L’essentiel
La checklist RGPD d’un cabinet d’avocats n’est pas un formulaire à cocher une fois pour l’oublier : c’est une méthode de mise en ordre durable. Le Règlement général sur la protection des données (RGPD, en vigueur depuis mai 2018) s’applique à tout cabinet qui traite des données personnelles — c’est-à-dire à tous, sans exception. En pratique, vingt points structurants permettent de couvrir l’essentiel, depuis le registre des traitements jusqu’aux clauses contractuelles avec vos prestataires.
—
Ce qui est en jeu
Le cabinet d’avocats occupe une position particulière au regard de la protection des données. Il traite des informations parmi les plus sensibles qui soient : faits d’une procédure, données de santé dans un dossier de divorce ou de dommages corporels, données pénales, situation patrimoniale. Ces données sont doublement protégées : par le RGPD et par le secret professionnel consacré à l’article 66-5 de la loi n° 71-1130 du 31 décembre 1971. Le non-respect de l’un ou l’autre expose le cabinet à des sanctions de la CNIL, et le non-respect du secret peut constituer une faute disciplinaire.
Contrairement à une idée reçue, la conformité RGPD n’exige pas un budget informatique conséquent. Elle exige de la méthode, de la documentation et des décisions claires sur qui fait quoi. Ce guide vous donne le cadre opérationnel ; pour votre situation propre, rapprochez-vous de votre ordre ou d’un délégué à la protection des données (DPO).
—
Les 20 points, étape par étape
Bloc 1 — Cartographier les données du cabinet
1. Dresser le registre des traitements. Tout organisme de plus de 250 personnes y est obligé ; en dessous, l’obligation existe si les traitements sont réguliers ou portent sur des données sensibles. Un cabinet traite quasi systématiquement des données régulières et sensibles : tenez ce registre, même réduit. Un tableur suffit au départ.
2. Identifier les catégories de données traitées. Données d’identification des clients, données judiciaires, données de santé, données financières : chaque catégorie appelle des protections spécifiques.
3. Lister les finalités de chaque traitement. Gestion des dossiers, facturation, communication marketing, recrutement — chaque usage doit avoir une finalité explicite et une base légale (contrat, intérêt légitime, consentement, obligation légale).
4. Cartographier les flux de données. Qui reçoit les données en dehors du cabinet ? Tribunaux, experts, confrères, huissiers, hébergeurs cloud, logiciels SaaS (Software as a Service, c’est-à-dire un logiciel accessible depuis un navigateur, hébergé par l’éditeur). Chaque destinataire doit être identifié.
Bloc 2 — Sécuriser les données
5. Évaluer le niveau de sécurité de votre messagerie. La messagerie est le premier vecteur de violation de données. Vérifiez que votre fournisseur propose le chiffrement en transit (TLS), l’authentification à deux facteurs (2FA) et un hébergement conforme RGPD. Consultez notre page cybersécurité du cabinet pour les critères techniques.
6. Mettre en place une politique de mots de passe. Tous les accès aux données clients doivent être protégés par des mots de passe robustes, différents d’un service à l’autre. Un gestionnaire de mots de passe dédié résout ce point pour l’ensemble de l’équipe.
7. Organiser les sauvegardes. Une sauvegarde régulière, chiffrée, testée et stockée hors site (ou dans un cloud sécurisé en Europe) est indispensable. Le détail de la méthode est développé sur la page sauvegarde des données.
8. Contrôler les accès. Chaque collaborateur n’accède qu’aux dossiers qui le concernent. Limitez les droits d’administration aux seules personnes qui en ont besoin.
9. Sécuriser le télétravail. VPN (réseau privé virtuel qui chiffre la connexion à distance), politique de verrouillage d’écran, interdiction des supports USB non chiffrés : des règles simples écrites valent mieux que des consignes verbales.
Bloc 3 — Informer et formaliser
10. Rédiger les mentions d’information destinées aux clients. Dès la première prise de contact, le client doit être informé de la finalité du traitement, de ses droits (accès, rectification, effacement, portabilité) et de l’identité du responsable de traitement. Une clause dans la convention d’honoraires suffit souvent.
11. Mettre en place une procédure de réponse aux demandes de droits. Un client peut demander l’accès à ses données ou leur effacement. Vous devez y répondre dans un délai d’un mois. Désignez la personne en charge dans le cabinet.
12. Contractualiser avec vos sous-traitants. Tout prestataire qui accède à des données personnelles pour votre compte (hébergeur, éditeur de logiciel, service de transcription) doit signer un accord de sous-traitance conforme à l’article 28 du RGPD. Vérifiez que vos contrats SaaS incluent cette clause.
13. Vérifier la localisation des hébergements. Un hébergement en dehors de l’Union européenne sans mécanisme de protection adéquat est en principe non conforme. Privilégiez les solutions hébergées dans l’UE ou couvertes par des clauses contractuelles types validées par la CNIL.
