Secret professionnel de l'avocat & outils numériques : cloud, IA, messagerie, sous-traitance.

Le secret professionnel n'est pas un principe abstrait : c'est le fondement du contrat de confiance entre l'avocat et son client. Ce que le client confie au cabinet — un dossier de divorce, une situation fiscale sensible, une stratégie de contentieux, une opération de M&A — reste dans le cabinet. En 2026, la difficulté n'est plus tant conceptuelle que pratique : entre le cloud, les IA génératives, les prestataires IT et les messageries qui circulent sur plusieurs continents, où passe la ligne ?

Cet article n'a pas vocation à trancher toutes les zones grises — la jurisprudence est encore en construction et les positions des Ordres évoluent — mais à donner à un cabinet des repères clairs sur ce qui est établi, ce qui est débattu et ce qui relève des bonnes pratiques observées. Nous nous appuyons sur les textes en vigueur, les recommandations du CNB et de la CNIL, et l'expérience partagée par les cabinets pilotes avec lesquels nous concevons Kler.

Ce que le secret professionnel de l'avocat recouvre vraiment

Trois textes structurent le régime français :

• L'article 66-5 de la loi n° 71-1130 du 31 décembre 1971 pose le principe : « En toutes matières, que ce soit dans le domaine du conseil ou dans celui de la défense, les consultations adressées par un avocat à son client ou destinées à celui-ci, les correspondances échangées entre le client et son avocat, entre l'avocat et ses confrères à l'exception pour ces dernières de celles portant la mention "officielle", les notes d'entretien et, plus généralement, toutes les pièces du dossier sont couvertes par le secret professionnel. »
• L'article 226-13 du Code pénal sanctionne la violation par toute personne dépositaire d'un secret « par état, profession ou fonction » — jusqu'à un an d'emprisonnement et 15 000 € d'amende.
• L'article 4 du Règlement Intérieur National (RIN, CNB) rappelle la nature du secret et son opposabilité générale.

Trois caractères sont retenus par la doctrine dominante et rappelés par les Ordres : le secret est général (il couvre tout — pièces, notes, échanges, honoraires même), absolu (l'avocat ne peut pas y déroger, même avec l'accord du client) et illimité dans le temps (il perdure après la fin du mandat, même après le décès du client).

La confidentialité entre avocats : un régime distinct

À côté du secret professionnel opposable aux tiers, l'article 3.1 du RIN pose un principe de confidentialité entre confrères : les correspondances échangées entre avocats sont confidentielles par défaut, sauf mention « officielle » qui les rend produisibles. Ce régime ne se confond pas avec le secret. En pratique, il conditionne la manière dont les avocats s'écrivent — et impose une vigilance particulière sur les outils utilisés (envoi accidentel à un tiers, transfert vers une messagerie personnelle, capture d'écran…).

Ce que la loi du 22 décembre 2021 a changé

La loi n° 2021-1729 du 22 décembre 2021 pour la confiance dans l'institution judiciaire a explicitement consacré, dans le Code de procédure pénale et dans la loi de 1971, le secret professionnel de l'avocat pour son activité de conseil, et pas seulement pour la défense. Elle a également renforcé le régime des perquisitions et des saisies dans un cabinet d'avocats (informations pratiques auprès du bâtonnier concerné). Cela signifie que les échanges de conseil hors contentieux — audit, structuration d'opération, note préparatoire — sont pleinement couverts, sous réserve des exceptions expresses prévues par le législateur.

Pourquoi les outils numériques bousculent le secret

Le secret professionnel a été pensé dans un monde de dossiers papier et d'armoires fermées à clé. Les outils numériques introduisent des acteurs et des flux qui n'existaient pas :

• Des intermédiaires techniques — hébergeur, éditeur de logiciel, prestataire de messagerie, fournisseur d'antivirus — qui hébergent, transportent ou analysent les données du dossier sans jamais être partie au mandat.
• Des flux transfrontaliers — un serveur peut être en Irlande, sauvegardé aux États-Unis, administré depuis l'Inde. Chaque juridiction traversée introduit un risque d'accès légitime par une autorité tierce (CLOUD Act américain, par exemple).
• De nouveaux vecteurs de fuite — un mot de passe faible, une clé USB perdue, un email envoyé au mauvais destinataire, un LLM à qui l'on colle par réflexe un extrait de conclusions.
• Une pression réglementaire concurrente — le RGPD impose ses propres logiques (transparence, information des personnes, notification des violations) qui peuvent croiser, sans s'y superposer, celles du secret.

