Notaire et office : conservation et confidentialité des actes à l'ère du cloud

Un notaire conserve des minutes pendant 75 ans, parfois 100. Il est tenu au secret professionnel absolu. Et depuis que l'acte authentique existe aussi sous forme électronique, une question très concrète se pose dans chaque office : où vivent réellement ces actes, qui peut y accéder, et que se passe-t-il le jour où un prestataire cloud est piraté ou tombe en panne ? Cet article répond à cette question du point de vue d'un office notarial. Il n'est pas un conseil juridique : pour toute décision engageant votre responsabilité, référez-vous à votre chambre, au CSN et à votre conseil habituel.

Quick Answer

Un notaire doit assurer deux choses sur ses actes : leur conservation durable (les minutes doivent rester lisibles et intègres pendant des décennies) et leur confidentialité (secret professionnel). Pour l'acte authentique électronique, l'infrastructure de référence est celle du notariat lui-même (le minutier central électronique géré par les instances de la profession), pas un cloud grand public. Pour tout le reste, c'est-à-dire les documents de travail, les pièces clients, les brouillons et la correspondance, la règle de prudence est simple : ces fichiers ne devraient jamais quitter l'office en clair. Un service cloud classique qui détient les clés de déchiffrement peut techniquement lire vos dossiers, et ses serveurs sont une cible. Le chiffrement local, où la clé reste chez vous, est aujourd'hui le moyen le plus solide de concilier mobilité, sauvegarde et secret professionnel. Il ne remplace ni l'archivage légal des minutes, ni la conformité RGPD globale de l'étude.

Pourquoi c'est un vrai sujet pour un office

Un office notarial est, au sens du droit, un professionnel du secret et de la preuve. Deux obligations structurent tout :

La conservation des minutes. L'original d'un acte authentique (la minute) reste à l'étude. En pratique, les minutes papier sont conservées de nombreuses décennies avant versement aux archives départementales. L'ordre de grandeur communément retenu est de 75 ans, porté à 100 ans quand l'acte concerne un mineur. Un fichier doit donc rester lisible et intègre bien au-delà de la durée de vie d'un logiciel, d'un format ou d'un prestataire.
Le secret professionnel. Il couvre l'identité des clients, le contenu des actes, les pièces communiquées. Ce n'est pas une option contractuelle : c'est une obligation déontologique et pénale. Toute fuite, même involontaire, engage la responsabilité de l'office.

À cela s'ajoute le RGPD. L'étude traite des données personnelles très sensibles (patrimoine, filiation, successions, parfois santé) et en est responsable de traitement. Dès qu'un outil externe héberge ces données, ce prestataire devient sous-traitant au sens du règlement, avec tout ce que cela implique (contrat, localisation, garanties).

La difficulté, c'est que la pratique a changé plus vite que les réflexes. On signe des actes électroniques, on reçoit des pièces par mail, on travaille à distance, on envoie des projets d'acte via des outils de transfert de fichiers. Chacun de ces gestes déplace de la donnée sensible, souvent vers un cloud dont on ne maîtrise ni la localisation ni les clés.

Distinguer trois choses que l'on confond souvent

Avant de parler d'outils, il faut séparer trois niveaux. Les confondre mène à de mauvaises décisions.

Niveau	De quoi on parle	Qui gère	Point d'attention
L'acte authentique électronique	La minute électronique signée, à valeur probante	Infrastructure du notariat (minutier central électronique)	Ne doit pas transiter par du cloud grand public
Les données de travail	Projets d'acte, pièces clients, correspondance, scans	L'office et ses outils	C'est là que fuient le plus de données
La sauvegarde et la mobilité	Copies, accès à distance, transfert de fichiers	Variable, souvent improvisé	Zone de risque sous-estimée

Le premier niveau relève de dispositifs encadrés par la profession, conçus pour la valeur probante et la conservation longue durée. Vous n'avez pas à bricoler là-dessus, et vous ne devez surtout pas sortir une minute de ce circuit pour la déposer sur un cloud personnel.

Le deuxième et le troisième niveau, en revanche, sont ceux où un office perd le contrôle sans s'en rendre compte : le clerc qui dépose un scan sur un drive partagé, le projet d'acte envoyé via un service de transfert, la sauvegarde sur un disque non chiffré. C'est précisément là que le chiffrement local change la donne.

Chiffrement au repos, bout en bout, zero-knowledge : ce qui vous protège vraiment

La plupart des services cloud affichent du "chiffrement". Le mot est juste, mais il ne dit pas l'essentiel : qui détient la clé. C'est la seule question qui compte le jour d'un incident.

