RGPD : la checklist complète pour votre cabinet d'avocats en 2026

Un cabinet d'avocats traite en permanence des données à caractère personnel : identités des clients et des parties adverses, correspondances, pièces de procédure, données de facturation, parfois des données particulièrement sensibles (santé, condamnations, vie familiale). Le RGPD s'applique dès le premier dossier, quelle que soit la taille de la structure : avocat individuel, SELARL ou cabinet pluridisciplinaire.

Point essentiel et souvent mal compris : le RGPD s'ajoute au secret professionnel, il ne le remplace pas. Le secret professionnel de l'avocat, consacré par l'article 66-5 de la loi du 31 décembre 1971, protège la relation avec le client ; le RGPD protège les personnes dont les données sont traitées, y compris lorsqu'elles ne sont pas clientes du cabinet (partie adverse, témoin, tiers cité dans un dossier). Les deux régimes coexistent et se cumulent : être irréprochable sur le secret ne dispense d'aucune obligation RGPD, et inversement.

La CNIL est l'autorité de contrôle compétente en France. Elle peut contrôler un cabinet, prononcer des mises en demeure et des sanctions. L'approche la plus saine n'est pas de craindre le contrôle, mais de documenter sa conformité au fil de l'eau : c'est précisément l'objet de cette checklist.

Le registre des activités de traitement est la colonne vertébrale de votre conformité. C'est le premier document que demandera la CNIL en cas de contrôle.

• Recensez chaque traitement : gestion des dossiers clients, facturation, prospection, gestion RH des salariés du cabinet, site internet, visioconférence, archivage.
• Pour chaque traitement, documentez : la finalité, les catégories de personnes concernées, les catégories de données, les destinataires, les durées de conservation, les mesures de sécurité.
• Identifiez la base légale de chaque traitement : exécution du contrat (la mission confiée), obligation légale (comptabilité, lutte contre le blanchiment), intérêt légitime (prospection auprès de clients existants, dans les limites déontologiques).
• Mettez le registre à jour à chaque nouvel outil ou nouvelle finalité : un nouveau logiciel de gestion, un nouvel outil de visioconférence ou d'IA doit y figurer avant sa mise en service.
• Désignez un responsable interne de la tenue du registre, même sans DPO formel.

Un registre vivant vaut mieux qu'un registre parfait mais figé : une revue semestrielle suffit souvent à le maintenir à jour.

L'article 32 impose des mesures techniques et organisationnelles adaptées au risque. Pour un cabinet, le risque est élevé par nature : les données couvertes par le secret professionnel appellent un niveau de protection renforcé.

Mesures techniques

• Chiffrement des données en transit (TLS) et au repos, en particulier pour les pièces de dossiers.
• Authentification robuste : mots de passe longs et uniques, double authentification sur tous les outils qui la proposent.
• Hébergement dans l'Union européenne pour les outils qui traitent des données de dossiers - un critère à vérifier contractuellement, pas seulement sur la plaquette commerciale. La page [sécurité de Visio-Avocats](/securite) détaille par exemple les garanties d'hébergement et de chiffrement applicables aux consultations à distance.
• Sauvegardes régulières et testées : une sauvegarde jamais restaurée est une hypothèse, pas une garantie.
• Mises à jour des postes, serveurs et logiciels du cabinet.

Mesures organisationnelles

• Habilitations différenciées : chaque collaborateur, secrétaire ou stagiaire n'accède qu'aux dossiers nécessaires à ses fonctions.
• Charte informatique signée par tous les membres du cabinet.
• Procédure de départ : révocation immédiate des accès d'un collaborateur qui quitte la structure.
• Verrouillage des postes et politique d'écran propre, y compris en audience ou en déplacement.

Une violation de données (perte d'un ordinateur, rançongiciel, envoi d'un courriel au mauvais destinataire, accès non autorisé) déclenche des obligations à délai court.

• Notification à la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation ne présente vraisemblablement pas de risque pour les droits et libertés des personnes (article 33).
• Information des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour elles (article 34).
• Registre interne des violations : toute violation, même non notifiée, doit être documentée (nature, effets, mesures prises).
• Procédure écrite préétablie : qui détecte, qui qualifie, qui notifie, qui informe le bâtonnier le cas échéant. Décider dans l'urgence sans procédure est le meilleur moyen de dépasser le délai.

