L’essentiel en deux phrases
Une donnée personnelle désigne toute information permettant d’identifier une personne physique — un nom, une adresse e-mail, un numéro de dossier. Une donnée sensible (ou « catégorie particulière de données » au sens du RGPD) est un sous-ensemble à régime renforcé : sa divulgation peut exposer la personne à une discrimination ou à une atteinte grave à sa vie privée.
Pour un cabinet d’avocat, la distinction entre donnée personnelle et donnée sensible rgpd n’est pas une nuance académique : elle détermine les mesures techniques, organisationnelles et contractuelles que vous devez mettre en place — et les sanctions encourues si vous les négligez.
—
La définition complète
Donnée personnelle : la brique de base
Le RGPD — Règlement général sur la protection des données, entré en application en mai 2018 et directement applicable en France — définit la donnée personnelle comme « toute information se rapportant à une personne physique identifiée ou identifiable ». L’identifiabilité peut être directe (nom, numéro de téléphone) ou indirecte (adresse IP, numéro de dossier combiné à d’autres éléments).
Pensez à un classeur de fiches clients. Chaque fiche contient des informations sur une personne réelle. Ce classeur est un traitement de données personnelles, au sens du RGPD, dès lors qu’il est organisé selon un critère quelconque.
Données sensibles : un régime d’exception
L’article 9 du RGPD identifie neuf catégories de données dont le traitement est, par principe, interdit — sauf exceptions listées. Ces catégories sont :
- l’origine raciale ou ethnique ;
- les opinions politiques ;
- les convictions religieuses ou philosophiques ;
- l’appartenance syndicale ;
- les données génétiques ;
- les données biométriques aux fins d’identification unique ;
- les données de santé ;
- la vie sexuelle ou l’orientation sexuelle ;
- et, depuis les directives nationales, les données relatives aux infractions et condamnations pénales (article 10 du RGPD, transposé en droit français).
L’analogie utile : si les données personnelles sont une zone réglementée, les données sensibles sont une zone rouge avec accès restreint, gardien à la porte et registre d’entrée obligatoire.
—
Pourquoi c’est important pour votre cabinet
Un cabinet d’avocat traite structurellement des données sensibles
Le droit de la famille touche à la santé mentale, à la vie intime, aux origines. Le droit pénal traite des infractions et des condamnations. Le droit du travail implique des données syndicales et des informations de santé. Le droit médical, le droit des étrangers, le droit des successions… rares sont les spécialités qui n’effleuroient aucune des neuf catégories.
En d’autres termes : si votre cabinet gère des dossiers, il traite très probablement des données sensibles au sens du RGPD — sans toujours l’avoir formalisé.
Les obligations renforcées que cela déclenche
Le traitement de données sensibles impose, par rapport au régime de droit commun des données personnelles :
| Obligation | Données personnelles ordinaires | Données sensibles |
|---|---|---|
| Base légale suffisante | Consentement, intérêt légitime, contrat… | Base légale de l’art. 9 RGPD (ex. : nécessité pour défense en justice) |
| Analyse d’impact (AIPD) | Recommandée si risque élevé | Souvent obligatoire |
| Mesures de sécurité | Appropriées au risque | Renforcées (chiffrement, cloisonnement) |
| Durée de conservation | Proportionnée à la finalité | Proportionnée + justifiée explicitement |
| Mention dans le registre des traitements | Oui | Oui, avec la base légale spécifique |
Le registre des traitements est obligatoire pour la quasi-totalité des cabinets (l’exception pour les structures de moins de 250 personnes ne s’applique pas aux traitements réguliers ou portant sur des données sensibles). Pour votre situation précise, consultez votre DPO ou référez-vous aux lignes directrices de la CNIL.