Chiffré au repos : le prestataire chiffre les données sur ses serveurs, mais il garde la clé. S'il est contraint par une autorité, piraté au bon endroit, ou simplement curieux, le contenu est lisible. La plupart des clouds grand public sont dans ce cas.
Chiffré de bout en bout (E2EE) : seul l'expéditeur et le destinataire peuvent lire. Le serveur ne voit que du chiffré.
Zero-knowledge : le service qui héberge vos données est, par conception, incapable de les lire, même s'il le voulait.

Pour bien saisir ce que chaque promesse protège réellement, nous avons détaillé les différences entre chiffrement au repos, de bout en bout et zero-knowledge. Pour un office, la conséquence est directe : un dossier client déposé sur un service "chiffré au repos" reste exposé au prestataire, ce qui est difficilement compatible avec le secret professionnel si ce prestataire n'offre aucune garantie contractuelle forte et une localisation maîtrisée.

L'autre dimension, c'est la localisation. Un hébergeur, même sérieux, soumis à une législation extraterritoriale (par exemple le Cloud Act américain) peut être contraint de transmettre des données, y compris stockées en Europe. Nous avons traité ce point en détail dans notre guide sur l'hébergement des données hors UE et le risque RGPD. Pour un notaire, confier des pièces sensibles à un prestataire soumis à ce type de législation, sans chiffrement dont vous gardez la clé, est un pari sur la confiance plutôt qu'une garantie technique.

Le jour de la fuite : pourquoi la clé change tout

Le meilleur test d'un dispositif, ce n'est pas la brochure commerciale, c'est le scénario catastrophe. Imaginez que les serveurs de votre prestataire soient compromis, ou qu'un disque de sauvegarde soit volé dans une voiture.

Si les données sont chiffrées mais que le prestataire détient la clé, l'attaquant qui atteint le bon niveau accède au contenu. La fuite est réelle.
Si les données sont chiffrées localement, avec une clé qui n'a jamais quitté vos appareils, l'attaquant récupère des blocs illisibles. La fuite est neutralisée.

C'est toute la différence développée dans notre comparatif entre chiffrement local et cloud classique le jour d'une fuite. Pour un office, ce n'est pas un détail théorique : une fuite de dossiers notariaux, c'est une violation du secret professionnel, une notification CNIL potentielle, et une atteinte de réputation durable.

Un point d'honnêteté : le chiffrement local ne protège pas de tout. Si le poste de travail du notaire est lui-même infecté et ouvert pendant la session, les fichiers déchiffrés à l'écran sont accessibles à ce moment-là. Le chiffrement protège les données stockées et transmises, pas un poste déjà compromis en pleine utilisation. D'où l'importance de garder, en parallèle, les bases d'hygiène : postes à jour, double authentification, sauvegardes multiples.

Le cas du transfert de fichiers

Un réflexe courant et risqué : envoyer un projet d'acte ou une pièce via un service de transfert grand public. Ces services sont pratiques, mais la plupart chiffrent en transit et au repos sans aller jusqu'au bout de bout en bout, ce qui signifie qu'ils peuvent, techniquement, accéder au fichier. Nous l'avons documenté dans notre analyse de ce que WeTransfer protège vraiment. Pour des pièces couvertes par le secret, cela mérite au minimum une alternative où la clé de déchiffrement n'est jamais communiquée au serveur.

Ce que ça implique concrètement pour l'office

Voici une feuille de route pragmatique, du plus urgent au plus structurant.

Cartographier où vit la donnée sensible. Faites la liste réelle : serveur de l'étude, postes, drives partagés, boîtes mail, services de transfert, clés USB, disques de sauvegarde. On découvre presque toujours des copies oubliées.
Sortir les actes du cloud grand public. Les minutes électroniques restent dans le circuit de la profession. Aucun acte authentique ne devrait se retrouver sur un drive personnel.
Chiffrer localement les données de travail. Projets, pièces, scans, correspondance : ces fichiers doivent être chiffrés avec une clé que vous gardez, de sorte qu'aucun prestataire ne puisse les lire.
Appliquer le 3-2-1 à la sauvegarde. Trois copies, deux supports différents, une hors site, chaque copie chiffrée. Une sauvegarde en clair est une fuite en attente.
Encadrer les transferts. Remplacez les envois de pièces sensibles par des liens chiffrés dont la clé n'est pas connue du serveur.
Documenter. Registre des traitements, contrats de sous-traitance avec chaque prestataire hébergeant de la donnée, localisation des serveurs. Le RGPD attend des preuves, pas des bonnes intentions.
Former l'équipe. La majorité des fuites viennent d'un geste quotidien, pas d'une attaque sophistiquée.

