Le cloud n'est plus une option pour un cabinet d'avocats : c'est le mode de fonctionnement par défaut de la quasi-totalité des logiciels de gestion, de messagerie et de stockage modernes. Mais « aller dans le cloud » recouvre des réalités très différentes selon le prestataire choisi, et toutes ne sont pas compatibles avec le secret professionnel. Voici les points de vigilance à vérifier avant de signer, sous forme de checklist opérationnelle.
Pourquoi le choix d'un prestataire cloud est une décision déontologique
Confier ses dossiers à un prestataire cloud, c'est confier à un tiers la garde matérielle d'informations couvertes par le secret professionnel — consultations, correspondances, pièces de procédure. Le Règlement Intérieur National (RIN) de la profession impose à l'avocat de s'assurer, lorsqu'il recourt à un prestataire extérieur, que celui-ci présente des garanties suffisantes de sécurité et de confidentialité. Ce n'est donc pas une simple question technique confiée au responsable informatique : c'est une décision qui engage la responsabilité déontologique de l'avocat lui-même.
⚠️ À retenir : déléguer l'hébergement ne délègue pas la responsabilité. En cas de fuite de données chez un prestataire mal sélectionné, c'est l'avocat, dépositaire du secret professionnel, qui reste comptable vis-à-vis de son client et de son ordre.
Pour l'analyse complète du cadre juridique applicable (RGPD, secret professionnel, Cloud Act), notre guide dédié secret professionnel et cloud détaille les textes en vigueur. Cet article se concentre sur les points de vigilance concrets à vérifier avant de signer un contrat.
Point de vigilance n°1 — Où sont réellement stockées les données ?
La question de la localisation ne se limite pas au pays du siège social du prestataire. Il faut distinguer :
Ce qu'il faut demander
- → Le pays d'hébergement des données de production
- → Le pays d'hébergement des sauvegardes
- → Le pays où sont traités les logs et données de support
- → La nationalité de la société mère du prestataire
Pourquoi cela compte
- → Un hébergement en France n'exclut pas une exposition au droit d'un autre pays
- → Une filiale française d'un groupe étranger reste soumise à la réglementation de sa maison mère dans certains cas
- → Les sauvegardes sont souvent oubliées de l'analyse alors qu'elles contiennent les mêmes données
❌ Piège fréquent : un prestataire qui annonce un hébergement « en France » ou « en Europe » peut, malgré tout, appartenir à un groupe soumis à une législation extraterritoriale qui lui permettrait d'être contraint de communiquer des données sur demande d'une autorité étrangère. Demandez explicitement si le prestataire ou sa maison mère est soumis à une telle législation, et faites-le préciser par écrit.
Point de vigilance n°2 — Quelle est la chaîne de sous-traitance ?
Un prestataire cloud n'opère presque jamais seul : hébergeur physique, CDN, service d'envoi d'emails, outil de supervision, service de paiement… chacun de ces maillons est un sous-traitant ultérieur au sens de l'article 28 du RGPD. Le contrat principal doit lister ces sous-traitants ou, à défaut, permettre au cabinet d'en obtenir la liste à jour sur demande.
Notre article sur la cartographie des sous-traitants numériques du cabinet détaille la méthode pour construire et tenir à jour ce registre.
Questions à poser au prestataire cloud
✓ Quels sous-traitants ultérieurs interviennent, et où sont-ils situés ?
✓ Le cabinet est-il informé en cas de changement de sous-traitant ?
✓ Existe-t-il un droit d'opposition à l'ajout d'un nouveau sous-traitant ?
✓ Le prestataire s'engage-t-il contractuellement sur le respect de l'article 28 du RGPD par l'ensemble de la chaîne ?
Point de vigilance n°3 — Comment les données sont-elles chiffrées ?
Le chiffrement est la mesure technique qui limite l'impact d'une intrusion ou d'un accès non autorisé, y compris de la part du personnel du prestataire lui-même. Trois questions permettent d'évaluer rapidement le sérieux d'un prestataire sur ce point :
| Question | Réponse attendue |
|---|---|
| Les données sont-elles chiffrées au repos (sur les disques) ? | Oui, avec un algorithme reconnu (AES-256 ou équivalent) |
| Les données sont-elles chiffrées en transit (entre le cabinet et le serveur) ? | Oui, via TLS à jour |
| Qui détient les clés de chiffrement ? | Idéalement le cabinet, ou un mécanisme empêchant le prestataire seul d'accéder aux données en clair |
💡 Bon à savoir : un prestataire qui ne sait pas répondre précisément à ces trois questions, ou qui renvoie vers une documentation générique sans détail technique, doit alerter. La sécurité réelle se vérifie dans le détail des réponses, pas dans les slogans marketing.
