L'actualité en pratique
CONFIDENTIALITÉ · PSEUDONYMISATION
« Nos données ne doivent pas sortir du cabinet »
L’objection est la bonne, et la plupart des réponses qu’on y apporte n’en sont pas. Une clause de confidentialité ne répond pas à la question posée.
Pour les cabinets et directions juridiques qui refusent tout traitement externe de leurs dossiers. Ce que vaut un engagement contractuel, et où se situe la seule question qui tranche.
C'est la première objection, elle est formulée dans tous les cabinets et dans toutes les directions juridiques, et elle est fondée. Celui qui la soulève ne fait pas obstacle par principe : il applique une obligation dont le manquement l'expose personnellement. La réponse habituelle consiste à produire une clause de confidentialité et un engagement de non-utilisation des données. Cette réponse est sérieuse et elle ne répond pas à la question posée.
Ce que vaut un engagement contractuel
Il vaut beaucoup, et il faut commencer par là plutôt que de le traiter avec condescendance. Un engagement de confidentialité assorti d'une clause pénale, d'une obligation d'audit et d'un régime de responsabilité déplafonné constitue une protection juridique réelle. Le fournisseur qui le viole s'expose à des conséquences sérieuses, et cette perspective est en soi un facteur de sécurité.
Il organise la réparation. C'est sa fonction, et c'est efficace pour la quasi-totalité des risques qu'un cabinet rencontre : un défaut de service, un retard, une prestation non conforme.
Il ne fait pas autre chose, et c'est là que le raisonnement s'arrête habituellement sans aller jusqu'au bout.
Ce qu'un cabinet vérifie réellement aujourd'hui
Il vaut la peine de décrire la pratique courante, parce qu'elle est plus faible que ce que les cabinets croient.
Le contrat est relu, souvent bien : étendue de l'engagement, régime de responsabilité, clause pénale, loi applicable. Ce travail porte entièrement sur les conséquences d'un manquement.
Ce qui n'est presque jamais vérifié est l'antécédent : ce que le fournisseur fait effectivement des données. La documentation technique, quand elle existe, est lue comme une déclaration de plus. C'est une description de faits, et elle se vérifie autrement qu'un engagement.
Pourquoi la réparation ne suffit pas ici
Le secret professionnel n'est pas une obligation de résultat assortie d'un dédommagement. C'est une obligation dont le manquement est, en lui-même, le dommage.
Une information couverte par le secret sort du cabinet et devient accessible à un tiers. Le fournisseur est en faute, il indemnise, la clause pénale joue. Qu'est-ce qui a été réparé ? Le préjudice financier du cabinet, éventuellement. Pas la situation du client, ni la position de l'avocat au regard de son obligation.
On peut le formuler autrement : un cabinet ne peut pas se protéger contre une violation du secret par un mécanisme qui suppose que la violation ait eu lieu. La clause est une réponse à un risque de dommage, et le secret pose un problème de nature différente.
S'ajoute une difficulté probatoire : pour actionner la clause, il faut établir qu'une divulgation a eu lieu, donc la découvrir. Or la circulation d'une information n'est presque jamais détectable de l'extérieur, et un cabinet l'apprend par ses conséquences, des mois plus tard, sans pouvoir remonter à sa source.
Un cabinet ne peut pas se protéger contre une violation du secret par un mécanisme qui suppose que la violation ait déjà eu lieu.
Le cas du sous-traitant ultérieur
Une difficulté particulière mérite d'être isolée, parce qu'elle échappe entièrement au raisonnement contractuel classique.
Le fournisseur avec lequel le cabinet contracte n'exécute presque jamais seul. Il recourt à un hébergeur, parfois à un fournisseur de modèle, parfois à des prestataires d'infrastructure. Ces tiers ne sont pas parties au contrat du cabinet, et l'engagement pris à son égard ne les lie que par la chaîne des contrats en amont.
Le cabinet demande donc à son client de faire confiance à une chaîne dont il ne connaît ni la longueur ni les maillons. La clause organise une responsabilité en cascade sans réduire le nombre d'endroits par lesquels l'information passe.
C'est pourquoi la question du nombre de maillons est aussi importante que celle de leur solidité, et elle relève entièrement du fait, non de la rédaction.
Anonymisation et pseudonymisation : ce que chacune traite
Une réponse intermédiaire est souvent proposée : retirer les éléments identifiants des documents avant traitement. Elle est raisonnable, elle est efficace, et elle appelle deux précisions.
