RGPD au cabinet d''avocats : registre, sous-traitants et secret professionnel

Deux obligations distinctes Le secret professionnel de l''avocat est plus ancien et plus strict que le RGPD. Le règlement ajoute une obligation de démonstration : il faut pouvoir montrer comment les données sont traitées, par qui, et pendant combien de temps.

Le registre des traitements C''est la pièce que l''on vous demandera en premier. Il liste les traitements du cabinet : gestion des dossiers, comptabilité, paie, site internet, prospection. Pour chacun : finalité, base légale, catégories de personnes et de données, destinataires, durée de conservation, mesures de sécurité.

Les sous-traitants Tout prestataire qui accède aux données de vos dossiers est sous-traitant : hébergeur, éditeur de logiciel, service de sauvegarde, prestataire de numérisation. Chacun doit être couvert par un contrat au sens de l''article 28, et vous devez connaître le pays d''hébergement. Un outil grand public utilisé sans contrat est un manquement, indépendamment de la question du secret.

Durées de conservation Fixez-les par catégorie : dossier clos, pièces comptables, candidatures, courriels de prospection. Une conservation illimitée « au cas où » est la non-conformité la plus répandue dans les cabinets.

Sécurité attendue Comptes nommés et non partagés, double authentification, chiffrement des sauvegardes, cloisonnement des accès selon la fonction, journalisation des consultations, procédure écrite en cas de violation de données.

Ce que nous prenons en charge, et ce qui reste au cabinet Nous fournissons le cadre technique : hébergement en Europe, cloisonnement par cabinet, chiffrement, journalisation, contrat de sous-traitance signé. Le registre des traitements, les durées de conservation et la formation des collaborateurs restent la responsabilité du cabinet. Nous ne revendiquons aucune certification que nous n''avons pas obtenue.

Cartographier ses traitements sans y passer un mois Listez les endroits où se trouvent des données de clients : logiciel de gestion, messagerie, disque partagé, téléphones, sauvegardes, prestataire de dictée. Pour chacun, notez la finalité, les personnes qui y accèdent et la durée de conservation. Cet inventaire, tenu à jour une fois par an, constitue la base du registre.

Gérer les accès dans le cabinet Le secret professionnel se traduit techniquement par des droits d'accès. Un stagiaire n'a pas besoin de l'ensemble des dossiers, un collaborateur n'a pas besoin de la facturation. Documentez qui accède à quoi, et retirez les accès au départ d'une personne le jour même.

Sous-traitants et hébergement Chaque prestataire qui touche à des données clients doit être encadré par un contrat de sous-traitance précisant la localisation de l'hébergement, les mesures de sécurité et le sort des données à la fin du contrat. Demandez ces éléments par écrit : ils vous seront réclamés en cas de contrôle ou d'incident.

Réagir à un incident Prévoyez à l'avance qui est prévenu, dans quel ordre, et sous quel délai. Notez l'incident, même sans conséquence apparente : perte d'un téléphone, envoi d'une pièce au mauvais destinataire, tentative d'hameçonnage. Une main courante des incidents démontre le sérieux de l'organisation mieux que n'importe quelle déclaration d'intention.