Bloc 4 — Gérer les incidents et les durées de conservation
14. Définir les durées de conservation par catégorie de données. Un dossier client ne peut être conservé indéfiniment. Fixez des règles : durée de la relation, puis délai d’archivage en lien avec les prescriptions applicables. Passé ce délai, les données doivent être supprimées ou anonymisées.
15. Documenter la procédure de notification des violations. Si une violation de données (piratage, perte d’un ordinateur, envoi erroné) survient, vous avez en principe 72 heures pour la notifier à la CNIL, et sans délai pour informer les personnes concernées si le risque est élevé. Nommez qui décide et qui notifie.
16. Tenir un registre des violations. Même les incidents mineurs (email envoyé au mauvais destinataire) doivent être documentés en interne.
Bloc 5 — Formation, gouvernance et maintenance
17. Former l’ensemble de l’équipe. La conformité RGPD s’effondre sur l’erreur humaine. Une session annuelle, même courte, sur les bons réflexes (phishing, mots de passe, envoi de documents) est plus efficace que la documentation seule.
18. Désigner un référent interne. Un avocat ou un assistant assume le rôle de point de contact RGPD au sein du cabinet. En cas de traitement à grande échelle de données sensibles, la désignation d’un DPO externe peut s’imposer — vérifiez votre situation auprès de la CNIL.
19. Auditer le registre au moins une fois par an. Un nouveau logiciel, un prestataire supplémentaire, un déménagement vers le cloud : chaque changement peut créer un nouveau traitement ou modifier un flux existant. Planifiez une revue annuelle.
20. Documenter chaque décision de conformité. Le principe d’accountability (responsabilité documentée) du RGPD exige de pouvoir prouver que vous avez analysé chaque traitement et pris les mesures appropriées. La documentation est la preuve.
—
Tableau de référence
| Point RGPD | Qui l’applique | Outil ou document utile | Point de vigilance |
|---|---|---|---|
| Registre des traitements | Responsable du cabinet | Tableur structuré ou module du logiciel métier | Tenir à jour à chaque changement |
| Mentions d’information clients | Secrétariat / avocat | Clause dans la convention d’honoraires | Doit couvrir tous les traitements |
| Accords de sous-traitance | Avocat référent RGPD | Clause art. 28 à demander à chaque éditeur SaaS | Vérifier la localisation d’hébergement |
| Sécurité messagerie | Avocat référent + IT | 2FA, TLS, hébergement UE | Messagerie personnelle = risque |
| Durées de conservation | Avocat référent RGPD | Grille de durées par catégorie | Ne pas conserver « au cas où » |
| Procédure violation de données | Avocat référent RGPD | Formulaire CNIL de notification | Délai de 72 h — nommer le décideur |
| Formation de l’équipe | Associé ou référent RGPD | Support de formation interne ou prestataire | À renouveler annuellement |
—
Conseils pratiques — la méthode pour bien aborder sa mise en conformité
Avant de vous lancer dans la rédaction de documents, prenez le temps de clarifier l’existant.
- Commencez par écrire ce que vous faites réellement, avant de regarder les modèles : quels logiciels traitent des données clients, quels prestataires y accèdent, où sont stockés vos fichiers. Les écarts entre la pratique réelle et les formulaires standards sont la principale source de non-conformité.
- Impliquez dès le départ ceux qui manipulent les données au quotidien : l’assistante qui réceptionne les pièces, le collaborateur qui utilise un service cloud pour transmettre des documents. Ils connaissent les flux réels mieux que personne.
- Testez vos procédures sur un cas concret : simulez une demande d’accès d’un client fictif et chronométrez votre capacité à y répondre dans le délai d’un mois.
- Posez les questions qui dérangent à vos éditeurs : où sont hébergées mes données ? Qui y accède côté support ? Quelles sont les clauses de sous-traitance ? Un éditeur sérieux répond clairement. L’absence de réponse est une information en soi.
- Chiffrez le coût réel de la non-conformité : une violation de données mal gérée, une sanction CNIL ou un dossier client perdu coûtent bien plus qu’une journée de mise en ordre.
- Comparez au moins deux approches avant de choisir un prestataire d’accompagnement RGPD : DPO externe freelance, cabinet spécialisé, module intégré à votre logiciel métier. Certains logiciels de gestion de cabinet proposent des fonctionnalités de registre des traitements à confirmer lors de la démonstration.
- Rappelez-vous qu’aucune solution standard ne convient à tous les cabinets : un exercice individuel en droit de la famille, un cabinet de vingt avocats en droit des affaires et une structure multi-sites n’ont pas les mêmes flux de données ni les mêmes risques.
—
Cas particuliers
Avocat individuel sans support informatique
La conformité RGPD reste obligatoire, mais peut être allégée si les traitements sont limités. Un registre simplifié, des clauses types dans la convention d’honoraires et un prestataire cloud dont les contrats incluent l’accord de sous-traitance suffisent souvent pour démarrer. Consultez le guide RGPD au cabinet pour les ressources de base.