Le principe n'a pas changé : le secret reste absolu. Mais les moyens de le préserver ont changé de nature. Ce n'est plus « fermer l'armoire à clé », c'est « choisir des prestataires tenus au secret, chiffrer, cloisonner, tracer, contractualiser ».

Le cloud : où vivent les données du cabinet et qui peut y accéder ?

Le recours au cloud, en soi, n'est pas incompatible avec le secret. Ce qui compte, c'est où sont hébergées les données, dans quel cadre juridique, avec quelles garanties contractuelles et quelles protections techniques.

Localisation et cadre juridique

En droit européen, le RGPD interdit en principe le transfert de données personnelles hors UE sans base juridique appropriée (décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes). La décision d'adéquation UE — États-Unis adoptée en juillet 2023 (Data Privacy Framework) rétablit un cadre pour les transferts vers des entreprises américaines certifiées, mais reste juridiquement fragile — une éventuelle décision « Schrems III » de la CJUE n'est pas exclue. Le CLOUD Act américain permet par ailleurs aux autorités américaines de requérir des données détenues par un opérateur soumis au droit américain, y compris s'il les stocke en Europe.

Pour un cabinet d'avocats, la position pragmatique observée chez les Ordres et les DPO consiste à privilégier :

• Un hébergement dans l'Union européenne, de préférence en France, avec des certifications reconnues (ISO 27001, HDS pour les données de santé).
• Un éditeur ou hébergeur soumis au droit européen, ou à défaut, un opérateur ayant mis en place une gouvernance qui réduit substantiellement l'exposition au risque extraterritorial (chiffrement contrôlé par le client, cloisonnement, contrat de sous-traitance strict).
• Une garantie contractuelle de non-transfert hors UE sans autorisation préalable, matérialisée par un DPA.

Le contrat de sous-traitance (DPA)

L'article 28 du RGPD impose que tout recours à un sous-traitant soit encadré par un contrat écrit ou tout autre acte juridique. Ce contrat doit préciser l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes, ainsi que les obligations et droits du responsable. Pour un cabinet, un bon DPA doit également prévoir :

• Une clause de confidentialité renforcée visant explicitement le secret professionnel de l'avocat et l'article 226-13 du Code pénal.
• La liste des sous-traitants ultérieurs autorisés, avec obligation d'information avant tout changement.
• Les mesures techniques et organisationnelles mises en place (chiffrement, authentification, journalisation, tests de restauration).
• Le régime des accès administrateurs et l'obligation de journaliser toute intervention sur des données du client.
• La procédure de notification en cas de violation (délai, contenu, canal).
• Les modalités de restitution ou de destruction des données en fin de contrat.

Un DPA générique de trois pages, signé sans être lu, ne suffit pas quand on manipule des données couvertes par le secret. C'est probablement l'un des documents qu'un cabinet gagne à faire relire par un confrère spécialisé au moment de choisir un logiciel métier.

Le chiffrement, ligne de démarcation

Le chiffrement au repos (les données stockées ne sont lisibles qu'avec la clé) et en transit (les échanges entre le poste et le serveur sont chiffrés — TLS) sont aujourd'hui le minimum. Deux niveaux supplémentaires sont utiles selon les cas :

• Le chiffrement bout-en-bout pour les échanges les plus sensibles : personne, pas même le prestataire, ne peut lire le contenu. Adapté aux messageries entre confrères sur dossier stratégique.
• Le chiffrement contrôlé par le client (BYOK / HYOK) pour les cabinets à très haut niveau d'exigence : la clé de chiffrement est détenue par le cabinet, l'hébergeur ne peut pas déchiffrer les données seul. Peu répandu dans les offres SaaS métier, mais existe.

Emails et messageries : le maillon faible

L'email reste le canal dominant en cabinet. Il présente pourtant plusieurs faiblesses structurelles pour le secret :

• Il n'est pas chiffré de bout en bout par défaut. Chaque serveur intermédiaire peut techniquement le lire, même si les grands fournisseurs chiffrent le stockage.
• Il se prête à l'erreur d'adresse — envoi accidentel à un homonyme, à un CC involontaire, à une adresse personnelle mal renseignée.
• Il traverse plusieurs juridictions, souvent sans contrôle du cabinet.
• Il stocke durablement — un email de 2018 reste souvent dans une boîte, indexé et cherchable.

Les pratiques observées chez les cabinets qui ont pris le sujet au sérieux :

• Utilisation d'une messagerie hébergée en UE (Microsoft 365 EU Data Boundary, Google Workspace avec résidence UE, ou une solution européenne comme ProtonMail Business, Infomaniak).
• Réservation d'un espace client sécurisé pour la transmission de pièces sensibles — le cabinet ne pousse pas les pièces en pièce jointe, il les met à disposition dans un espace où le client se connecte avec double authentification.
• Interdiction du transfert vers une messagerie personnelle, matérialisée par une charte informatique signée par tous les collaborateurs.
• Rappel de la mention « officielle » dans les échanges entre avocats — sans mention, la correspondance est confidentielle et non produisible.

