Avocat et cloud : peut-on stocker des dossiers clients sur un SaaS sans violer le secret professionnel ?

Un avocat manipule, par nature, des informations parmi les plus sensibles qui existent : pièces de procédure, correspondances avec le client, stratégies de défense, éléments patrimoniaux, données de tiers. Ces informations ne sont pas seulement confidentielles au sens commun, elles sont couvertes par le secret professionnel, un secret que le droit français considère comme général, absolu et illimité dans le temps. La question de savoir où stocker les dossiers clients n'est donc pas un simple choix d'outil informatique, c'est une question déontologique et pénale.

Cet article répond à une interrogation précise que beaucoup de confrères se posent en 2026 : peut-on stocker des dossiers clients sur un SaaS cloud sans violer le secret professionnel ? Il n'est pas un conseil juridique. Pour une analyse propre à votre cabinet, appuyez-vous sur votre ordre, votre bâtonnier, votre DPO ou un confrère spécialisé en droit du numérique.

Quick Answer

Oui, un avocat peut utiliser un SaaS cloud pour ses dossiers clients, mais à des conditions strictes, et tous les clouds ne se valent pas. Le secret professionnel n'interdit pas l'externalisation du stockage, il interdit que le contenu des dossiers devienne accessible à un tiers non autorisé. Le point déterminant n'est donc pas "cloud ou pas cloud", c'est de savoir si le prestataire peut techniquement ou juridiquement lire vos données. Un cloud classique où l'hébergeur détient les clés de chiffrement, surtout s'il est soumis à une loi extraterritoriale comme le Cloud Act américain, fait peser un risque réel sur le secret. Un stockage chiffré de bout en bout, où le prestataire ne détient jamais les clés, ou un stockage local maîtrisé, ramène ce risque à presque zéro. Le cloud reste possible, à condition de choisir une architecture où personne d'autre que vous ne peut accéder au clair.

Ce que le secret professionnel impose vraiment

Le secret professionnel de l'avocat trouve sa source dans la loi du 31 décembre 1971 réformant certaines professions judiciaires et juridiques, et sa violation constitue un délit pénal au titre de l'article 226-13 du code pénal. Le Règlement Intérieur National de la profession en précise la portée déontologique. Ce qu'il faut retenir, c'est que ce secret ne protège pas seulement ce que vous dites, il protège aussi les supports : le dossier, la correspondance, les fichiers. Confier ces supports à un tiers ne vous exonère de rien. Si un prestataire cloud peut accéder au contenu de vos dossiers, la question de la violation du secret se pose, que cet accès soit effectivement exercé ou seulement possible.

C'est une nuance essentielle et souvent mal comprise. Le secret n'est pas "violé" seulement le jour où quelqu'un lit réellement un dossier. Le risque déontologique naît dès lors que vous placez les informations dans un environnement où un tiers non autorisé a la capacité d'y accéder. Autrement dit, la bonne question n'est pas "mon hébergeur va-t-il lire mes dossiers ?", mais "mon hébergeur en a-t-il la capacité technique et peut-il y être contraint ?". Si la réponse est oui, vous avez transféré une partie du contrôle du secret à un acteur que vous ne maîtrisez pas.

Le RGPD se superpose au secret, il ne le remplace pas

En parallèle du secret professionnel, le RGPD s'applique pleinement. Pour les données personnelles contenues dans vos dossiers, vous êtes responsable de traitement. Votre hébergeur cloud, lui, agit comme sous-traitant au sens de l'article 28 du RGPD, ce qui impose un contrat de sous-traitance encadrant précisément ce qu'il a le droit de faire, des garanties de sécurité, et l'interdiction d'utiliser les données à d'autres fins. Ce contrat est obligatoire, pas optionnel. Beaucoup de cabinets utilisent des outils grand public sans jamais avoir signé un tel accord, ce qui est une non-conformité en soi.

