Secret professionnel et visioconférence : le guide technique et juridique

Ce que couvre le secret professionnel

L'article 66-5 de la loi du 31 décembre 1971 couvre par le secret professionnel, en toutes matières, les consultations adressées par un avocat à son client, les correspondances échangées et les pièces du dossier. L'article 2 du règlement intérieur national en fait un principe essentiel de la profession, et l'article 226-13 du Code pénal punit sa violation d'un an d'emprisonnement et de 15 000 € d'amende.

Quand la consultation passe par une visio, la confidentialité ne dépend plus seulement de la porte fermée du cabinet : elle dépend d'une chaîne technique et contractuelle. Ce guide en décrit chaque maillon.

1. La chaîne : où le secret peut se rompre

1. Le poste de travail : navigateur, application, micro, caméra, et la pièce où l'on se trouve.

2. Le transport entre le poste et le serveur.

3. Le serveur média, qui reçoit et redistribue les flux.

4. Le stockage : enregistrements, transcriptions, pièces, journaux techniques.

5. Le droit applicable à l'entreprise qui opère le service et à ses sous-traitants.

Un outil peut être irréprochable sur les trois premiers maillons et poser problème sur le cinquième : c'est donc la chaîne entière qu'il faut examiner.

2. Le transport : ce que garantit DTLS-SRTP

La visio dans le navigateur repose sur WebRTC. L'architecture de sécurité de WebRTC (RFC 8827) impose de chiffrer chaque flux audio et vidéo par SRTP (RFC 3711), avec des clés négociées par DTLS ; l'envoi de média non chiffré est interdit.

Ce que cela garantit : sur le réseau traversé, opérateur, Wi-Fi d'hôtel ou réseau d'un palais de justice, personne ne peut lire ni altérer le flux : c'est la protection de base.

Ce que cela ne garantit pas : que le serveur qui relaie les flux ne les voie pas. Lorsque la visio passe par un serveur qui reçoit les flux de chaque participant et les redistribue, le chiffrement SRTP protège chaque tronçon entre un participant et ce serveur, et le serveur a accès au média qu'il relaie. La question utile devient donc : « qui opère la machine où le flux est accessible, et sous quel droit ? »

Le chiffrement de bout en bout

Le chiffrement de bout en bout ajoute une couche : chaque participant chiffre son média avec une clé que le serveur ne détient pas. Le mécanisme SFrame, normalisé par l'IETF en 2024 (RFC 9605), permet ainsi au serveur de relayer les flux sans accéder au média. Trois précautions avant de s'en contenter :

• Il est souvent optionnel, et incompatible avec des fonctions qui ont besoin du média côté serveur, comme l'enregistrement ou la transcription.
• Il ne couvre que le média. Qui parle à qui, quand, combien de temps : ces métadonnées restent visibles. Pour un avocat, l'existence même d'un rendez-vous avec tel client peut être une information sensible.
• Il ne dit rien du stockage. Un enregistrement chiffré pendant le transport peut être conservé autrement après la séance.

3. Le stockage : trois zones à surveiller

Les enregistrements et transcriptions. Ils supposent l'accord des personnes enregistrées : l'article 226-1 du Code pénal punit le fait de capter ou d'enregistrer des paroles prononcées à titre privé ou confidentiel sans le consentement de leur auteur. Ils doivent être chiffrés au repos, conservés pour une durée définie, puis supprimés.

Les pièces échangées. Une pièce déposée dans la messagerie d'un outil généraliste suit le régime de cet outil. Le canal de partage de documents s'audite comme le flux vidéo : chiffrement, accès nominatif, traçabilité.

Les journaux techniques. Ils contiennent souvent des noms de participants, des intitulés de réunion, des adresses IP. Demandez ce qui est journalisé, où, pendant combien de temps, et qui y accède.

4. Le droit applicable : le maillon décisif

Le CLOUD Act américain (18 U.S.C. § 2713) oblige un fournisseur de services de communication électronique ou de stockage soumis au droit américain à conserver et à communiquer les données qu'il a en sa possession, sous sa garde ou sous son contrôle, qu'elles soient situées aux États-Unis ou ailleurs. La localisation des serveurs ne neutralise donc pas ce risque : ce qui compte, c'est le droit auquel sont soumis le fournisseur, sa maison mère et ses sous-traitants.