Les petites structures sans informaticien dédié trouveront une version plus générale de cette démarche dans notre guide pour sécuriser les fichiers d'une TPE ou PME sans budget IT, directement transposable à un office.

Où Filarr peut aider (et où il ne peut pas)

Filarr est un espace de travail chiffré et local-first : notes, fichiers et un graphe qui relie les deux, le tout chiffré sur votre machine. Concrètement, pour un office, il répond bien au deuxième et au troisième niveau décrits plus haut.

Ce que Filarr résout :

Chaque fichier est chiffré en AES-256-GCM, avec une clé par fichier, et la clé maîtresse est dérivée de votre mot de passe (PBKDF2-SHA512, 600 000 itérations, Argon2id en option). Un dossier client déposé dans Filarr est illisible pour quiconque n'a pas le mot de passe.
Tout fonctionne 100% hors ligne. Vous pouvez tenir vos pièces de travail et vos notes de dossier sans qu'aucune donnée ne parte sur Internet.
La sync cloud est optionnelle et conçue en zero-knowledge : seuls des blobs chiffrés opaques quittent le poste, les clés restent chez vous. Vous pouvez aussi brancher votre propre stockage S3 (BYOS) pour garder la maîtrise de l'hébergement.
Le partage de fichiers se fait par lien chiffré où la clé vit dans le fragment d'URL, jamais transmis au serveur, une alternative sérieuse aux services de transfert classiques.

Ce que Filarr ne résout pas, et il faut être clair :

Filarr n'est pas un système d'archivage légal des minutes ni un substitut au minutier central électronique du notariat. Les actes authentiques restent dans le circuit prévu par la profession.
Filarr n'est pas une certification RGPD ni un conseil juridique. C'est un outil de chiffrement. La conformité de l'étude dépend de l'ensemble de ses traitements, pas d'un seul logiciel.
Filarr ne protège pas un poste déjà compromis en pleine session.
L'écosystème est plus jeune que celui d'outils installés de longue date, et l'app mobile est encore en cours de finalisation.

Autrement dit, Filarr est un bon outil pour que les pièces de travail et la correspondance d'un office cessent de traîner en clair sur des drives dont vous ne tenez pas les clés. Il ne remplace ni votre infrastructure métier, ni votre démarche de conformité.

FAQ

Un notaire peut-il stocker ses minutes électroniques sur un cloud comme Google Drive ou Dropbox ? Non, ce n'est pas l'usage prévu. L'acte authentique électronique relève de l'infrastructure de conservation du notariat, conçue pour la valeur probante et la durée longue. Un cloud grand public ne garantit ni cette valeur probante, ni la confidentialité attendue puisque le prestataire détient les clés. Les minutes doivent rester dans le circuit de la profession.

Le chiffrement local suffit-il à être conforme au RGPD ? Non. Le chiffrement est une mesure de sécurité fortement recommandée, mais la conformité RGPD couvre bien plus : base légale des traitements, information des personnes, registre, contrats de sous-traitance, durées de conservation, gestion des droits. Le chiffrement local réduit considérablement le risque en cas de fuite, mais il n'est qu'une pièce du dispositif.

Que risque un office si des pièces clients fuitent d'un cloud non chiffré côté clé ? Une violation potentielle du secret professionnel (avec responsabilité déontologique et pénale), une obligation possible de notification à la CNIL et aux personnes concernées sous 72 heures pour les violations à risque, et une atteinte de réputation. Si les données étaient chiffrées avec une clé que vous seul déteniez, le risque réel est largement neutralisé car les données restent illisibles.

Comment envoyer un projet d'acte à un client sans passer par un service qui peut le lire ? Privilégiez un lien chiffré où la clé de déchiffrement n'est jamais transmise au serveur, plutôt qu'un service de transfert classique qui chiffre seulement en transit et au repos. Le destinataire reçoit la clé par un canal séparé. Le serveur, lui, ne voit que du chiffré.

Un hébergement en Europe garantit-il que mes données ne sont pas accessibles à une autorité étrangère ? Pas toujours. Un prestataire soumis à une législation extraterritoriale peut être contraint de transmettre des données même stockées en Europe. La seule garantie technique robuste est que vous déteniez les clés de chiffrement : sans elles, le prestataire ne transmet que du chiffré inexploitable.