Le RGPD ajoute une autre couche de complexité : la localisation et les transferts. Un hébergement dans l'Union européenne est fortement préférable, et surtout, il faut se méfier des prestataires soumis au droit d'un pays tiers. Depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne en 2020, les transferts vers les États-Unis ne peuvent plus reposer sur une simple confiance : ils exigent des garanties supplémentaires, précisément parce qu'une loi étrangère peut contraindre le prestataire à communiquer les données. Ces principes RGPD et le poids réel du chiffrement sont détaillés dans notre analyse du chiffrement local face au cloud en cas de fuite de données, et la logique de conformité proche de celle d'autres professions réglementées est développée pour le cas voisin de l'expert-comptable et le stockage RGPD des documents clients.

Le vrai risque n'est pas le piratage, c'est l'accès légal du prestataire

On imagine souvent le risque cloud sous la forme d'un pirate qui force les serveurs. C'est un risque réel, mais ce n'est pas le plus spécifique à votre situation d'avocat. Le risque le plus structurant, c'est l'accès légitime du prestataire lui-même. Dans un cloud classique, l'hébergeur chiffre vos données au repos et en transit, ce qui est une bonne chose, mais il détient les clés de déchiffrement. Cela signifie que ses systèmes peuvent lire le contenu en clair, et donc qu'il peut être contraint de le produire.

C'est là que les lois extraterritoriales deviennent centrales. Le Cloud Act américain de 2018 permet aux autorités des États-Unis d'exiger d'un fournisseur soumis au droit américain qu'il communique des données, y compris lorsque ces données sont hébergées physiquement en Europe. Un cabinet qui stocke ses dossiers chez un grand fournisseur américain, même sur des serveurs situés en France, n'a donc aucune garantie absolue que le contenu restera hors de portée d'une injonction étrangère. Face au caractère absolu du secret professionnel de l'avocat, ce n'est pas un détail théorique.

La parade technique existe, et elle est simple à énoncer : si le prestataire ne détient jamais les clés, il ne peut produire que des données chiffrées illisibles, y compris sous contrainte légale. C'est toute la différence entre le chiffrement classique et le chiffrement de bout en bout, dit aussi zero-knowledge. Nous détaillons cette distinction dans notre article sur le chiffrement de bout en bout comparé au zero-knowledge, et le mécanisme précis dans le chiffrement zero-knowledge expliqué.

Trois modèles d'hébergement, comparés honnêtement

Pour trancher, il faut cesser de raisonner en "cloud contre local" et raisonner en "qui détient les clés". Voici les trois grands modèles auxquels un cabinet est réellement confronté.

Modèle	Le prestataire peut-il lire vos dossiers ?	Exposé au Cloud Act ?	Point de vigilance
SaaS cloud classique (clés côté fournisseur)	Oui, techniquement	Oui, si fournisseur soumis au droit US	Contrat de sous-traitance et localisation indispensables, mais insuffisants face à l'accès du prestataire
SaaS chiffré de bout en bout (zero-knowledge)	Non, clés côté client	Peu importe : données illisibles produites	Vérifier que le chiffrement est réel et vérifiable, gérer la récupération des clés
Stockage local ou souverain maîtrisé	Non, aucun tiers	Non	Sauvegardes, continuité d'activité et sécurité des postes à votre charge

Aucune ligne n'est parfaite. Le cloud classique est le plus simple à déployer mais le plus exposé sur le plan du secret. Le zero-knowledge résout le problème d'accès du tiers mais déplace la responsabilité de la gestion des clés sur le cabinet. Le stockage local supprime le tiers mais vous rend seul responsable des sauvegardes et de la disponibilité. Le bon choix dépend de votre tolérance au risque et de vos moyens, pas d'un dogme.

Ce que ça implique concrètement

Sur le plan pratique, quelques principes permettent d'utiliser le cloud sans compromettre le secret. D'abord, privilégiez une solution où vous détenez les clés de chiffrement, de sorte que le prestataire ne puisse jamais accéder au clair. Ensuite, exigez et signez un contrat de sous-traitance conforme à l'article 28, et lisez la clause de localisation et de transferts hors Union européenne. Vérifiez la nationalité juridique du fournisseur et son exposition au Cloud Act, pas seulement l'emplacement physique de ses serveurs.