Cabinet multi-sites
Chaque site peut constituer un flux de données distinct si des prestataires différents sont utilisés. Le registre des traitements doit couvrir l’ensemble des établissements. La désignation d’un DPO interne ou externe est souvent pertinente dans ce cas.
Collaborateurs en télétravail
Chaque connexion à distance est un point d’entrée potentiel pour une violation de données. Une charte informatique, un VPN, le 2FA sur tous les accès et une politique de verrouillage d’écran automatique sont des prérequis non négociables. Consultez la page cybersécurité du cabinet pour le détail des mesures.
—
Outils et ressources
- RGPD au cabinet — la page pilier sur le sujet
- Cybersécurité du cabinet — sécurisation des accès et de la messagerie
- Sauvegarde des données — méthode et critères de choix
- Gestionnaire de mots de passe — comparatif des solutions
- Logiciel de gestion de cabinet — pour évaluer si votre logiciel métier intègre des fonctionnalités RGPD
- Le diagnostic — 4 questions pour identifier les solutions adaptées à votre profil de cabinet
—
FAQ
Le RGPD s’applique-t-il à un avocat exerçant seul ?
Oui. Dès lors qu’un avocat traite des données personnelles de clients ou de tiers — ce qui est toujours le cas —, il est soumis au RGPD en tant que responsable de traitement. L’obligation de registre est allégée si les traitements ne sont ni réguliers, ni sensibles ; en pratique, un cabinet d’avocats remplit presque toujours l’un de ces deux critères.
Dois-je nommer un délégué à la protection des données (DPO) ?
La désignation d’un DPO est obligatoire si votre cabinet traite à grande échelle des données sensibles (données de santé, données pénales) ou effectue un suivi régulier et systématique de personnes à grande échelle. Pour la majorité des cabinets de taille courante, elle n’est pas obligatoire mais peut être utile. Vérifiez votre situation auprès de la CNIL ou d’un conseil spécialisé.
Mes e-mails vers les tribunaux ou les confrères sont-ils concernés par le RGPD ?
Tout envoi d’e-mail contenant des données personnelles est un traitement au sens du RGPD. Veillez à utiliser une messagerie sécurisée (TLS activé), à ne pas envoyer de pièces sensibles à des destinataires non vérifiés et à utiliser le RPVA (réseau privé virtuel des avocats) pour les échanges avec les juridictions.
Un logiciel SaaS utilisé par le cabinet est-il un sous-traitant au sens du RGPD ?
Oui, si cet éditeur accède à des données personnelles pour vous fournir son service. Vous devez signer avec lui un accord de sous-traitance conforme à l’article 28 du RGPD. Vérifiez que votre contrat actuel inclut cette clause ; si ce n’est pas le cas, demandez-la à l’éditeur.
Combien de temps puis-je conserver les données d’un dossier client clôturé ?
Le RGPD n’impose pas de durée universelle : il exige que vous définissiez vous-même des durées cohérentes avec vos finalités et les prescriptions applicables. En pratique, la conservation d’un dossier après sa clôture se justifie par la durée de prescription civile ou pénale correspondante, puis les données doivent être supprimées ou anonymisées. Pour votre situation propre, rapprochez-vous de votre ordre.
Que faire en cas de perte ou de vol d’un ordinateur contenant des données clients ?
Il s’agit d’une violation de données personnelles. Si le risque pour les personnes concernées est probable, vous devez en principe notifier la CNIL dans les 72 heures et informer les clients concernés. Documentez l’incident dans votre registre interne, qu’il soit notifiable ou non.
La cyber-assurance couvre-t-elle les sanctions CNIL ?
Les sanctions administratives prononcées par la CNIL ne sont pas assurables. En revanche, une cyber-assurance peut couvrir les frais de gestion d’un incident (investigation, notification, assistance juridique) et les préjudices subis par des tiers. Vérifiez les conditions de votre contrat.
—
Conclusion
Mettre sa checklist RGPD en ordre n’est pas une tâche de juriste spécialisé : c’est une discipline d’organisation que tout cabinet peut engager avec méthode. Vingt points bien documentés valent mieux qu’un dossier de conformité épais que personne ne consulte. Commencez par le registre des traitements, sécurisez la messagerie et les accès, formalisez vos relations avec vos prestataires : l’essentiel est là.
Si vous souhaitez identifier rapidement quelles solutions — logiciel métier avec module RGPD, gestionnaire de mots de passe, cyber-assurance — correspondent au profil de votre cabinet, le diagnostic d’Avocat.com vous oriente en quatre questions et environ deux minutes. Pour aller plus loin sur la protection numérique du cabinet dans son ensemble, la page cybersécurité du cabinet et la page pilier RGPD au cabinet complètent utilement ce guide.
Avocat.com est un guide indépendant de solutions professionnelles pour avocats et cabinets. Nous ne fournissons pas de conseil juridique. Certains liens peuvent être des liens partenaires, toujours signalés comme tels.