RGPD au cabinet d'avocat : la checklist de conformité 2026

Un cabinet d'avocat traite, par nature, des données particulièrement sensibles : coordonnées et pièces d'identité des clients, éléments patrimoniaux, données de santé dans un dossier de préjudice corporel, antécédents dans une affaire pénale. Le RGPD s'applique pleinement à cette activité, et il s'articule avec une obligation qui, elle, vous est propre : le secret professionnel. La bonne nouvelle, c'est que la conformité n'est pas un chantier réservé aux grandes structures. Elle tient dans une poignée de documents et de bons réflexes, que cet article détaille sous forme de checklist directement exploitable.

En une phrase : être conforme, pour un cabinet, c'est pouvoir démontrer à tout moment que vous savez quelles données vous détenez, pourquoi, où elles sont hébergées, qui y accède, combien de temps vous les conservez, et comment vous réagiriez en cas d'incident. Le RGPD parle « d'accountability » : la charge de la preuve pèse sur vous.

Cet article a une vocation informative et pédagogique. Il ne constitue pas un conseil juridique individualisé : chaque cabinet doit apprécier sa propre situation, au besoin avec l'appui d'un confrère spécialisé ou de son délégué à la protection des données.

Pourquoi le sujet revient en force en 2026

Deux mouvements se rejoignent. D'un côté, la CNIL a fait de la sous-traitance, de la sécurité et de la durée de conservation des axes de contrôle réguliers, y compris pour les professions du droit et du chiffre. De l'autre, la généralisation des outils numériques au cabinet — messagerie, cloud, portails client, et désormais assistants fondés sur l'intelligence artificielle — multiplie les traitements et les flux de données. Chaque nouvel outil est un traitement à documenter et, le plus souvent, un sous-traitant à encadrer.

Le point de vigilance central reste l'articulation avec le secret professionnel. Le RGPD ne vous dispense d'aucune de vos obligations déontologiques ; il s'y ajoute. Le Règlement Intérieur National (RIN) impose déjà la confidentialité et la sécurité des correspondances et des dossiers : le RGPD en fait, en plus, une obligation dont vous devez pouvoir apporter la preuve.

La checklist de conformité 2026

À imprimer et à cocher. Chaque case renvoie à une action concrète, détaillée dans les sections suivantes.

• [ ] Registre des traitements tenu à jour, listant chaque finalité (gestion des dossiers, comptabilité, prospection, recrutement, site web…).
• [ ] Base légale identifiée pour chaque traitement (exécution du mandat, obligation légale, intérêt légitime, consentement).
• [ ] Mentions d'information remises aux clients et présentes sur le site du cabinet.
• [ ] Procédure de réponse aux droits des personnes (accès, rectification, effacement, opposition) avec un délai maîtrisé d'un mois.
• [ ] Contrats de sous-traitance article 28 signés avec chaque prestataire qui accède aux données (hébergeur, éditeur logiciel, expert-comptable, plateforme d'e-mailing).
• [ ] Mesures de sécurité en place : mots de passe robustes, chiffrement, sauvegardes, gestion des accès, verrouillage des postes.
• [ ] Hébergement des données maîtrisé et documenté, avec une attention particulière à la localisation et au cadre juridique applicable.
• [ ] Procédure de gestion des violations de données, avec le réflexe de notification à la CNIL sous 72 heures.
• [ ] Portail client sécurisé pour les échanges de pièces, en remplacement des pièces jointes non chiffrées.
• [ ] Durées de conservation définies par catégorie de données, avec archivage puis suppression.
• [ ] Sensibilisation des collaborateurs et du personnel aux bons réflexes.
• [ ] Désignation d'un DPO appréciée (obligatoire dans certains cas, recommandée sinon).

1. Le registre des traitements

C'est la pierre angulaire. Le registre recense l'ensemble des traitements que le cabinet met en œuvre. Pour chacun, vous notez la finalité, les catégories de données et de personnes concernées, les destinataires, les durées de conservation et les mesures de sécurité.