Attention à l'articulation avec le secret professionnel : la notification à la CNIL décrit la violation sans divulguer le contenu des dossiers concernés.

Chaque prestataire qui traite des données pour votre compte - éditeur de logiciel de gestion, solution de visioconférence, hébergeur, prestataire de paie - est un sous-traitant au sens du RGPD.

• Contrat écrit obligatoire contenant les mentions de l'article 28 : objet et durée du traitement, nature et finalité, obligations de sécurité, sort des données en fin de contrat, régime des sous-traitants ultérieurs.
• Vérifiez les garanties présentées par le prestataire : localisation des données, certifications, engagement de confidentialité de son personnel.
• Cartographiez la chaîne de sous-traitance : votre prestataire a lui-même des sous-traitants ; vous devez savoir lesquels et où sont les données.
• Encadrez les transferts hors UE s'il y en a, et privilégiez les solutions qui n'en nécessitent aucun pour les données de dossiers.
• Relisez ces contrats à chaque renouvellement : une clause conforme en 2019 ne l'est pas forcément restée.

Toute personne dont vous traitez les données peut exercer des droits : accès, rectification, effacement, limitation, portabilité, opposition. Le cabinet doit pouvoir y répondre dans le délai d'un mois en principe.

• Point de contact identifié : une adresse dédiée aux demandes d'exercice de droits, mentionnée dans vos informations de confidentialité.
• Procédure de vérification d'identité du demandeur avant toute communication.
• Articulation avec le secret professionnel : le droit d'accès d'une personne ne saurait conduire à divulguer des informations couvertes par le secret ou portant atteinte aux droits de tiers. Chaque demande s'apprécie au cas par cas, en documentant le raisonnement.
• Information des personnes (articles 13 et 14) : vos clients, mais aussi les tiers dont vous collectez les données, doivent être informés de manière adaptée - mentions dans la lettre de mission, page dédiée sur le site du cabinet.
• Traçabilité des demandes : conservez la demande, la réponse et sa date.

Faut-il un délégué à la protection des données ?

L'article 37 rend la désignation d'un DPO obligatoire dans certains cas, notamment lorsque les activités de base impliquent un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations. La plupart des cabinets individuels ou de petite taille n'atteignent pas ces seuils, mais l'appréciation dépend du volume et de la nature de l'activité : un cabinet traitant massivement du contentieux pénal ou du droit de la santé doit se poser sérieusement la question. Une désignation volontaire est toujours possible et souvent utile - à condition d'en assumer alors toutes les obligations.

Minimisation

• Ne collectez que les données nécessaires au dossier : la tentation de tout conserver « au cas où » est contraire au principe de minimisation.
• Purgez les copies de travail, brouillons et exports une fois le dossier structuré.

Durées de conservation

• Définissez une durée par catégorie : dossiers clients (en tenant compte des délais de prescription de la responsabilité de l'avocat), comptabilité, données de prospection.
• Distinguez base active et archivage intermédiaire : un dossier clos n'a pas à rester accessible à tout le cabinet.
• Programmez la purge : une durée de conservation sans mécanisme de suppression effective reste théorique.

La conformité RGPD d'un cabinet ne se joue pas dans un audit ponctuel mais dans les habitudes : registre tenu à jour, prestataires contractualisés, demandes de droits tracées, violations documentées. Le choix des outils compte : une solution conçue pour les avocats, avec portail client sécurisé et échanges chiffrés, réduit mécaniquement la surface de risque par rapport à un empilement d'outils grand public. Pour voir concrètement comment ces principes se traduisent dans un outil métier, la [visite guidée](/visite-guidee) en donne un aperçu.

Reprenez cette checklist thème par thème, cochez ce qui est en place, planifiez le reste : c'est la démarche progressive et documentée que valorise la CNIL.

Cet article présente des bonnes pratiques générales et ne constitue pas une consultation juridique ; vérifiez les textes cités dans leur version en vigueur.