Secret professionnel en visio : 7 règles pour ne jamais le compromettre

Le secret professionnel de l'avocat est général, absolu et illimité dans le temps. L'article 66-5 de la loi du 31 décembre 1971 couvre "en toutes matières" les consultations, correspondances et pièces du dossier ; l'article 2 du Règlement intérieur national (RIN) en fait un principe essentiel de la profession ; et sa violation est pénalement sanctionnée par l'article 226-13 du Code pénal. Rien de tout cela ne s'arrête quand la consultation passe en visioconférence - au contraire : la distance ajoute des maillons techniques dont chacun doit être maîtrisé.

Voici sept règles concrètes pour que la consultation à distance reste aussi protégée que l'entretien au cabinet.

L'avocat est personnellement responsable des moyens qu'il met en œuvre pour protéger le secret. Trois questions à poser à tout outil de visioconférence avant de l'adopter :

• Le flux est-il chiffré ? Le standard WebRTC impose le chiffrement des flux audio/vidéo (SRTP) ; la connexion doit être en TLS. C'est le minimum, pas un argument commercial.
• Où sont hébergées les données (enregistrements, transcriptions, documents échangés) ? Un hébergement en Union européenne relève du RGPD et du droit européen.
• De quelle juridiction relève l'éditeur ? Un éditeur américain entre dans le champ du CLOUD Act (18 U.S.C. § 2713), qui permet aux autorités américaines d'exiger la remise de données où qu'elles soient stockées. La localisation des serveurs ne suffit donc pas : la nationalité de l'éditeur est un critère en soi.

Au cabinet, vous voyez qui entre. À distance, vous ne voyez que le cadre de la caméra. Deux réflexes :

• Côté client : demander explicitement, en début d'entretien, si une autre personne est présente ou peut entendre. Un conjoint hors champ, un haut-parleur dans un open space, un enfant qui enregistre : autant de situations qui fragilisent la confidentialité de l'échange.
• Côté avocat : mêmes exigences que pour un entretien physique - porte fermée, écouteurs plutôt que haut-parleurs, écran non visible de tiers. En déplacement, un filtre de confidentialité d'écran et un casque sont indispensables.

La visio facilite l'usurpation : une adresse email ne prouve pas une identité. Pour un premier rendez-vous ou un acte sensible (signature, communication de pièces), vérifiez l'identité par un canal ou un élément distinct : pièce d'identité présentée à la caméra, question dont seul le client connaît la réponse, rappel sur le numéro de téléphone connu du dossier. Les salles d'attente virtuelles avec admission manuelle évitent aussi qu'un tiers muni du lien rejoigne l'échange.

Enregistrer une consultation n'est jamais anodin. Trois garde-fous :

• Information préalable et accord de toutes les personnes présentes - enregistrer une conversation à l'insu de son interlocuteur est déloyal et l'expose civilement et pénalement.
• Base et finalité claires au sens du RGPD : pourquoi cet enregistrement, pour combien de temps, qui y accède.
• Suppression maîtrisée : un enregistrement conservé "au cas où" sur un poste personnel est une bombe à retardement. Durée de conservation définie, stockage chiffré, suppression effective.

La même discipline vaut pour la transcription automatique : elle produit un écrit couvert par le secret, à traiter comme une pièce du dossier.

L'email standard transite en clair entre serveurs et se transfère en un clic. Pour les pièces du dossier, privilégiez un espace sécurisé (portail client, coffre-fort numérique) où le client dépose et récupère les documents après authentification. Si l'email est inévitable, chiffrez la pièce jointe et transmettez le mot de passe par un autre canal (SMS, téléphone).

Si un assistant IA analyse la transcription, identifie des articles ou rédige le compte-rendu, il traite des données couvertes par le secret. Trois exigences :

• savoir où s'exécute l'inférence (un modèle opéré en Union européenne n'expose pas les contenus à une juridiction tierce) ;
• vérifier que les contenus ne servent pas à entraîner le modèle ;
• pouvoir couper l'IA d'un geste quand la situation l'exige - présence d'un tiers, sujet particulièrement sensible, demande du client.

En cas d'incident ou de contrôle, ce qui n'est pas documenté n'existe pas. Tenez à jour, même sommairement : l'outil choisi et les raisons du choix (chiffrement, hébergement, juridiction), le registre des traitements (obligation RGPD, art. 30), les durées de conservation, et la procédure en cas d'incident (qui prévenir, quoi couper, comment notifier la CNIL le cas échéant, art. 33 RGPD). Ce dossier est aussi votre meilleure réponse à un client institutionnel qui audite ses conseils.

Le secret professionnel n'interdit pas la visioconférence - il interdit la désinvolture. Un outil choisi pour sa juridiction et son chiffrement, une pièce contrôlée des deux côtés de l'écran, des identités vérifiées, des enregistrements cadrés, des pièces échangées par canal sécurisé, une IA maîtrisée et un dispositif documenté : ces sept règles tiennent en une page et couvrent l'essentiel du risque. Elles ont un point commun : elles se décident avant la première consultation, pas après le premier incident.

Cet article présente des bonnes pratiques générales et ne constitue pas une consultation juridique ; les références citées (loi n° 71-1130 du 31 décembre 1971, RIN, Code pénal, RGPD) sont à vérifier dans leur version en vigueur.