Secret professionnel et visioconférence : le guide technique et juridique complet

Le secret professionnel de l'avocat est général, absolu et illimité dans le temps (article 66-5 de la loi n° 71-1130 du 31 décembre 1971, article 2 du RIN). Sa violation est pénalement sanctionnée par l'article 226-13 du Code pénal. Or, dès qu'une consultation passe par une visioconférence, la confidentialité de l'échange ne dépend plus seulement de la porte fermée du cabinet : elle dépend d'une chaîne technique et contractuelle que la plupart des avocats n'ont jamais eu l'occasion d'auditer.

Ce guide décrit cette chaîne, poste par poste, et propose une grille de vérification opposable à n'importe quel éditeur - y compris aux outils généralistes largement utilisés dans la profession.

Une consultation en visio fait transiter la parole et les documents par cinq maillons successifs. Chacun est un point de rupture potentiel.

1. Le poste de travail (navigateur, application, micro, caméra).

2. Le transport réseau entre le poste et le serveur (chiffrement des flux).

3. Le serveur média qui reçoit, mélange et redistribue les flux.

4. Le stockage : enregistrements, transcriptions, pièces jointes, journaux techniques.

5. La juridiction dont relève l'entreprise qui opère l'ensemble.

Un outil peut être irréprochable sur les maillons 1 à 3 et parfaitement inadapté au maillon 5. Auditer un seul niveau ne prouve rien : c'est la chaîne complète qui protège, ou qui expose.

La visioconférence moderne repose sur WebRTC. Dans cette architecture, les flux audio et vidéo sont transportés par SRTP (Secure Real-time Transport Protocol, RFC 3711), dont les clés sont négociées par une poignée de main DTLS (RFC 6347). Les suites cryptographiques usuelles sont AES-128-GCM ou AES-256-GCM, avec authentification des paquets.

Ce que cela garantit : personne, sur le réseau traversé - opérateur, gestionnaire du Wi-Fi de l'hôtel, administrateur du réseau du palais de justice - ne peut lire ni altérer le flux. C'est le socle minimum, et il est aujourd'hui non négociable.

Ce que cela ne garantit pas : que le serveur média, lui, ne voit rien. Dans une architecture SFU (Selective Forwarding Unit), classique dès qu'une réunion dépasse deux participants, le serveur déchiffre puis rechiffre les flux pour les redistribuer. À cet instant précis, la parole du client existe en clair dans la mémoire d'une machine. La question pertinente n'est donc pas « est-ce chiffré ? » - la réponse est presque toujours oui - mais « qui opère la machine où le flux existe en clair, et sous quelle loi ? »

Le cas du chiffrement de bout en bout

Le chiffrement de bout en bout (E2EE), typiquement via SFrame ou Insertable Streams, ajoute une couche : le média est chiffré par l'émetteur avec une clé que le serveur ne détient pas. Le serveur route des paquets qu'il ne peut pas lire.

Trois précautions avant de s'en satisfaire :

• Il est souvent optionnel, désactivé par défaut, et incompatible avec certaines fonctions (enregistrement côté serveur, transcription automatique, arrivée par téléphone).
• Il ne couvre que le média. Les métadonnées - qui parle à qui, quand, combien de temps, depuis quelle adresse IP - restent visibles côté serveur. Or, pour un avocat, la seule existence d'un rendez-vous entre tel client et tel conseil est déjà une information couverte.
• Il ne dit rien du stockage. Un enregistrement chiffré de bout en bout pendant le transport peut être déposé en clair dans un bucket de stockage à la fin de la session.

Le secret ne s'arrête pas au raccroché. Trois catégories de données survivent à la consultation et doivent être traitées avec le même niveau d'exigence que le dossier papier.

Les enregistrements et transcriptions. Ils doivent être chiffrés au repos (AES-256), soumis à une durée de conservation définie et documentée, purgés automatiquement, et surtout conditionnés au consentement éclairé du client, recueilli avant le démarrage et tracé.

Les pièces échangées. Une pièce déposée dans le chat d'un outil généraliste suit le régime de cet outil, pas celui de votre coffre-fort. Le canal de partage de documents doit être audité au même titre que le flux vidéo : chiffrement au repos, contrôle d'accès nominatif, journalisation, révocabilité du lien.

Les journaux techniques. Les logs applicatifs sont l'angle mort classique : ils contiennent souvent noms des participants, objets de réunion, adresses IP, parfois fragments de transcription. Demandez à l'éditeur ce qui est journalisé, où, pendant combien de temps, et qui y a accès.

C'est le point le plus souvent négligé, et pourtant le plus structurant juridiquement.

Le CLOUD Act américain (Clarifying Lawful Overseas Use of Data Act, 2018) permet aux autorités américaines de contraindre un fournisseur soumis à leur juridiction à communiquer des données qu'il détient ou contrôle, y compris lorsque ces données sont physiquement stockées en Europe. La localisation des serveurs, à elle seule, ne neutralise donc pas le risque : ce qui compte est la juridiction de l'entité qui contrôle l'infrastructure et détient les clés.

Depuis l'arrêt Schrems II (CJUE, 16 juillet 2020, C-311/18), tout transfert de données personnelles hors UE suppose par ailleurs une analyse d'impact réelle des garanties disponibles, et non la simple signature de clauses contractuelles types.