Distinguez ensuite ce qui doit vraiment être protégé de ce qui est anodin. Tout ne relève pas du même niveau de sensibilité, et concentrer les mesures fortes sur les dossiers réellement couverts par le secret est plus réaliste que de tout verrouiller au même degré. Tenez à jour votre registre des traitements, informez vos clients de vos modalités de conservation, et fixez des durées de conservation cohérentes avec vos obligations. Enfin, n'oubliez pas les fondamentaux qui échappent aux débats sur le cloud : mots de passe robustes, double authentification, chiffrement des postes de travail et des sauvegardes, et procédures en cas de perte ou de vol de matériel.

Gardez une chose en tête : le chiffrement, même excellent, ne vous dispense d'aucune de vos obligations RGPD ni déontologiques. Il réduit le risque d'accès non autorisé, il ne certifie pas votre conformité. Un outil chiffré mal contractualisé reste une non-conformité.

Où Filarr peut aider, et où il ne suffit pas

Filarr est un espace de travail chiffré local-first : chaque fichier et chaque note est chiffré en AES-256-GCM directement sur votre poste, avec une clé dérivée de votre mot de passe qui ne quitte jamais l'appareil sous une forme exploitable. Pour un avocat, l'intérêt est direct : vos dossiers restent lisibles par vous seul, et la synchronisation cloud, si vous l'activez, ne transmet que des blobs chiffrés que le serveur ne peut pas déchiffrer. Cela correspond au modèle zero-knowledge décrit plus haut, et vous pouvez même utiliser votre propre stockage. L'architecture de sécurité est documentée en détail, couche par couche, dans le récit complet de la sécurité de Filarr, et le client de bureau est open source, ce qui vous permet de vérifier les affirmations plutôt que de les croire sur parole.

Il faut être honnête sur les limites. Filarr est un outil de chiffrement, pas une certification RGPD ni un conseil juridique. Il ne rédige pas votre contrat de sous-traitance, ne tient pas votre registre, et ne remplace pas l'analyse déontologique de votre ordre. Il est mono-utilisateur dans sa forme actuelle, orienté cabinet individuel ou petite structure plutôt que grande organisation avec édition collaborative en temps réel. Et comme tout chiffrement fort, il transfère sur vous la responsabilité des clés : si vous perdez à la fois votre mot de passe et votre phrase de récupération, personne ne pourra restaurer vos données. C'est le prix de l'absence de porte dérobée, et c'est précisément ce prix qui protège le secret.

FAQ

Un avocat a-t-il le droit d'utiliser un cloud américain type Google Drive ou Microsoft pour ses dossiers ? Ce n'est pas formellement interdit, mais c'est risqué au regard du secret professionnel. Ces fournisseurs détiennent les clés de chiffrement et sont soumis au Cloud Act, donc peuvent être contraints de communiquer des données même hébergées en Europe. Si vous les utilisez, privilégiez une couche de chiffrement de bout en bout que vous maîtrisez, de sorte que le fournisseur ne voie que des données illisibles.

Le chiffrement suffit-il à être conforme au RGPD ? Non. Le chiffrement est une mesure de sécurité importante, souvent attendue, mais la conformité RGPD dépend de tout le traitement : base légale, contrat de sous-traitance, registre, information des personnes, durées de conservation, gestion des violations. Le chiffrement réduit le risque, il ne remplace pas la démarche de conformité.

Vaut-il mieux du cloud chiffré ou du stockage 100 % local ? Cela dépend de vos priorités. Le stockage local supprime tout tiers et donc tout risque d'accès externe, mais vous rend seul responsable des sauvegardes et de la continuité. Le cloud chiffré de bout en bout offre le confort du multi-appareils et de la sauvegarde distante tout en gardant les clés de votre côté. Les deux sont défendables ; l'erreur est le cloud classique où le prestataire détient les clés.

Que répondre à un client qui demande où sont stockés ses documents ? Vous devez pouvoir répondre précisément : chez quel prestataire, dans quel pays, sous quel régime juridique, et qui peut techniquement y accéder. Si vous ne pouvez pas répondre, c'est le signe qu'il faut revoir votre organisation. Un cabinet capable d'expliquer clairement son architecture de stockage inspire confiance et démontre le sérieux de sa gestion du secret.