Un cabinet d'avocats ou une étude notariale traite des données personnelles qui ne concernent pas seulement ses clients : elles concernent aussi les parties adverses, les salariés d'une entreprise cible, les héritiers, les témoins. Ces personnes n'ont jamais choisi votre cabinet, et le secret professionnel ne les fait pas disparaître du champ du RGPD. C'est la particularité du secteur : deux régimes de confidentialité se superposent sans se recouvrir, et l'authentification est le point où ils se rencontrent concrètement.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. L'articulation entre secret professionnel, déontologie et protection des données doit être arbitrée avec votre ordre professionnel et vos conseils.
Secret professionnel et RGPD : deux logiques, deux exigences
Le secret professionnel protège la relation : ce que le client confie ne sort pas. Le RGPD protège les personnes dont les données sont traitées, y compris celles qui ne sont pas vos clients. Un cabinet peut être irréprochable sur le premier et démuni sur le second.
| Question posée | Réponse par le secret professionnel | Ce que le RGPD ajoute |
|---|---|---|
| Qui peut consulter un dossier ? | Les personnes tenues au secret | La consultation doit être justifiée par le dossier traité, pas par l'appartenance au cabinet |
| Combien de temps garde-t-on ? | Le dossier se conserve durablement | La durée doit être déterminée, justifiée et appliquée, y compris aux copies |
| Que faire d'une fuite ? | Un devoir de loyauté envers le client | Une obligation de qualification et, selon l'analyse du risque, de notification |
| Le secrétariat externalisé ? | Il est tenu au secret par extension | Il est un sous-traitant, à encadrer contractuellement et à tracer |
| Une partie adverse demande ses données ? | Le secret peut faire obstacle | La demande doit être instruite, pas ignorée, et l'identité du demandeur vérifiée |
L'implication technique de la ligne de droite est constante : il faut pouvoir rattacher un accès à une personne et à un dossier. Un compte partagé « cabinet » rend cette démonstration impossible.
Ce qui se passe réellement dans un cabinet
L'accès transversal aux dossiers
Dans beaucoup de structures, tout collaborateur voit tous les dossiers. Le raisonnement est opérationnel : les équipes bougent, on se dépanne, la charge se répartit. Le raisonnement est compréhensible, mais il rend indéfendable l'affirmation selon laquelle les accès sont limités à ce qui est nécessaire. Le cloisonnement par dossier, même souple, avec ouverture explicite et tracée en cas de renfort, est plus tenable qu'un accès général assorti d'une charte.
La mobilité et les tiers lieux
Une plaidoirie se prépare dans un train, une audience se suit depuis un tribunal, une signature se fait chez un client. Le poste de travail sort en permanence du périmètre du cabinet. Deux conséquences pratiques : la méthode d'authentification doit fonctionner sans supposer un réseau fiable, et la session ouverte sur un poste en déplacement ne doit pas suffire à accéder aux pièces les plus sensibles sans une nouvelle vérification.
La conservation longue
Les dossiers vivent longtemps, parfois bien après la fin de la relation. Le risque n'est pas l'archive elle-même : c'est l'accès à l'archive, souvent géré par un outil ancien, avec des comptes créés il y a des années et jamais revus. Un inventaire des accès aux fonds anciens est généralement le livrable le plus révélateur d'un audit.
Les rotations rapides
Stagiaires, élèves avocats, collaborateurs de passage, remplaçants : le secteur connaît un flux important de personnes disposant d'accès étendus pendant des périodes courtes. Sans fermeture automatique liée à la fin de mission, les droits s'accumulent. Le sujet rejoint celui du bourrage d'identifiants dans le secteur juridique, qui exploite précisément les comptes oubliés.
Le secrétariat et les services externalisés
Transcription, gestion documentaire, recouvrement, infogérance : chaque prestataire est un maillon de la chaîne de sous-traitance. La question à poser n'est pas « sont-ils sérieux ? » mais « quels accès ont-ils réellement, sous quelle identité, et que peut-on reconstituer après coup ? ».
Ce que l'authentification doit permettre de démontrer
Trois capacités déterminent la solidité du dispositif, indépendamment de la technologie retenue.
- Attribuer. Chaque accès à une pièce sensible est rattaché à une personne physique identifiée, jamais à une fonction ou à un poste.
- Justifier. L'accès s'explique par le dossier traité. Un accès hors dossier doit être possible mais visible, comme une exception assumée.
- Reconstituer. Six mois après, le cabinet peut décrire ce qui s'est passé sur un dossier contesté. C'est ce qui permet de qualifier une violation rapidement plutôt que de la découvrir par le client.
Sur ce troisième point, la distinction entre ouvrir une session et valider une action sensible devient décisive : télécharger l'intégralité d'un fonds documentaire n'est pas le même acte que consulter une pièce, et ne devrait pas se prouver de la même manière.
Une approche passwordless et IDless présente ici un intérêt direct : sans identifiant diffusé ni secret réutilisable, les compromissions par identifiants dérobés — l'un des tout premiers vecteurs d'intrusion selon le Verizon DBIR — perdent leur point d'appui. HIAsecure repose sur ce principe, avec une architecture décentralisée qui ne conserve aucune donnée identifiante.
Feuille de route pour un cabinet
- Listez les personnes ayant accès à l'ensemble des dossiers. Le chiffre surprend presque toujours les associés.
- Fermez les accès des personnes parties en repartant des mouvements de l'année écoulée.
- Traitez les fonds archivés comme un périmètre à part entière, avec ses propres accès.
- Contractualisez les accès des prestataires, y compris le secrétariat et l'infogérance.
- Définissez une procédure de qualification de violation utilisable par une structure sans équipe sécurité dédiée.
- Élevez l'exigence sur les actions sensibles — export massif, transmission externe, signature — plutôt que d'alourdir la connexion quotidienne.
FAQ
Le secret professionnel dispense-t-il des obligations de protection des données ?
Non. Les deux régimes coexistent et poursuivent des objectifs différents : l'un protège la relation de confiance, l'autre protège les personnes concernées par les données traitées, y compris des tiers au dossier. Un cabinet doit pouvoir répondre sur les deux plans.
Un petit cabinet doit-il vraiment tracer les accès aux dossiers ?
La taille ne change pas la nature de l'obligation, elle change les moyens raisonnables. Un cabinet de petite taille peut viser une traçabilité simple mais réelle sur les actions sensibles, plutôt qu'une journalisation exhaustive qu'il ne saurait ni exploiter ni conserver correctement.
Comment gérer une demande de droit d'accès émanant d'une partie adverse ?
Elle doit être instruite, et l'identité du demandeur vérifiée avec soin avant toute communication. Les limites tirées du secret professionnel et de la procédure s'apprécient ensuite, avec vos conseils : l'erreur à éviter est de traiter la demande comme inexistante.
Faut-il authentifier différemment les accès aux salles de données ?
Ces environnements concentrent des données très sensibles sur des tiers et impliquent souvent des intervenants externes. Une exigence renforcée à l'entrée et une traçabilité par pièce y sont plus justifiées que sur la messagerie courante du cabinet.
Aller plus loin : le pilier : authentification cognitive · le RGPD et l'authentification, lecture générale · ISO 27001 dans le secteur juridique · l'hameçonnage ciblé dans les cabinets