Le secret professionnel à l’ère numérique
Le secret professionnel est le pilier de la relation avocat-client. Mais à l’ère du tout numérique, ce secret ne repose plus seulement sur la discrétion humaine. Il dépend aussi de l’infrastructure informatique du cabinet.
Un dossier stocké sur un serveur non sécurisé, un email envoyé en clair, un poste non verrouillé — chaque négligence technique est une brèche dans le secret professionnel.
Ce que le RGPD impose aux cabinets
Le Règlement Général sur la Protection des Données s’applique pleinement aux cabinets d’avocats. En tant que responsables de traitement, ils doivent :
Mettre en place des mesures techniques adaptées à la sensibilité des données. Documenter les traitements dans un registre. Notifier la CNIL en cas de violation de données dans les 72 heures. Garantir les droits des personnes concernées (accès, rectification, suppression).
Un cabinet qui stocke des dossiers clients sur un disque dur non chiffré, sans sauvegarde, sans contrôle d’accès, est en infraction.
Les mesures techniques attendues
Le Conseil National des Barreaux recommande plusieurs mesures concrètes que tout cabinet devrait appliquer.
Le chiffrement des données sensibles, au repos et en transit. L’authentification forte sur les accès aux dossiers clients. La traçabilité des accès, pour savoir qui a consulté quel dossier et quand. La sauvegarde régulière et testée des données. La sensibilisation des collaborateurs aux risques cyber.
La responsabilité en cas de fuite
En cas de fuite de données, la responsabilité de l’avocat peut être engagée sur plusieurs plans. Sur le plan disciplinaire, le manquement au secret professionnel peut entraîner des sanctions ordinales. Sur le plan civil, le client peut demander réparation du préjudice subi. Sur le plan RGPD, la CNIL peut infliger des amendes.
Un cabinet qui n’a pris aucune mesure technique de protection aura du mal à démontrer sa bonne foi.
Par où commencer ?
La mise en conformité n’est pas forcément complexe ni coûteuse pour un cabinet. Un diagnostic de l’infrastructure existante permet d’identifier les priorités. Les mesures de base (mots de passe, sauvegardes, chiffrement, segmentation réseau) couvrent déjà la majorité des risques.
L’essentiel est de pouvoir démontrer que des mesures raisonnables ont été prises, proportionnées à la sensibilité des données traitées.