Guide sectoriel

RGPD pour cabinets d'avocats : guide complet et audit gratuit 2026

Les cabinets d'avocats manipulent des données particulièrement sensibles (Art. 9 et 10 RGPD : opinions, santé, infractions, données de procédure) tout en étant soumis au secret professionnel absolu prévu à l'article 66-5 de la loi de 1971. Cette articulation crée un régime spécifique : le RGPD ne supprime pas le secret professionnel, il s'y ajoute. Le Conseil National des Barreaux a publié en 2019 et mis à jour en 2023 un guide RGPD détaillé pour la profession. Les obligations principales : registre des traitements (obligatoire dès un dossier), DPO recommandé pour cabinets de plus de 5 collaborateurs, sécurisation des échanges (e-Barreau/RPVA, messagerie chiffrée), conservation strictement limitée aux durées de prescription, registre des sous-traitants (legaltech, hébergeur, archivage). La CNIL contrôle particulièrement les cabinets de droit pénal et de droit social. Les SaaS legaltech (Lexis, Predictice, Doctrine) imposent une vigilance renforcée car ils combinent IA et données de procédure.

5 obligations RGPD spécifiques aux cabinets d'avocats

Ces points sont systématiquement vérifiés lors d'un contrôle CNIL dans votre secteur.

1

Tenir un registre des traitements obligatoire dès le premier dossier

Le registre doit lister chaque type de traitement (gestion clients, RH, facturation, dossiers contentieux) avec sa finalité, sa base légale (intérêt légitime ou obligation légale), les destinataires et la durée de conservation. Modèle CNB disponible.

2

Sécuriser les échanges avec clients et confrères par chiffrement

RPVA pour les communications avec juridictions et confrères. Messagerie chiffrée (ProtonMail Business, Tutanota) pour les échanges sensibles avec clients. Interdiction d'envoyer pièces de procédure via Gmail/Outlook personnel.

3

Respecter les durées de conservation alignées sur la prescription

Dossiers civils : 5 ans après clôture (prescription droit commun). Dossiers pénaux : selon prescription de l'action publique. Comptabilité : 10 ans. Au-delà : archivage hors ligne ou suppression.

4

Encadrer l'usage des outils IA et legaltech

Lexis+, Predictice, Doctrine et autres legaltech IA sont des sous-traitants. DPA signés obligatoires, vérification de la non-réutilisation des données client pour entraînement, transparence avec le client si analyse IA de son dossier.

5

Notifier les violations à la CNIL et au client en 72h

Perte d'un dossier, vol d'ordinateur portable non chiffré, fuite par e-mail mal adressé : breach RGPD ET violation du secret professionnel. Double notification CNIL + Bâtonnier + client victime.

Amendes CNIL réelles dans le secteur

Cas documentés. Sources officielles disponibles sur cnil.fr.

2023
Mise en demeure
Cabinet d'avocats parisien (mise en demeure publique)

Stockage de dossiers clients sur Google Drive personnel sans chiffrement ni mesures de sécurité.

CNIL délibération MED-2023-027
2023
1,5 M€
Hospices Civils de Lyon

Manquement à la sécurité de données de santé (proche jurisprudence cabinets droit médical).

CNIL délibération SAN-2023-016
2022
20 000 €
Cabinet d'huissiers (analogie sectorielle)

Conservation indue de dossiers clos, absence de procédure de suppression automatique.

CNIL délibération SAN-2022-011

Comment vérifier votre conformité RGPD en tant que avocats

RGPDScan audite automatiquement votre site contre les 30+ points de contrôle CNIL. Rapport détaillé en 60 secondes, avec recommandations spécifiques à votre secteur.

  • Détection cookies et trackers
  • Analyse dark patterns IA
  • Transferts hors UE détectés
  • Risques d'amende chiffrés

Questions fréquentes

Mon obligation de secret professionnel me dispense-t-elle du RGPD ?
Non. Le secret professionnel et le RGPD se cumulent. Le RGPD impose la sécurisation et la documentation ; le secret professionnel impose la confidentialité absolue. Les deux régimes coexistent.
Dois-je nommer un DPO en tant qu'avocat indépendant ?
Recommandé dès 3 collaborateurs, obligatoire dès traitement à grande échelle de données pénales (cabinet pénal). DPO mutualisé via Ordre ou externalisé : 200-500 €/mois.
Puis-je utiliser un cloud américain (Dropbox, Google Drive) pour mes dossiers ?
Fortement déconseillé. Risque de violation du secret professionnel + transfert RGPD problématique. Préférer un cloud souverain (OVH, Scaleway) ou cabinet (NextCloud auto-hébergé).
Combien de temps conserver les dossiers de mes anciens clients ?
5 ans après clôture pour responsabilité civile professionnelle (prescription). Comptabilité : 10 ans. Au-delà : archivage hors ligne ou destruction documentée.
Mon site internet d'avocat doit-il avoir une bannière cookies ?
Oui dès qu'il utilise Google Analytics, Calendly, ou tout tracker tiers. Sans cookies analytiques : mention dans politique de confidentialité suffit.
Que faire si je perds un dossier (vol ordinateur, fuite mail) ?
Notifier la CNIL sous 72h (téléservice) + le Bâtonnier + le client concerné. Documenter dans le registre des violations. Mesures correctives immédiates (chiffrement disques, formation).
Les SaaS legaltech IA (Doctrine, Predictice) sont-ils RGPD ?
Conformes par défaut sur le marché français mais nécessitent : signature DPA, vérification non-réutilisation pour entraînement, information client si analyse IA de son dossier sensible.
Le RGPD s'applique-t-il à mes données RH internes (collaborateurs) ?
Oui pleinement. Contrats, paies, évaluations, formation : registre des traitements obligatoire, information des salariés, sécurité renforcée, durées légales (5 ans pour bulletins paie).

Auditez votre site en 60 secondes

Scan RGPD gratuit. Aucune carte bancaire.