Impact sur le choix de vos outils
Un logiciel de gestion de cabinet ou une solution de facturation héberge vos dossiers. Si ces dossiers contiennent des données sensibles — et ils en contiennent — le logiciel devient un sous-traitant au sens du RGPD. Cela signifie :
- une convention de sous-traitance obligatoire (article 28 RGPD) ;
- la garantie que les données restent dans l’Espace économique européen ou bénéficient d’un mécanisme de transfert adéquat ;
- la capacité du prestataire à répondre à une demande d’accès ou d’effacement dans les délais réglementaires.
Avant de signer un contrat SaaS, demandez systématiquement : où sont hébergées les données, qui y a accès, existe-t-il une DPA (Data Processing Agreement) disponible ? La réponse conditionne votre conformité, pas seulement celle de l’éditeur.
—
Un exemple concret
Imaginons un cabinet spécialisé en droit du travail. Il gère des dossiers de harcèlement moral et de discrimination syndicale. Chaque dossier contient :
- l’identité et les coordonnées du client → données personnelles ordinaires ;
- les conclusions médicales attestant du préjudice psychologique → données de santé (sensibles) ;
- la mention de l’appartenance syndicale du client → données sensibles ;
- les pièces relatives aux propos discriminatoires → peuvent contenir des données sur l’origine ethnique (sensibles).
Ce cabinet doit donc, pour ces dossiers spécifiques, utiliser un outil disposant de chiffrement au repos et en transit, limiter l’accès aux seuls collaborateurs qui traitent ces dossiers (principe de minimisation), et documenter la base légale — typiquement, la « nécessité pour la constatation, l’exercice ou la défense de droits en justice » prévue à l’article 9.2.f du RGPD.
Si le cabinet utilise un outil d’IA pour avocats afin de générer des résumés de dossiers, la question se pose à nouveau : ce résumé transite-t-il sur des serveurs tiers ? Une analyse préalable s’impose avant tout déploiement. Consultez notre guide sur la cybersécurité du cabinet pour aller plus loin.
—
À retenir et pièges fréquents
Piège 1 : confondre sensibilité morale et qualification juridique
Des données peuvent être personnellement délicates (difficultés financières, conflit familial) sans appartenir aux neuf catégories de l’article 9. L’inverse est aussi vrai : une simple mention d’une conviction religieuse dans un e-mail est juridiquement une donnée sensible, même si elle semble anodine dans le contexte.
Piège 2 : croire que le secret professionnel suffit
Le secret professionnel de l’avocat (article 66-5 de la loi du 31 décembre 1971) est une obligation déontologique puissante. Il ne se substitue pas au RGPD : les deux coexistent et se renforcent mutuellement. Votre obligation de confidentialité protège vos clients ; votre conformité RGPD encadre la façon dont vous collectez, stockez et supprimez leurs données.
Piège 3 : traiter une donnée sensible sans base légale explicite
Consentement, défense en justice, obligation légale… chaque traitement de donnée sensible doit s’appuyer sur l’une des exceptions de l’article 9.2. « J’en ai besoin pour le dossier » n’est pas une base légale en soi. Documentez.
Piège 4 : oublier les données sensibles dans les e-mails et pièces jointes
Le chiffrement du logiciel métier ne sert à rien si vous envoyez des comptes rendus médicaux par e-mail non chiffré. Le périmètre de sécurité inclut tous les vecteurs de communication — e-mails, messageries, transferts de fichiers. Consultez notre page sur la sauvegarde des données et la gestion des mots de passe au cabinet.
Piège 5 : ne jamais mettre à jour le registre des traitements
Le registre n’est pas un document à rédiger une fois. Dès qu’un nouveau logiciel est adopté, qu’une nouvelle pratique s’installe ou qu’un collaborateur arrive, une mise à jour s’impose. Consultez la page RGPD au cabinet pour une vue d’ensemble sur la mise en conformité.