Un cabinet type traite au minimum : la gestion des dossiers clients, la facturation et la comptabilité, la gestion des ressources humaines s'il emploie des collaborateurs, la prospection commerciale, et le fonctionnement de son site internet. Chacune de ces activités mérite une ligne. Le registre n'a pas besoin d'être un logiciel sophistiqué : un tableau tenu sérieusement suffit, dès lors qu'il est complet et à jour.

2. Les bases légales

Chaque traitement doit reposer sur une base légale. Pour le cœur de votre activité — la gestion d'un dossier — la base est l'exécution du contrat qui vous lie à votre client (le mandat), complétée par vos obligations légales (conservation des archives, lutte contre le blanchiment). La comptabilité relève d'une obligation légale. La prospection auprès de prospects qui ne sont pas encore clients relève, selon les cas, de l'intérêt légitime ou du consentement. Ne mélangez pas les finalités : les données collectées pour gérer un dossier n'ont pas vocation à alimenter, sans base distincte, une campagne de communication.

3. Les mentions d'information

Vos clients et prospects doivent savoir quelles données vous collectez, pourquoi, combien de temps, et comment exercer leurs droits. Ces mentions figurent classiquement dans la lettre de mission, dans les conditions du site internet et dans le formulaire de contact. Elles doivent être claires, accessibles et rédigées dans un langage compréhensible.

4. Les droits des personnes

Toute personne peut vous demander l'accès à ses données, leur rectification, leur effacement, ou s'opposer à un traitement. Vous devez répondre dans un délai d'un mois. Anticipez : sachez retrouver rapidement l'ensemble des données relatives à une personne. Attention toutefois — le droit à l'effacement se heurte à vos obligations de conservation et au secret : vous n'êtes pas tenu d'effacer ce que la loi vous impose de garder, ni de transmettre des éléments couverts par le secret d'un autre dossier.

5. Les sous-traitants et les contrats article 28

C'est aujourd'hui l'un des premiers points regardés en contrôle. Dès qu'un prestataire traite des données pour votre compte — votre hébergeur, l'éditeur de votre logiciel de gestion, votre plateforme d'e-mailing, votre expert-comptable dans certains cas — l'article 28 du RGPD impose un contrat écrit encadrant précisément ce que le sous-traitant peut faire des données, ses obligations de sécurité et de confidentialité, le sort des données en fin de contrat, et le recours éventuel à des sous-traitants ultérieurs.

Pour un cabinet, la vérification est simple mais souvent négligée : listez tous vos outils numériques, et pour chacun demandez-vous « ce prestataire voit-il des données de mes clients ? ». Si oui, un contrat de sous-traitance doit exister. Un éditeur sérieux vous le fournit sans que vous ayez à le réclamer.

À ce titre, un logiciel de gestion de cabinet comme IAGOV Lex est fourni avec un contrat de sous-traitance au sens de l'article 28, précisant notamment le rôle des différents intervenants techniques et le fait que les fonctions d'intelligence artificielle reposent sur le moteur Mistral, éditeur européen, et non sur un prestataire soumis à une législation extraterritoriale.

6. La sécurité et le chiffrement

La sécurité est une obligation de moyens, proportionnée aux risques. Les mesures de base attendues d'un cabinet : des mots de passe robustes et individuels, idéalement complétés d'une double authentification ; le chiffrement des données sensibles et des supports mobiles (ordinateurs portables, disques externes) ; des sauvegardes régulières et testées ; une gestion des droits d'accès pour que chaque collaborateur n'accède qu'aux dossiers qui le concernent ; le verrouillage automatique des sessions ; et une mise à jour régulière des logiciels. Ces mesures servent tout autant votre conformité RGPD que la protection du secret professionnel.

7. L'hébergement des données

Où vivent, physiquement, les données de vos clients ? La question n'est pas anecdotique. Un hébergement aux États-Unis, ou chez un prestataire soumis au droit américain, expose théoriquement les données à des demandes d'accès dans le cadre du Cloud Act, quelle que soit la localisation des serveurs. Pour un cabinet tenu au secret, c'est un point sensible.

