RGPD au cabinet d'avocats : la liste de contrôle article par article

Le RGPD s'ajoute au secret professionnel

Un cabinet traite en permanence des données personnelles : identité des clients et des parties adverses, correspondances, pièces, données de facturation, parfois des données de santé ou relatives aux infractions. Le RGPD s'applique quelle que soit la taille de la structure.

Le secret professionnel de l'article 66-5 de la loi du 31 décembre 1971 protège la relation entre l'avocat et son client. Le RGPD protège toutes les personnes dont les données sont traitées, y compris celles qui ne sont pas clientes. Les deux régimes se cumulent : être irréprochable sur l'un ne dispense pas de l'autre. Pour les données relatives aux infractions, l'article 46 de la loi Informatique et Libertés autorise les auxiliaires de justice à les traiter pour les stricts besoins de leurs missions.

1. Le registre des traitements (article 30)

• Recensez chaque traitement : dossiers des clients, facturation et comptabilité, lutte contre le blanchiment, consultations à distance, outils d'IA, site et prise de rendez-vous, gestion du personnel.
• Documentez pour chacun les finalités, les catégories de personnes et de données, les destinataires, les transferts hors de l'Union, les délais d'effacement et les mesures de sécurité.
• Mettez-le à jour avant la mise en service de chaque nouvel outil.

La méthode, avec un modèle de fiche, est dans le guide Registre des traitements du cabinet.

2. La sécurité (article 32)

L'article 32 impose des mesures techniques et organisationnelles adaptées au risque. Pour des données couvertes par le secret, le niveau attendu est élevé.

Mesures techniques

• Chiffrement des données en transit et au repos, en particulier pour les pièces des dossiers.
• Authentification forte : mots de passe longs et uniques, double authentification partout où elle existe.
• Hébergement et sous-traitants vérifiés sur les contrats plutôt que sur la documentation commerciale.
• Sauvegardes régulières, dont la restauration a été testée.
• Mises à jour des postes, des téléphones et des logiciels.

Mesures organisationnelles

• Des accès limités : chacun n'accède qu'aux dossiers nécessaires à ses fonctions.
• Une charte informatique connue de tous.
• Une procédure de départ qui coupe les accès le jour même.
• Le verrouillage des postes, au cabinet comme en déplacement.

3. Les violations de données (articles 33 et 34)

Un ordinateur perdu, un rançongiciel, un email envoyé au mauvais destinataire ou un accès non autorisé constituent des violations de données.

• Notification à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les droits et libertés des personnes (article 33). La CNIL reçoit les notifications par un service en ligne.
• Information des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour elles (article 34).
• Documentation interne de toute violation, même non notifiée : faits, effets, mesures prises.
• Une procédure écrite à l'avance, qui répartit la détection, la qualification et la notification : sans elle, la décision prise dans l'urgence risque de dépasser le délai.

La notification décrit la violation sans divulguer le contenu des dossiers concernés.

4. Les sous-traitants (article 28)

L'éditeur de logiciel, l'outil de visioconférence, l'hébergeur ou le prestataire de paie traitent des données pour le compte du cabinet.

• Un contrat écrit avec les mentions de l'article 28 : objet, durée, nature et finalité du traitement, obligations de sécurité, sort des données en fin de contrat, régime des sous-traitants ultérieurs.
• La liste des sous-traitants ultérieurs et leur pays.
• Les transferts hors de l'Union identifiés et encadrés, et le droit applicable au fournisseur vérifié.

La CNIL publie un guide du sous-traitant qui détaille ces obligations.

5. Les droits des personnes (articles 12 à 22)

• Informer les clients et, de manière adaptée, les tiers dont vous collectez les données (articles 13 et 14) : dans la lettre de mission et sur le site du cabinet.
• Répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité ou d'opposition dans un délai d'un mois en principe (article 12).
• Vérifier l'identité du demandeur avant toute communication.
• Préserver le secret : le droit d'accès porte sur les données de la personne qui le demande, et le RGPD précise que la copie remise ne doit pas porter atteinte aux droits et libertés d'autrui (article 15, paragraphe 4). L'articulation avec le secret professionnel s'apprécie au cas par cas, raisonnement écrit à l'appui.

6. DPO, minimisation et durées de conservation

Faut-il un délégué à la protection des données ?

L'article 37 rend la désignation obligatoire notamment lorsque les activités de base consistent en un traitement à grande échelle de données sensibles ou de données relatives aux condamnations et aux infractions. La plupart des cabinets individuels ou de petite taille n'atteignent pas ce seuil, mais l'appréciation dépend du volume et de la nature de l'activité. Hors des cas obligatoires, la CNIL encourage la désignation.

Minimiser et purger

• Ne collectez que ce qui est nécessaire au dossier (article 5).
• Fixez une durée de conservation par catégorie de données ; le référentiel du guide RGPD de la profession d'avocat sert de base.
• Distinguez la base active et l'archivage d'un dossier clos, et programmez la suppression effective.

Pour les consultations à distance, la page sécurité décrit ce que Visio-Avocats fait des données : hébergement dans l'Union européenne, chiffrement, sous-traitants, et suppression automatique des enregistrements au bout de 90 jours.