Le RGPD pose une question voisine, celle des transferts hors de l'Union. Par l'arrêt Schrems II du 16 juillet 2020 (C-311/18), la Cour de justice de l'Union européenne a invalidé le Privacy Shield. La Commission a adopté le 10 juillet 2023 une nouvelle décision d'adéquation pour les entreprises américaines certifiées, le cadre de protection des données UE-États-Unis ; le Tribunal de l'Union a rejeté un recours contre cette décision le 3 septembre 2025, et un pourvoi a été formé devant la Cour de justice. Une décision d'adéquation encadre les transferts de données personnelles ; elle ne règle pas la question du secret professionnel face à une réquisition étrangère.

En pratique, au-delà de la localisation des serveurs, demandez à l'éditeur : « quelle entité, soumise à quel droit, peut techniquement accéder aux données, et qui sont vos sous-traitants ? » La réponse figure par écrit dans le contrat de sous-traitance prévu par l'article 28 du RGPD.

5. Douze questions à poser à un éditeur

Envoyez-les par écrit et conservez les réponses : elles documentent votre diligence en cas de contrôle ou de mise en cause.

1. Quel protocole chiffre les flux, et quelle suite cryptographique est utilisée ?

2. Le serveur qui relaie les flux a-t-il accès au média ?

3. Le chiffrement de bout en bout est-il disponible, et quelles fonctions désactive-t-il ?

4. Quelles données sont conservées après la séance, et pendant combien de temps ?

5. Les enregistrements et transcriptions sont-ils chiffrés au repos ?

6. Quelle entité juridique opère le service, et quel droit s'applique à elle et à sa maison mère ?

7. Où sont hébergés les serveurs média, les bases de données et les sauvegardes ?

8. Qui administre les clés de chiffrement ?

9. Quelle est la liste des sous-traitants ultérieurs, avec leur pays (article 28 du RGPD) ?

10. Que contiennent les journaux techniques, et combien de temps sont-ils conservés ?

11. Les contenus servent-ils à entraîner un modèle d'IA ? Où les traitements d'IA ont-ils lieu ?

12. Quelle procédure s'applique en cas de demande d'une autorité étrangère ?

Un éditeur qui ne peut pas répondre par écrit n'est pas nécessairement de mauvaise foi ; mais il ne vous permet pas de documenter votre choix.

6. Les limites des outils généralistes

Les plateformes de réunion grand public sont conçues pour les réunions d'entreprise. Pour un entretien couvert par le secret, trois points reviennent :

• Le droit applicable au fournisseur, à examiner à la lumière du CLOUD Act.
• Le périmètre des fonctions : enregistrement dans le nuage de l'éditeur, transcription par un service tiers, assistants d'IA activés par défaut, extensions. Chaque fonction élargit la surface d'exposition.
• Les messageries personnelles, qui mêlent pièces de dossier et carnet d'adresses privé, sans contrat de sous-traitance.

L'avocat reste responsable du choix de ses moyens ; la grille ci-dessus s'applique à tous les outils, y compris ceux que la profession utilise largement.

7. Ce que fait Visio-Avocats

• Flux audio et vidéo chiffrés en SRTP, échanges web en TLS 1.3, données chiffrées au repos en AES-256.
• Base de données, authentification et fichiers hébergés à Francfort ; la visioconférence passe par des serveurs situés dans l'Union européenne.
• Ni transcription ni enregistrement sans l'accord explicite de chaque participant ; le refus d'un seul bloque l'opération, et l'accord est horodaté.
• Enregistrements supprimés automatiquement au bout de 90 jours.
• Avec l'offre Cabinet, un mode confidentiel coupe l'enregistrement, la transcription, les sous-titres et le compte rendu automatique.
• Aucun entraînement de modèle sur le contenu des consultations.

La page sécurité publie la liste des sous-traitants, leur rôle et le lieu d'hébergement, ainsi que l'accord de sous-traitance et le registre des traitements : appliquez-leur la même grille de questions. Les règles de pratique quotidienne sont dans l'article Secret professionnel en visio : sept règles à appliquer, et le cadre déontologique dans le guide Consultation en visioconférence : déontologie et secret.