Le RGPD, entré en application le 25 mai 2018, encadre le traitement des données personnelles [2], c’est-à-dire, « toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement », sur le territoire de l’Union européenne.
Le RGPD, s’inscrivant dans la continuité de la Loi Informatique et Libertés de 1978, modifiée, permet de renforcer le contrôle par les citoyens [3] de l’utilisation qui peut être faite de leurs données personnelles et d’offrir aux professionnels un cadre juridique unique de leurs activités.
Le RGPD s’applique à toute organisation, publique et privée [4], qui traite des données personnelles pour leur compte ou pour le compte d’un tiers, dès lors qu’elle est établie sur le territoire de l’Union européenne, ou que son activité cible directement des résidents européens, conformément à l’article 2 de ce texte.
Les cabinets d’avocats, dans lesquels des données à caractère personnel sont traitées, dès lors qu’un avocat a un client, sont ainsi concernés par les dispositions du règlement, incluant les obligations mis à la charge du responsable du traitement.
Les principales obligations du RGPD applicables aux cabinets d’avocats.
Les cabinets d’avocats, en qualité de responsable du traitement, doivent se mettre en conformité avec le RGPD et respecter certaines obligations, au risque d’être sanctionné par la Commission nationale de l’Informatique et des Libertés (ci-après « Cnil »).
Se mettre en conformité avec la réglementation sur les données personnelles implique pour les cabinets de respecter plusieurs principes, notamment :
- la licéité, la loyauté et la transparence du traitement ;
- la limitation des finalités du traitement, la minimisation et l’exactitude des données ;
- la limitation de la conservation des données ;
- l’intégrité et la confidentialité des données.
Le respect de ces principes nécessite la mise en place de plusieurs mesures :
- informer et respecter les droits des personnes concernées : conformément aux articles 12 et 13 du RGPD, l’avocat doit informer toutes les personnes concernées du traitement de leurs données personnelles, d’une éventuelle transmission à des sous-traitants, de la durée de conservation, etc., afin qu’ils puissent, le cas échéant, exercer leurs droits. Cette information doit figurer sur le site internet de l’avocat, dans ses mentions d’information et sa politique de confidentialité ; ainsi que dans sa convention d’honoraires, au minimum ;
- sécuriser les données : le cabinet doit mettre en place des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », conformément à l’article 32 du RGPD [5]. Ces mesures peuvent être mises en place en gérant les utilisateurs d’un réseau partagé, en veillant à respecter des habilitations distinctes, en sauvegardant et prévoyant la continuité d’activité, en mettant en place des sauvegardes, par exemple ;
- tenir un registre des activités de traitement des données : conformément à l’article 30 du RGPD [6], un registre des activités de traitement des données personnelles doit obligatoirement être tenu pour les responsables du traitement de plus de 250 employés et lorsque le traitement « est susceptible de comporter un risque pour les droits et des libertés des personnes concernées, ou sur des données à caractère personnel relatives à des condamnations pénales et à des infractions visées ». La tenue d’un tel registre est recommandée pour tous les avocats, afin de démontrer à l’autorité de contrôle que sont mis en place des procédés garantissant la protection des données qu’ils traitent, mais ne va être obligatoire que pour les cabinets de grande taille ;
- veiller au respect de la durée de conservation et d’archivage des données : l’article 5 du RGPD [7] pose le principe selon lequel les responsables du traitement ne peuvent pas conserver les données au-delà de la durée nécessaire aux finalités pour lesquelles ils ont été collectés. Cela implique que les cabinets mettent en place une politique de durée de conservation ;
- collecter les données pour des finalités déterminées, explicites et légitimes : conformément au même article, les données à caractère personnel peuvent être recueillies et traitées seulement pour une finalité déterminée explicite et légitime, correspondant aux objectifs poursuivis par l’avocat, responsable du traitement ;
- notifier les violations de données personnelles : l’article 33 du RGPD [8] impose la notification à la Cnil, au plus tard dans les 72 heures après en avoir pris connaissance, d’une violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, et, lorsque ce risque est élevé, l’information des personnes concernées ;
- effectuer une analyse d’impact : lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, le responsable du traitement doit effectuer, avant toute mise en œuvre, une analyse d’impact, conformément à l’article 35 du RGPD [9] ;
- la désignation d’un délégué à la protection des données (ci-après « DPO ») : l’article 37 du RGPD [10] impose la désignation d’un DPO lorsque les activités principales de l’avocat l’amènent à réaliser un suivi régulier et systématique des personnes à grande échelle ou si ses activités de base l’amènent à traiter, à grande échelle, des catégories particulières de données, dites « sensibles », et des données relatives à des condamnations pénales et à des infractions. Une telle désignation concerne alors davantage les cabinets de grande taille. Cependant, même lorsque la désignation d’un DPO n’est que facultative, elle est fortement recommandée ;
- mettre le site internet du cabinet en conformité : les avocats, comme tous les responsables du traitement, doivent mettre certaines actions en place afin de mettre en conformité leur site internet [11], telles que : la rédaction et publication d’une politique de confidentialité, un bandeau cookies, des mentions d’informations sous chaque formulaire de collecte de données et assurer la sécurité des données collectées sur le site.
- se conformer au principe d’accountability qui impose aux cabinets de se pré-constituer la preuve de leur conformité, en documentant toutes les mesures mises en place.
La mise en conformité des cabinets d’avocats avec le RGPD est donc indispensable, les avocats étant des responsables du traitement au sens du RGPD, soumis à toutes ses dispositions.