C'est pourquoi IAGOV Lex héberge les données en Suisse, chez un prestataire européen indépendant. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne — les transferts y sont donc autorisés dans le cadre du RGPD — et son droit de la protection des données offre un cadre robuste, hors de portée de la législation extraterritoriale américaine. Quel que soit votre choix, documentez la localisation de vos données et le cadre juridique applicable : c'est un élément de votre conformité, et un argument de confiance vis-à-vis de vos clients.

8. Les violations de données

Une clé USB perdue, une boîte mail compromise, un envoi de pièces au mauvais destinataire : ce sont des violations de données. Le réflexe à ancrer : en cas de violation susceptible d'engendrer un risque pour les personnes, vous devez la notifier à la CNIL dans les 72 heures, et informer les personnes concernées si le risque est élevé. Préparez à froid une petite procédure — qui alerter, comment consigner l'incident, quand notifier — pour ne pas improviser dans l'urgence. Tenez un registre interne des violations, même de celles qui ne sont pas notifiées.

9. Le portail client

L'envoi de pièces de procédure et de documents confidentiels par courriel ordinaire reste une pratique courante et, pourtant, l'un des points faibles les plus fréquents. Un portail client sécurisé permet à votre client de déposer et de récupérer ses documents dans un espace chiffré et authentifié, sans transiter par des pièces jointes non protégées. C'est un gain simultané pour la sécurité, pour la conformité et pour l'image du cabinet. IAGOV Lex intègre un tel portail, avec des accès individualisés par client.

10. Les durées de conservation

On ne conserve pas les données indéfiniment. Définissez, par catégorie, une durée en base active (le temps du dossier), puis une durée d'archivage intermédiaire justifiée notamment par les délais de prescription et vos obligations légales, avant suppression. Les données comptables ont leurs propres durées légales. L'idée directrice : chaque donnée a une date de péremption, et vous devez pouvoir la justifier.

FAQ

Un avocat exerçant seul est-il concerné par le RGPD ? Oui, sans exception. La taille du cabinet ne change rien au principe ; elle influe seulement sur la proportionnalité des mesures. Un avocat individuel doit tenir un registre, sécuriser ses données et encadrer ses sous-traitants comme une grande structure, à une échelle adaptée.

Faut-il désigner un délégué à la protection des données (DPO) ? La désignation est obligatoire dans certains cas, notamment lorsque l'activité conduit à un suivi régulier et à grande échelle, ou au traitement à grande échelle de données sensibles. Beaucoup de petits cabinets n'y sont pas légalement tenus, mais la désignation — interne ou mutualisée — reste un bon moyen de structurer sa conformité et de disposer d'un interlocuteur identifié.

Le RGPD prime-t-il sur le secret professionnel ? Non, les deux se cumulent. Le secret professionnel peut même justifier de refuser certaines demandes (par exemple l'accès d'un tiers à des éléments couverts par le secret d'un autre dossier). Vos obligations déontologiques restent pleinement applicables.

Une IA au cabinet est-elle compatible avec le RGPD et le secret ? Elle peut l'être, à condition de savoir où sont traitées les données, sur quel moteur, sous quel contrat de sous-traitance, et avec quelles garanties de non-réutilisation. Le choix de l'éditeur du modèle et de la localisation du traitement est ici déterminant.

Conclusion

La conformité RGPD d'un cabinet ne se joue pas dans un audit spectaculaire, mais dans une série de réflexes documentés : savoir ce que l'on traite, l'encadrer, le sécuriser, et pouvoir le prouver. La checklist ci-dessus vous donne une trame ; il vous revient de l'adapter à la réalité de votre pratique.

Si vous souhaitez qu'une partie de ces exigences soit portée par votre outil de travail plutôt que gérée à la main — registre facilité, contrats de sous-traitance fournis, portail client sécurisé, hébergement des données en Suisse et IA reposant sur un éditeur européen — c'est précisément l'approche retenue par IAGOV Lex. Nous serons heureux d'en discuter et de vous montrer comment ces briques s'articulent, sans engagement.

IAGOV Lex accompagne les avocats qui s'installent : gestion de dossiers, courriers, échéances, facturation et IA intégrée, de 9 à 69 €/mois, hébergement souverain. Essai gratuit de 90 jours, sans carte bancaire, sur iagov.fr.