Pour un avocat, la traduction pratique est simple : la question à poser à un éditeur n'est pas « où sont vos serveurs ? » mais « quelle entité juridique, relevant de quel droit, détient les clés de chiffrement et peut techniquement accéder aux données ? ». La réponse doit figurer par écrit dans le contrat de sous-traitance de l'article 28 du RGPD.

Ce qu'implique la souveraineté, concrètement

• Entité contractante établie dans l'Union européenne.
• Infrastructure et sauvegardes localisées dans l'UE, sans réplication vers un pays tiers.
• Gestion des clés de chiffrement par une entité relevant du droit de l'UE.
• Chaîne de sous-traitance intégralement cartographiée, y compris les prestataires de second rang (CDN, hébergeur, outil d'observabilité).
• Aucune inférence d'IA exécutée hors UE, aucune réutilisation des contenus pour l'entraînement de modèles.

Envoyez ces questions par écrit et conservez les réponses : elles constituent la preuve de votre diligence en cas de contrôle CNIL ou de mise en cause déontologique.

1. Quel protocole chiffre les flux média, avec quelle suite cryptographique ?

2. L'architecture est-elle SFU ? Le flux existe-t-il en clair côté serveur ?

3. Le chiffrement de bout en bout est-il disponible, activé par défaut, et quelles fonctions désactive-t-il ?

4. Quelles données sont stockées après la session, et pendant combien de temps ?

5. Les enregistrements et transcriptions sont-ils chiffrés au repos, avec quel algorithme ?

6. Quelle entité juridique opère le service, et de quel droit relève-t-elle ?

7. Où sont hébergés les serveurs média, les bases de données et les sauvegardes ?

8. Qui détient et administre les clés de chiffrement ?

9. Quelle est la liste exhaustive des sous-traitants ultérieurs (article 28.2 du RGPD) ?

10. Que contiennent les journaux techniques, et quelle est leur durée de rétention ?

11. Les contenus alimentent-ils l'entraînement d'un modèle d'IA ? Où s'exécute l'inférence ?

12. Quelle procédure s'applique en cas de réquisition d'une autorité étrangère ?

Un éditeur qui ne peut pas répondre par écrit à ces douze questions n'est pas nécessairement de mauvaise foi - mais il ne vous permet pas de documenter votre conformité, ce qui revient au même du point de vue du risque.

Les plateformes de visioconférence grand public ont été conçues pour la réunion d'entreprise, pas pour l'entretien couvert par le secret. Trois écarts structurels reviennent systématiquement.

La juridiction. La plupart relèvent du droit d'un pays tiers, ce qui rend applicable le CLOUD Act quelle que soit la localisation affichée des serveurs.

Le périmètre fonctionnel. Enregistrement dans le cloud de l'éditeur, transcription automatique opérée par un service tiers, connecteurs d'IA activés par défaut, extensions installables par l'utilisateur : chaque fonction supplémentaire élargit la surface d'exposition, souvent sans décision explicite du cabinet.

Les messageries grand public. Un échange de pièces de dossier par une messagerie personnelle mêle données professionnelles et carnet d'adresses privé, sans contrat de sous-traitance conforme à l'article 28 du RGPD, sans durée de conservation maîtrisée, et sans possibilité d'audit. Le confort d'usage ne compense pas l'absence de cadre.

Ce n'est pas un procès en incompétence technique : ces outils sont excellents dans leur domaine. Ils ne sont simplement pas dimensionnés pour un régime de secret absolu, et l'avocat reste personnellement responsable du choix de ses moyens.

Visio-Avocats a été conçu à partir de cette contrainte, et non adapté après coup :

• flux média chiffrés par DTLS-SRTP avec suites AES-GCM, signalisation en TLS 1.3 ;
• infrastructure vidéo et bases de données hébergées dans l'Union européenne, sauvegardes comprises ;
• documents chiffrés au repos en AES-256-GCM, accès nominatif et journalisé ;
• enregistrement et transcription désactivés par défaut, soumis au consentement explicite du client, avec durée de conservation paramétrable ;
• traitements d'intelligence artificielle exécutés en UE, sans réutilisation des contenus pour l'entraînement de modèles ;
• registre des traitements et contrat de sous-traitance article 28 fournis au cabinet.

Le détail de ces garanties est publié sur la page [sécurité](/securite), et l'architecture d'hébergement sur la page [hébergement souverain](/hebergement-souverain).

Le secret professionnel ne s'oppose pas à la visioconférence : il s'oppose au fait de ne pas savoir ce que fait son outil. Trois vérifications suffisent à trancher dans la quasi-totalité des cas : quelle cryptographie protège le flux, où et par qui le contenu est-il déchiffré et conservé, et de quelle juridiction relève l'entité qui contrôle les clés. Ces réponses s'obtiennent par écrit, avant la première consultation, et se rangent dans le dossier de conformité du cabinet.

Cet article présente des bonnes pratiques générales et ne constitue pas une consultation juridique. Les références citées (loi n° 71-1130 du 31 décembre 1971, RIN, article 226-13 du Code pénal, RGPD, CLOUD Act, CJUE C-311/18) sont à vérifier dans leur version en vigueur.