—
Termes liés
Pour approfondir les sujets connexes abordés dans cet article :
- RGPD au cabinet — la conformité globale, le registre des traitements, les droits des personnes
- Cybersécurité du cabinet — chiffrement, gestion des accès, politique de sécurité
- Sauvegarde des données — plan de continuité et protection contre la perte de données
- Logiciel de gestion de cabinet — critères de choix, dont la conformité RGPD du prestataire
- IA pour avocats — enjeux spécifiques liés aux données traitées par les LLM (grands modèles de langue)
- Cyber-assurance — couverture en cas de violation de données
—
FAQ
Les données de santé figurant dans un dossier de divorce sont-elles toujours des données sensibles ?
Oui. Dès lors qu’une information se rapporte à l’état de santé physique ou mentale d’une personne identifiable, elle relève de l’article 9 du RGPD — quel que soit le contexte juridique dans lequel elle est produite. La base légale la plus fréquemment invoquée dans ce cas est la nécessité pour la constatation ou la défense d’un droit en justice.
Mon cabinet n’a pas de DPO : est-ce une infraction ?
La désignation d’un DPO (délégué à la protection des données) est obligatoire dans certains cas précis — notamment pour les organismes traitant à grande échelle des données sensibles. La plupart des cabinets d’avocats ne remplissent pas ce seuil. En revanche, l’obligation d’avoir un registre des traitements et de documenter vos bases légales s’applique indépendamment. En cas de doute sur votre situation, consultez les recommandations de la CNIL ou un conseil spécialisé.
Un logiciel SaaS hébergé en Europe suffit-il à garantir la conformité ?
L’hébergement en Europe est un critère nécessaire mais non suffisant. Il faut en plus vérifier que la convention de sous-traitance (DPA) est bien conclue, que les sous-traitants ultérieurs de l’éditeur respectent les mêmes garanties, et que les mesures de sécurité techniques sont adaptées à la nature des données traitées.
La mention d’une maladie dans un mail échangé avec un client constitue-t-elle un traitement de données sensibles ?
Oui, dès lors que ce mail est conservé (dans votre messagerie, votre logiciel métier ou une archive), vous effectuez un traitement de données de santé. La conservation minimale et le chiffrement de la messagerie sont donc des mesures à envisager.
Puis-je utiliser un outil d’IA grand public pour analyser des dossiers contenant des données sensibles ?
C’est une zone de risque élevé. Les outils grand public envoient généralement les données vers des serveurs dont les garanties RGPD ne sont pas adaptées à un usage professionnel avec des données sensibles. Des outils spécifiquement conçus pour la profession juridique, avec DPA et hébergement européen, existent. Consultez notre guide des outils IA pour avocats.
Le consentement du client suffit-il comme base légale pour traiter ses données sensibles ?
Le consentement est l’une des bases légales valides selon l’article 9.2.a du RGPD, mais il doit être explicite, libre, éclairé et révocable. Dans une relation avocat-client, la question de la liberté du consentement mérite attention : le client peut se sentir contraint d’accepter pour obtenir votre aide. La base « nécessité pour la défense en justice » est souvent plus robuste et plus adaptée à la pratique.
—
Ce qu’il faut retenir
La ligne de partage entre donnée personnelle et donnée sensible détermine concrètement le niveau de protection que vous devez mettre en place dans votre cabinet — du choix du logiciel à la rédaction de vos conventions avec vos prestataires, en passant par la formation de vos collaborateurs.
La bonne démarche n’est pas de tout traiter comme sensible par excès de précaution, ni de minimiser ces distinctions pour simplifier l’organisation. C’est d’identifier précisément quelles catégories de données vous traitez, de documenter la base légale correspondante et de choisir des outils capables de répondre à ces exigences.
Si vous n’avez pas encore cartographié les données de votre cabinet, le moment est bien choisi. Avocat.com propose un diagnostic gratuit en quatre questions — environ deux minutes — qui oriente vers les solutions adaptées au profil de votre cabinet : accéder au diagnostic. Pour la conformité globale, notre page dédiée au RGPD au cabinet constitue un point de départ structuré.
—
Avocat.com est un guide indépendant de solutions professionnelles pour avocats et cabinets. Nous ne fournissons pas de conseil juridique. Certains liens peuvent être des liens partenaires, toujours signalés comme tels.