Point de vigilance n°4 — Que prévoit le contrat en cas d'incident ?
Une violation de données peut survenir chez le meilleur des prestataires. Ce qui distingue un partenaire fiable, c'est sa capacité à réagir vite et à informer clairement. Le contrat doit préciser :
- Le délai de notification au cabinet en cas de violation de données constatée par le prestataire
- Les informations minimales communiquées (nature de l'incident, données concernées, mesures prises)
- Le soutien apporté au cabinet pour respecter ses propres obligations vis-à-vis de la CNIL et des personnes concernées
- L'existence d'un plan de continuité d'activité documenté et testé par le prestataire
Point de vigilance n°5 — Peut-on récupérer ses données et en sortir ?
C'est le point le plus souvent négligé au moment de la signature, et le plus douloureux s'il n'a pas été anticipé. La réversibilité doit être prévue contractuellement, pas découverte au moment de la résiliation.
❌ Sans clause de réversibilité
- Format d'export non précisé ou propriétaire
- Délai de restitution laissé à la discrétion du prestataire
- Coûts de sortie découverts a posteriori
- Absence de garantie de suppression définitive des données
✓ Avec clause de réversibilité claire
- Export dans un format exploitable, précisé au contrat
- Délai contractuel de restitution après résiliation
- Coût de la réversibilité connu à l'avance
- Certificat de suppression des données après restitution
La checklist complète avant signature
10 points à vérifier avant de confier vos données à un prestataire cloud
☐ Pays d'hébergement des données de production
☐ Pays d'hébergement des sauvegardes
☐ Exposition à une législation extraterritoriale
☐ Liste des sous-traitants ultérieurs
☐ Contrat conforme à l'article 28 du RGPD
☐ Chiffrement au repos et en transit
☐ Gestion des clés de chiffrement
☐ Délai de notification en cas d'incident
☐ Clause de réversibilité et coût de sortie
☐ Certificat de suppression des données
L'approche NetJuris
NetJuris héberge les données de ses cabinets clients en France, documente sa chaîne de sous-traitance et propose un export complet des dossiers en cas de résiliation. C'est le type de garanties à exiger de tout prestataire auquel vous confiez vos données, que ce soit NetJuris ou un autre éditeur.
FAQ
Un hébergement « souverain » suffit-il à garantir la conformité déontologique ?
C'est un critère important mais pas suffisant à lui seul. Il faut aussi vérifier le chiffrement, la chaîne de sous-traitance et les clauses contractuelles en cas d'incident ou de fin de contrat. La localisation seule ne protège pas contre une mauvaise gestion des accès.
Le cabinet doit-il signer un contrat spécifique avec chaque sous-traitant du prestataire cloud ?
Non : c'est au prestataire principal, en tant que sous-traitant du cabinet, de s'assurer que ses propres sous-traitants respectent des obligations équivalentes à celles de l'article 28 du RGPD. Le cabinet doit simplement pouvoir en obtenir la liste et être informé de tout changement.
Que faire si un prestataire refuse de répondre précisément à ces questions ?
C'est en soi un signal d'alerte. Un prestataire sérieux dispose de cette documentation et doit être en mesure de la partager, au moins sous forme de fiche de sécurité ou d'annexe contractuelle dédiée.
En résumé
Le cloud n'est ni un risque à éviter ni une solution neutre par défaut : c'est un choix qui mérite une vraie analyse, point par point. La checklist présentée ici ne demande pas de compétences techniques poussées, mais de la rigueur dans les questions posées avant signature. Un cabinet qui prend le temps de vérifier ces dix points réduit considérablement son exposition, aussi bien vis-à-vis du RGPD que de ses obligations déontologiques.
Si vous évaluez actuellement une solution de gestion pour votre cabinet, découvrez comment NetJuris répond à ces exigences ou consultez nos tarifs pour un essai sans engagement.
Sources : RIN — Conseil National des Barreaux ; article 28 du RGPD ; CNIL — sous-traitance.