Cabinet d'avocats : le secret professionnel à l'épreuve du travail à distance
Ou : la déontologie ne dit rien du VPN, elle dit tout du secret qu’il transporte.
La réponse courte : aucun code de déontologie belge ou français n’impose à un cabinet d’avocats un VPN ou un double facteur. Ils imposent quelque chose de plus exigeant : le secret professionnel, sur tous les supports. En Belgique, le code de déontologie d’AVOCATS.BE demande à l’avocat qui communique par voie électronique de veiller à ce que ses outils « garantissent la sécurité et la confidentialité de ses échanges ainsi que le secret professionnel qui s’y attache ». En France, le Règlement intérieur national qualifie le secret de « général, absolu et illimité dans le temps » et rend l’avocat responsable des violations commises par son personnel. Le VPN, le chiffrement et le double facteur sont les moyens de tenir cette promesse quand les dossiers sont consultés hors du cabinet. C’est l’un des secteurs réglementés couverts par la conformité des PME.
Le cadre pénal belge vient de changer. Depuis le 1er septembre 2026, le nouveau Code pénal est en vigueur, et la violation du secret professionnel figure désormais à son article 352, punie d’une peine de niveau 2, soit six mois à trois ans d’emprisonnement ou une peine alternative. L’article 458 de l’ancien code, encore visé par certaines lois professionnelles, est remplacé. Le texte vise la révélation « délibérée » ; une fuite causée par une négligence technique relève d’abord de la déontologie et du RGPD, qui imposent l’un et l’autre de sécuriser les échanges.
VPN et cabinet d’avocats : ce qu’imposent le secret et la déontologie
| Texte | Ce qu’il exige | Conséquence pour l’accès distant |
|---|---|---|
| Code pénal belge de 2024, article 352 | Ne pas révéler les secrets confiés | Aucun dossier accessible sans authentification |
| Code d’AVOCATS.BE, articles 4.9 et 4.10 | Sécurité et confidentialité des échanges électroniques | Connexion chiffrée, messagerie aux garanties équivalentes à celle de l’Ordre |
| Loi française de 1971, article 66-5 ; RIN, article 2 | Secret sur toutes les pièces du dossier, quel que soit le support | Comptes individuels, y compris pour le secrétariat et les stagiaires |
| Guides du CNB (2023 et 2024) | VPN sur les réseaux Wi-Fi publics, double facteur à privilégier | Recommandations, pas obligations |
| RGPD, article 32 | Sécurité adaptée au risque | Mesures documentées et proportionnées |
En Flandre, le codex de l’Orde van Vlaamse Balies ne contient pas de règle sur le cloud ou la cybersécurité ; sa seule obligation technique figure dans la partie anti-blanchiment, qui impose de répondre à la cellule de traitement des informations financières par des canaux sécurisés. Côté français, le Conseil national des barreaux a publié deux guides sur la sécurité numérique du cabinet, en octobre 2023 et septembre 2024. Le premier conseille d’interdire la connexion aux réseaux Wi-Fi publics « à moins d’être équipé d’un VPN », et cite comme exemple d’authentification multifacteur « la clé avocat et le code PIN associé ». Cette clé, rattachée à l’identité numérique e-Dentitas, sert aussi à accéder à e-Barreau, la communication électronique avec les juridictions, même si une connexion sans clé reste possible.
Le travail à distance d’un cabinet repose en pratique sur trois décisions. Où sont les dossiers : sur un serveur au cabinet, joignable par un VPN, ou chez un prestataire en ligne, dont il faut vérifier les garanties. Qui y accède : chaque avocat, collaborateur et membre du secrétariat avec son propre compte, jamais un identifiant partagé, puisque le RIN rend l’avocat responsable de son personnel. Comment : un double facteur à la connexion, et un disque chiffré sur chaque ordinateur portable, qui protège aussi les dossiers en cas de vol ou de perte.
Une bonne nouvelle pour les petites structures : le considérant 91 du RGPD précise que le traitement des données de clients par un avocat exerçant à titre individuel n’est pas « à grande échelle », si bien qu’une analyse d’impact n’est pas obligatoire dans ce cas. Les mesures de sécurité, elles, restent dues.
Le secret médical, cousin du secret de l’avocat
Le même article du Code pénal protège le secret des médecins, avec des règles d’accès plus précises. Elles sont réunies dans le VPN du cabinet médical.
Les chiffres des clients
Experts-comptables et fiduciaires tiennent eux aussi des dossiers couverts par le secret, avec moins de règles écrites. Leur situation est décrite dans le VPN de la fiduciaire.
Quand une analyse d’impact s’impose
Un cabinet de plusieurs associés ne bénéficie plus de l’exception du considérant 91, sans que l’analyse devienne automatique pour autant. La frontière est tracée dans l’analyse d’impact de l’accès distant.