RGPD : tenir le registre des traitements du cabinet d'avocats

L'article 30 du RGPD impose à chaque responsable du traitement de tenir un registre des activités de traitement effectuées sous sa responsabilité. Le registre se tient par écrit, y compris sous forme électronique, et se met à la disposition de la CNIL sur demande : il ne lui est pas envoyé.

Le même article exempte les entreprises de moins de 250 salariés, sauf si le traitement est susceptible de comporter un risque pour les droits des personnes, s'il n'est pas occasionnel, ou s'il porte sur des catégories particulières de données (santé, par exemple) ou sur des données relatives aux condamnations et aux infractions. La gestion des dossiers d'un cabinet n'est jamais occasionnelle et contient souvent de telles données : l'exemption ne s'applique pas. La CNIL rappelle d'ailleurs que le registre concerne tout organisme qui traite des données de manière régulière.

Le registre est aussi un outil de travail : c'est en le remplissant que l'on découvre un prestataire sans contrat, une durée de conservation jamais fixée ou un tableur de clients oublié sur un poste.

Une fiche par traitement, avec les mentions de l'article 30, paragraphe 1, du RGPD.

La liste qui suit couvre les traitements que l'on retrouve dans la plupart des cabinets. Elle se complète de ceux qui vous sont propres ; le registre type annexé au guide RGPD de la profession d'avocat en donne une version détaillée.

Gestion des dossiers et des clients

• Finalité : l'exécution des missions confiées (conseil, rédaction d'actes, assistance et représentation).
• Personnes : clients, parties adverses, témoins et tiers cités dans les dossiers.
• Données : identité, coordonnées, pièces du dossier, et selon les matières des données de santé, de vie familiale ou relatives aux infractions.
• Destinataires : juridictions, confrères, commissaires de justice, experts, et les prestataires techniques du cabinet.

Facturation, encaissement et comptabilité

• Finalité : facturer, encaisser et tenir la comptabilité du cabinet.
• Données : identité et coordonnées du client payeur, montants, dates et références des paiements.
• Destinataires : expert-comptable, administration fiscale, plateforme agréée de facturation électronique, prestataire de paiement.

Lutte contre le blanchiment

• Pour les missions qui entrent dans le champ des obligations de vigilance : identification du client et du bénéficiaire effectif, justificatifs recueillis.
• Traitement fondé sur une obligation légale, à tenir séparément de la gestion ordinaire des dossiers.

Consultations à distance

• Outil de visioconférence, salle d'attente, messagerie, documents partagés, et le cas échéant enregistrements et transcriptions.
• Le fournisseur est un sous-traitant : son nom, le lieu d'hébergement et le contrat figurent dans la fiche.
• Durée de conservation des enregistrements et des transcriptions fixée par écrit.

Outils d'intelligence artificielle

• Outils de recherche, de rédaction ou de compte rendu qui reçoivent des données de clients : un traitement à part entière, avec son fournisseur et ses garanties.
• Préciser ce qui peut être saisi (données pseudonymisées ou non) et si le fournisseur réutilise les données.

Site internet, prise de rendez-vous et prospection

• Formulaires de contact, page de réservation, lettre d'information, et la gestion des personnes qui ont demandé à la recevoir.

Personnel du cabinet

• Salariés, collaborateurs et stagiaires : gestion administrative, paie, accès aux outils.

L'article 9 du RGPD interdit en principe le traitement des catégories particulières de données (santé, opinions, vie sexuelle, par exemple), sauf exceptions, parmi lesquelles le traitement nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice. L'article 10 réserve le traitement des données relatives aux condamnations pénales et aux infractions aux cas prévus par le droit de l'Union ou d'un État membre.

En droit français, l'article 46 de la loi du 6 janvier 1978 autorise les auxiliaires de justice à traiter ces données pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi. Le registre le mentionne, et les mesures de sécurité suivent : accès limité aux personnes qui travaillent sur le dossier, chiffrement, journalisation des consultations.

Tout prestataire qui traite des données pour le compte du cabinet est un sous-traitant : hébergeur, éditeur du logiciel de cabinet, outil de visioconférence, prestataire de paiement, fournisseur d'IA. L'article 28 du RGPD impose un contrat qui fixe l'objet et la durée du traitement, la nature et la finalité, les catégories de données et de personnes, les obligations de sécurité, le sort des données à la fin du contrat et le recours à d'autres sous-traitants.

Dans le registre, chaque fiche nomme les sous-traitants du traitement, le pays où les données sont traitées et la date du contrat. Le guide du sous-traitant publié par la CNIL détaille les clauses attendues.

Le principe de limitation de la conservation (article 5, paragraphe 1, e, du RGPD) interdit de garder les données plus longtemps que nécessaire au regard des finalités. Pour un cabinet, la durée se fixe par catégorie : dossier en cours, archives après clôture, pièces comptables, données de prospection.

Le guide RGPD de la profession d'avocat, publié par le CNB dans une deuxième édition en mai 2023, annexe un référentiel des durées de conservation des données et documents du cabinet : c'est la base à reprendre dans le registre, plutôt qu'une durée choisie au jugé. Une durée n'a de valeur que si la suppression est programmée et effectuée.

Exemple pour les consultations à distance, à adapter à vos outils.