La première tient au vocabulaire, et elle n'est pas cosmétique. L'anonymisation est irréversible par définition : si l'on peut rétablir les éléments, il s'agit d'une pseudonymisation, quelle que soit la robustesse du procédé. Or un livrable juridique doit porter les noms réels : la restitution est donc nécessaire, et le régime applicable est celui de la pseudonymisation. Un fournisseur qui emploie le mot anonymisation pour un dispositif réversible décrit mal ce qu'il fait, et cette imprécision devrait alerter.
La seconde tient à ce que le procédé protège. Remplacer les noms, sociétés et adresses par des identifiants opaques réduit considérablement ce qu'un tiers pourrait faire d'une fuite : il obtient une structure juridique sans savoir qui elle concerne. C'est nettement supérieur à un engagement contractuel, puisque cela agit sur le fait plutôt que sur sa réparation.
Reste que le secret professionnel ne porte pas seulement sur des identifiants. Un projet de cession décrit avec ses montants, son secteur et son calendrier peut rester reconnaissable par quelqu'un du milieu. La pseudonymisation réduit fortement l'exposition sans l'annuler, et c'est ainsi qu'il faut l'évaluer : comme une mesure de réduction, pas comme une garantie d'impossibilité.
Ce que des juridictions étrangères ont retenu
Deux décisions rendues à l'étranger éclairent le raisonnement, à condition de ne pas les transposer : le privilège des correspondances de droit anglo-américain n'est pas le secret professionnel français.
En novembre 2025, une juridiction britannique s'est prononcée sur la conduite d'un praticien ayant soumis des courriels de clients et des décisions officielles à un assistant grand public. Sa formulation, reprise au sommaire du jugement publié, est d'une netteté inhabituelle : téléverser des documents confidentiels dans un outil ouvert revient à placer cette information dans le domaine public, et donc à manquer à la confidentialité due au client.
Le point décisif n'est pas la sévérité de la formule, c'est ce qu'elle ne dit pas. Aucune fuite n'avait été identifiée, aucun client ne s'était plaint : le manquement était constitué par le téléversement lui-même. C'est ce qu'une clause ne peut pas saisir, puisqu'elle organise la réparation d'un préjudice.
En février 2026, un tribunal fédéral américain a jugé dans le même sens, retenant que la politique du fournisseur excluait toute attente raisonnable de confidentialité. Une autre juridiction fédérale a jugé l'inverse le même jour : la jurisprudence est divergente, et il serait imprudent d'en tirer une règle.
Ce qui traverse ces décisions, en revanche, est un constat que la divergence n'entame pas : le canal employé détermine le niveau de protection, indépendamment de l'intention de celui qui l'emploie.
La question qui tranche réellement
Elle ne porte pas sur les engagements pris, elle porte sur les faits : qu'est-ce qui sort effectivement du cabinet, et où va-t-il ?
Cette question a une réponse factuelle, vérifiable, indépendante de toute promesse. Elle se décompose en quatre points que tout cabinet peut poser à tout fournisseur, y compris à celui qu'il utilise déjà.
Quelles données quittent l'infrastructure du cabinet, et sous quelle forme : le document entier, un extrait, une version pseudonymisée, une représentation dérivée, des métadonnées ?
Où sont-elles traitées, physiquement, et sous quelle juridiction ces installations se trouvent-elles ?
Combien de temps y séjournent-elles, et que reste-t-il après traitement ?
Qui, chez le fournisseur, peut techniquement y accéder ; et si un procédé de pseudonymisation est employé, où la table de correspondance est-elle conservée et qui détient la clé ?
Ces quatre réponses décrivent une architecture. Elles ne dépendent d'aucune bonne foi, elles se vérifient, et elles ne varient pas selon la qualité de la rédaction contractuelle.
Ces quatre questions appellent des réponses écrites et signées par quelqu'un qui engage le fournisseur. Une réponse évasive est en elle-même une information.
Pourquoi l'architecture répond là où la clause ne peut pas
Une donnée qui ne sort pas ne peut pas être divulguée. Une donnée qui sort sous une forme dont on ne peut rien tirer sans une clé conservée ailleurs ne peut pas l'être davantage. Dans les deux cas, il n'y a rien à faire respecter, rien à surveiller, rien à établir devant un juge : la protection tient à un état de fait et non à un comportement futur.
La question de la clé mérite d'être posée systématiquement, parce qu'elle décide de tout. Un procédé de pseudonymisation dont la correspondance est conservée au même endroit et accessible aux mêmes personnes que les données ne protège de rien : il ajoute une étape, pas une barrière. Le même procédé avec une correspondance chiffrée dont la clé n'est pas stockée avec les données chiffrées change la nature du risque.
