation pour les demandes sans suite. Voir aussi notre article sur le formulaire de contact.
Prise de rendez-vous en ligne. Lorsque l'éditeur de l'outil traite les noms, coordonnées et motifs de rendez-vous pour votre compte, c'est un sous-traitant : contrat conforme à l'article 28, fiche au registre, information des personnes. Limitez le champ "motif" à ce qui sert à préparer le rendez-vous. Voir notre article sur la prise de rendez-vous en ligne.
Lettre d'information. Le guide CNB distingue les clients, à qui le cabinet peut l'adresser sans consentement préalable, des particuliers non clients, dont le consentement est requis : voir notre article sur l'email marketing des avocats.
Ce que risque un cabinet non conforme
Les manquements les plus graves exposent à une amende pouvant atteindre 20 millions d'euros ou, pour une entreprise, 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83, paragraphe 5). Pour les dossiers simples, la procédure de sanction simplifiée de la CNIL permet un rappel à l'ordre, une injonction sous astreinte ou une amende jusqu'à 20 000 euros pour une entreprise dont le chiffre d'affaires est inférieur à 50 millions d'euros.
Mise en conformité RGPD du cabinet : la liste d'actions
- Désignez un référent et vérifiez, article 37 en main, si un délégué est obligatoire. L'autodiagnostic RGPD du CNB donne un premier état des lieux.
- Recensez vos traitements et rédigez le registre à partir du modèle de la CNIL.
- Fixez une durée de conservation par catégorie de données, avec son fondement, et archivez à part les dossiers clos.
- Ajoutez l'information RGPD aux conventions d'honoraires, contrats de collaboration et contrats de travail.
- Listez vos prestataires (logiciel de gestion, messagerie, stockage, hébergeur, comptable, prise de rendez-vous) et obtenez de chacun un contrat conforme à l'article 28.
- Vérifiez où sont hébergées vos données et inscrivez au registre tout transfert hors de l'Union européenne.
- Activez l'authentification multifacteur, chiffrez postes et supports amovibles, mettez en place une sauvegarde hors ligne.
- Adoptez une charte informatique, y compris sur les outils d'intelligence artificielle.
- Écrivez la procédure en cas de violation : qui alerter, qualification du risque, notification sous 72 heures, registre des violations.
- Écrivez la procédure de réponse aux demandes de droits, y compris le cas de la partie adverse.
- Sur le site : page "Données personnelles" dédiée, mention sous chaque formulaire, refus des cookies aussi simple que l'acceptation.
- Formez associés, collaborateurs et salariés, et mettez le registre à jour à chaque nouvel outil.
Questions fréquentes
Un avocat qui exerce seul doit-il tenir un registre des traitements ?
Oui. La dispense de l'article 30, paragraphe 5, ne couvre ni les traitements non occasionnels ni ceux qui portent sur des données sensibles ou pénales, ce qui est le cas de la gestion des dossiers clients.
Faut-il informer la partie adverse que l'on traite ses données ?
Non. L'article 14, paragraphe 5, point d), du RGPD écarte l'obligation d'information lorsque les données doivent rester confidentielles au titre du secret professionnel.
Dans quel délai notifier une violation de données à la CNIL ?
Dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. Toute violation doit de toute façon être documentée.
Un site conforme doit aussi être trouvé par les justiciables qui interrogent Google ou une IA. Mediavocats propose aux cabinets une offre de référencement par les IA qui respecte les règles de communication de la profession.
