Checklist en 12 points
Sécurité du cabinet d'avocats : les 12 points à vérifier ce mois-ci
Une liste de contrôle concrète sur les accès, les données, les échanges et les incidents, pour protéger le secret professionnel sans service informatique.
Dans ce guide7
En bref
Douze vérifications couvrent l'essentiel du risque d'un cabinet sans service informatique : des accès protégés par la double authentification et révoqués au départ de chacun, des données sauvegardées, chiffrées et hébergées dans l'Union européenne, des échanges avec les clients par un canal sécurisé, et une procédure écrite en cas d'incident. Le RGPD impose en outre de notifier à la CNIL une violation de données présentant un risque, si possible dans les 72 heures après en avoir pris connaissance.
Points clés
- Accès : double authentification partout, un mot de passe par service, révocation le jour du départ.
- Données : sauvegardes restaurées au moins une fois, chiffrement, hébergement dans l'Union européenne, durées de conservation écrites.
- Échanges : pièces par un espace nominatif, visio avec salle d'attente, prestataires listés avec leur contrat de sous-traitance.
- Incidents : une procédure écrite, des appareils verrouillés et chiffrés, un exercice d'hameçonnage chaque année.
Accès
- Double authentification activée sur la messagerie, le logiciel de cabinet, la visioconférence et le stockage, sans exception pour les associés.
- Un mot de passe unique par service, gardé dans un gestionnaire de mots de passe partagé au cabinet ; plus aucun mot de passe dans un fichier ou un carnet.
- Départ d'un collaborateur ou d'un stagiaire : accès révoqués le jour même, sur tous les services, avec une liste tenue à jour de ce qui a été ouvert.
Données
- Sauvegardes automatiques, chiffrées, et une restauration testée au moins une fois : tant qu'une sauvegarde n'a pas été restaurée, rien ne garantit qu'elle fonctionne.
- Données au repos chiffrées et hébergées dans l'Union européenne ; demandez au fournisseur le lieu d'hébergement, le chiffrement (par exemple AES-256) et l'accord de sous-traitance.
- Durées de conservation définies par type de document et appliquées ; le registre des activités de traitement prévu à l'article 30 du RGPD est tenu à jour.
Échanges
- Pièces échangées avec les clients par un espace sécurisé nominatif, plutôt que par email ou par une messagerie grand public.
- Visioconférence : salle d'attente avec admission par l'avocat, chiffrement des flux (TLS et SRTP), possibilité de couper enregistrement et transcription pour un dossier sensible.
- Chaque prestataire qui voit des données de clients (hébergeur, visio, paiement, IA, comptable) est listé avec le pays d'hébergement et le contrat de sous-traitance signé.
Incidents et personnes
- Procédure écrite en cas d'incident : qui appeler, quels accès couper, comment informer les clients concernés ; l'article 33 du RGPD prévoit la notification à la CNIL, si possible dans les 72 heures, lorsqu'une violation présente un risque pour les personnes.
- Postes et téléphones verrouillés, mises à jour automatiques, disques chiffrés : un appareil perdu ne doit pas exposer un dossier.
- Exercice d'hameçonnage annuel au cabinet : un email piégé, puis dix minutes de débrief.
Pour aller plus loin
- Faites relire cette liste par votre ordre ou votre assureur de responsabilité civile professionnelle : certains exigent des mesures précises.
- Le guide pratique de cybersécurité du Conseil national des barreaux détaille ces mesures pour la profession, dont la vérification de tout changement de coordonnées bancaires par un second canal.
- Documentez ce que vous avez vérifié et la date : en cas de contrôle ou d'incident, la preuve de diligence compte.
- Revoyez la liste chaque trimestre ; un nouveau prestataire ou un nouveau collaborateur suffit à la rendre obsolète.
Sources
Les textes et publications sur lesquels s'appuie ce guide, vérifiés le 23 septembre 2026.
- 1
Conseil national des barreaux
Guide pratique de cybersécurité (octobre 2023) - 2
EUR-Lex (Union européenne)
Règlement (UE) 2016/679 (RGPD), articles 28, 30, 32 et 33 - 3
Recevoir les prochains guides
Un email quand paraît un nouveau guide ou un nouvel article. Vous vous désinscrivez depuis n'importe quel envoi.
Visio-Avocats
Consultez à distance sans exposer le secret professionnel.
Chaque client patiente en salle d'attente jusqu'à ce que vous l'admettiez, les flux sont chiffrés, les données hébergées à Francfort, et rien n'est enregistré sans l'accord de chaque participant. Le registre des traitements et la liste des sous-traitants sont publiés.
L'essai dure quatorze jours, 0 € aujourd'hui, sans engagement.