La différence avec l'approche contractuelle est celle qui sépare une promesse d'une propriété. Une promesse peut être tenue ou non, et son respect dépend d'un comportement futur. Une propriété d'architecture est vérifiable au moment où on la constate et elle ne dépend du comportement de personne.
C'est ce déplacement qui rend l'objection soluble. Non pas en la rassurant par des engagements plus fermes, ce qui ne change pas sa nature, mais en la déplaçant vers un terrain où elle admet une réponse factuelle.
Le cas particulier des dossiers déjà sensibles
Tout ce qui précède vaut pour l'ensemble des dossiers d'un cabinet. Une catégorie appelle un traitement distinct, et il vaut mieux la traiter séparément que de chercher une réponse unique.
Il s'agit des dossiers où l'identité même des parties est confidentielle : opérations non annoncées, enquêtes internes, procédures sensibles. Pour ceux-là, la question n'est pas de savoir ce qui sort mais de savoir si l'existence du dossier peut être connue d'un système extérieur, ce qui est une exigence plus forte.
La réponse raisonnable est l'exclusion pure, décidée à l'avance et inscrite dans la gouvernance du cabinet. Un dispositif qui prétendrait couvrir tous les dossiers sans exception devrait éveiller la méfiance : il existe des cas où le seul traitement acceptable est l'absence de traitement, et un fournisseur sérieux le dit.
Cette exclusion a une conséquence pratique : elle suppose que le système sache ne pas voir certains dossiers, ce qui est une propriété technique et non une consigne d'usage. C'est encore une question d'architecture.
Ce que cela implique pour une couche professionnelle
Cette exigence vaut pour tout dispositif, y compris pour ceux qui s'adressent aux professionnels du droit, et il serait malhonnête de prétendre le contraire.
Une couche de traitement juridique s'appuie sur des modèles généraux, ceux-là mêmes que le marché connaît. Ce qui la distingue d'un compte grand public n'est donc pas l'absence de traitement externe, c'est ce qui sort et sous quelle forme : des pièces dont les éléments identifiants ont été remplacés localement avant tout envoi, une table de correspondance chiffrée dont la clé n'est pas conservée avec les données, un régime contractuel professionnel excluant l'entraînement.
Le lecteur est donc fondé à poser à tout fournisseur, y compris à celui qui écrit ces lignes, les quatre questions qui précèdent, et à exiger des réponses écrites. Un dispositif qui répondrait qu'aucune donnée ne sort jamais mériterait d'être examiné de près : c'est une affirmation que très peu d'architectures permettent de tenir.
Ce que l'objection continue légitimement de recouvrir
Elle ne disparaît pas entièrement, et il serait malhonnête de le prétendre. Trois points subsistent quelle que soit l'architecture retenue.
Le premier est l'accès interne. Un système donnant à tout le cabinet une vue sur tous les dossiers crée un problème de secret à l'intérieur même du cabinet : la question des cloisonnements ne se règle pas par le fait que les données ne sortent pas.
Le deuxième est la traçabilité. Savoir est une chose ; pouvoir le démontrer à un client, à un ordre ou à un juge en est une autre, et cela suppose des traces que quelqu'un doit avoir prévues.
Deux épisodes récents en donnent la mesure. En 2026, une brèche survenue chez un grand fournisseur de recherche juridique a exposé des données liées à plusieurs milliers de clients entreprise, dont des cabinets. Et fin juillet 2026, des conversations partagées avec des assistants se sont retrouvées indexées par les moteurs de recherche : leurs auteurs avaient choisi de les partager, presque aucun ne s'attendait à ce que les pages deviennent trouvables.
Aucun des deux ne résulte d'un manquement contractuel : l'un est un incident de sécurité, l'autre une conséquence non anticipée d'une fonctionnalité. Dans les deux cas, la clause aurait été parfaitement respectée.
Le troisième point mérite d'être développé, parce qu'il est le plus mal traité. La durée.
Une architecture est un état, et les états changent : une évolution technique, un changement d'actionnaire chez le fournisseur, une migration d'infrastructure peuvent modifier ce qui a été vérifié à l'entrée. Ce qui a été constaté une fois ne vaut pas engagement pour la suite, et rien n'oblige un fournisseur à signaler spontanément une modification qui ne rompt aucune clause.
La réponse tient en une exigence contractuelle simple, et c'est le seul endroit où le contrat retrouve toute son utilité : l'obligation de notifier préalablement toute modification affectant le traitement ou la localisation des données, assortie d'un droit de résiliation. Le contrat ne protège pas le secret, il protège la connaissance que le cabinet a de son propre dispositif.
Cette vérification n'est donc pas un acte unique mais une exigence récurrente, à porter dans la gouvernance du cabinet au même titre que le renouvellement d'une police d'assurance.