Les messageries instantanées grand public (WhatsApp, Signal, Telegram) posent un cas particulier : elles sont souvent chiffrées de bout en bout, ce qui est un atout pour la confidentialité, mais elles sont hébergées hors UE, difficilement archivables et peu compatibles avec la traçabilité qu'un cabinet doit maintenir sur ses échanges dossier. Elles peuvent avoir leur place pour des messages ponctuels non substantiels, mais pas pour la conduite d'un dossier.

Les IA génératives : la nouvelle frontière

L'arrivée massive des IA génératives (ChatGPT, Claude, Gemini, Copilot) a créé un cas de figure inédit : une catégorie d'outils extraordinairement utiles au travail intellectuel, mais dont l'usage par défaut passe par la soumission de données à un tiers non tenu au secret. Voir notre panorama IA pour cabinets d'avocats pour les cas d'usage.

Ce que dit le cadre applicable

Aucun texte ne prohibe l'usage des IA par les avocats. Le principe reste le même que pour tout tiers : si l'on soumet à un système des informations couvertes par le secret, il faut que ce système soit lui-même tenu à la confidentialité et qu'il n'utilise pas ces données pour ses propres finalités (typiquement, l'entraînement de futurs modèles).

La CNIL a publié en 2024 des recommandations pratiques sur le développement et l'usage des systèmes d'IA. Le CNB et plusieurs barreaux (Paris notamment) ont diffusé des vade-mecum sur l'usage de l'IA par les avocats qui convergent sur une ligne prudente : pas de données identifiantes du dossier sur une IA grand public dont les CGU permettent l'usage des prompts pour l'entraînement.

Les trois voies pratiques

Trois approches coexistent en cabinet et peuvent se combiner selon les cas :

1. Offres professionnelles contractualisées — ChatGPT Team ou Enterprise, Claude for Work, Copilot for Microsoft 365 sur tenant EU, Mistral La Plateforme avec résidence UE. Ces offres contractualisent le non-entraînement, la confidentialité et souvent la résidence des données. Elles ont un coût, mais elles règlent la question juridique. Voir la position de la CNIL.
2. Pseudonymisation systématique — avant tout envoi à une IA, remplacement des noms, dates de naissance, adresses, numéros de dossier par des marqueurs génériques (« Client A », « Adversaire B », « Date X »). Efficace pour les tâches de reformulation, mais lourd sur des textes longs et fragile en cas d'oubli.
3. IA hébergée en local ou dans un environnement dédié — modèles open source déployés sur infrastructure privée, ou API dédiée avec instance isolée. Solution la plus protectrice mais aussi la plus coûteuse et technique.

Le choix dépend du volume, de la sensibilité des dossiers et de la sophistication IT du cabinet. Une charte interne écrite qui tranche « quel outil pour quel usage » évite les débats à répétition et les décisions individuelles hasardeuses.

Sous-traitance IT et prestataires : contractualiser le secret

La plupart des cabinets travaillent avec au moins un prestataire IT — infogéreur, éditeur de logiciel métier, prestataire de messagerie, hébergeur, sauvegarde en ligne, cabinet de sécurité. Chacun a, potentiellement, accès techniquement aux données du cabinet. Chacun doit être tenu au secret.

La bonne architecture contractuelle repose sur deux niveaux :

• Une clause de confidentialité et de secret professionnel dans le contrat principal, qui vise explicitement l'article 66-5 de la loi de 1971 et l'article 226-13 du Code pénal, et engage le prestataire à sensibiliser ses propres salariés.
• Un DPA conforme à l'article 28 du RGPD, qui traite les données personnelles avec ses propres exigences, et qui est indépendant du contrat commercial (annexe distincte, souvent modifiable).

Les points d'attention pratiques :

• La liste des sous-traitants ultérieurs. Un hébergeur travaille souvent avec un ou plusieurs sous-traitants (data center, sauvegarde, monitoring). Le contrat doit imposer une transparence sur cette chaîne et un droit d'objection.
• Les accès administrateurs. Le prestataire doit documenter qui, chez lui, peut accéder aux données et dans quelles conditions. La journalisation de ces accès doit être auditable.
• Les tests d'intrusion et audits. Le cabinet peut demander à connaître les résultats des audits externes (SOC 2, ISO 27001) et à en discuter les points ouverts.
• La sortie. À l'issue du contrat, quel est le délai de restitution des données ? Sous quel format ? Qu'advient-il des sauvegardes ? Voir aussi notre grille de choix logiciel.

Perquisitions, saisies et réquisitions : le régime protecteur

Le secret professionnel bénéficie d'un régime procédural protecteur en matière de perquisitions et de saisies. Sans entrer dans le détail — qui relève d'un article dédié — quelques points structurants pour les outils numériques :

• Toute perquisition dans un cabinet d'avocat, ou dans un domicile utilisé à titre professionnel, doit se dérouler en présence du bâtonnier ou de son délégué, sur autorisation motivée d'un juge, avec possibilité pour le bâtonnier de s'opposer à la saisie de certaines pièces.
• La loi du 22 décembre 2021 a renforcé ce régime en clarifiant que la protection couvre le conseil et pas seulement la défense.
• Les réquisitions numériques (auprès d'un opérateur télécom, d'un hébergeur, d'un fournisseur de messagerie) posent une question distincte : elles peuvent s'adresser à un tiers qui détient des données du cabinet, sans que le bâtonnier soit associé. La bonne pratique, côté cabinet, est de veiller à ce que les contrats avec les prestataires prévoient une notification en cas de réquisition — pour permettre au cabinet de se prévaloir, le cas échéant, du secret devant le juge.

Ce sujet doit être discuté avec le bâtonnier de son barreau — plusieurs Ordres tiennent à jour des fiches pratiques dédiées.

RGPD et secret professionnel : deux régimes qui se croisent

Une source récurrente de confusion : le RGPD ne remplace ni n'absorbe le secret professionnel. Les deux régimes coexistent, poursuivent des finalités partiellement différentes, et emportent des obligations qui peuvent se compléter comme se croiser.

En pratique, un même incident (fuite de dossier, exfiltration) peut engager simultanément les deux régimes : notification CNIL au titre du RGPD et information du bâtonnier au titre du secret et éventuelle information des clients au titre de l'article 34 du RGPD. Voir notre guide RGPD pour cabinets et le volet incidents de notre guide cybersécurité.

10 réflexes pour un cabinet numérique respectueux du secret

Aucune de ces mesures n'est spectaculaire. C'est leur combinaison, appliquée de manière disciplinée, qui protège le cabinet et le client au quotidien.

Le rôle du logiciel métier

Un bon logiciel de gestion de cabinet porte une part significative de ces réflexes par construction — c'est même l'un de ses principaux apports par rapport à un patchwork d'outils grand public. Chez Kler, nous avons fait les choix suivants :

• Hébergement AWS Paris, en France, sur infrastructure ISO 27001 et HDS. Les données ne quittent jamais le territoire européen.
• Chiffrement systématique en transit (TLS) et au repos.
• Authentification à double facteur disponible sans surcoût sur tous les comptes.
• Journalisation des accès aux dossiers, consultable par le cabinet.
• Cloisonnement strict par cabinet — techniquement, aucune donnée d'un cabinet n'est accessible depuis le compte d'un autre.
• DPA conforme à l'article 28 RGPD avec clause de confidentialité visant explicitement le secret professionnel de l'avocat.
• Réversibilité totale : à tout moment, export complet des données du cabinet sur simple demande, sans frais ni délai.
• Sous-traitants ultérieurs limités et transparents — la liste est disponible et un changement fait l'objet d'une information préalable.

Ces choix ne sont pas des « options » ou des tiers de plans payants : ce sont les fondations. Nous concevons Kler avec des cabinets pilotes pour que le respect du secret ne soit pas un effort quotidien, mais un état par défaut.

Ce qu'il faut retenir

Le secret professionnel de l'avocat n'a pas été affaibli par le numérique — il a été rendu plus exigeant. Là où l'armoire fermée à clé suffisait, il faut aujourd'hui contractualiser, chiffrer, cloisonner, tracer, arbitrer entre outils. La bonne nouvelle est que la plupart des mesures qui protègent le mieux sont désormais accessibles à un cabinet de toute taille — à condition de choisir des prestataires qui les portent par défaut plutôt que de bricoler soi-même.

Nous ne pouvons pas trancher toutes les zones grises — la jurisprudence numérique du secret professionnel est encore en construction. Ce que nous pouvons faire, en tant qu'éditeur, c'est réduire au maximum les arbitrages que le cabinet doit faire seul, en portant par défaut les briques les plus solides. Le reste — la charte, la formation, la vigilance de l'équipe, l'articulation avec le bâtonnier — reste et restera la responsabilité du cabinet.