Le guide du Conseil national des barreaux consacré aux avocats et au RGPD recommande de limiter les accès aux seules personnes habilitées et d'activer l'authentification à plusieurs facteurs. Le même guide rappelle que le secret professionnel s'étend aux données numériques, sans distinction de lieu : un dossier reste couvert qu'il soit consulté au cabinet, à domicile ou dans le train. Ces deux recommandations posent, à elles seules, toute la difficulté du télétravail. Il ne s'agit pas de savoir si l'on protège, mais comment protéger sans que la protection devienne un mur que chacun finit par contourner.
Cette tension est réelle, et elle mérite mieux qu'un discours d'interdits. Voici comment je la traite en pratique, où s'arrête mon rôle, et par quoi commencer.
Ce que le télétravail change au quotidien
Un cabinet ne s'arrête pas à la porte du bureau. Un collaborateur relit des pièces le soir, un associé consulte un dossier depuis chez lui avant une audience, un stagiaire prépare une note en déplacement. Le travail se fait sur Secib, Kleos ou Jarvis, sur la messagerie, sur les pièces communiquées par les clients, et il faut y accéder d'ailleurs que du poste habituel.
La question pratique est simple : par quel chemin ces dossiers arrivent-ils chez la personne qui travaille à distance ? En pratique, dans un cabinet, deux réponses coexistent. Soit le collaborateur accède au dossier là où il est, sur le serveur du cabinet, sans le déplacer. Soit il en fait une copie pour aller plus vite : un fichier glissé sur une clé USB, un dossier déposé sur un Drive personnel, un document ouvert et enregistré sur l'ordinateur familial. La deuxième solution paraît plus commode. C'est aussi celle qui disperse le secret professionnel hors des murs du cabinet, une copie à la fois.
Ce n'est pas une question de négligence. C'est presque toujours une question de facilité. Quand le chemin officiel est lent, mal expliqué ou coupé au mauvais moment, chacun trace le sien. La sécurité qui complique n'est pas appliquée, elle est contournée. D'expérience, je recommande d'inverser le raisonnement : rendre le bon chemin plus simple que le mauvais, plutôt que d'empiler des interdits qui poussent au contournement.
Ce que la copie disperse
Quand le télétravail repose sur la copie plutôt que sur l'accès, quatre risques reviennent, et aucun ne relève de la fatalité :
- La divulgation. Une pièce couverte par le secret, copiée sur un support personnel, échappe aux protections du cabinet. Si le support est perdu, volé ou partagé, le secret l'est avec.
- La multiplication des copies non maîtrisées. Chaque copie est un exemplaire de plus qu'il faudra un jour retrouver, sécuriser ou effacer, et dont plus personne ne tient l'inventaire.
- La perte de contrôle sur l'appareil. Un ordinateur familial est partagé, souvent moins à jour, parfois sans chiffrement du disque. Le dossier y côtoie les usages de toute la maison.
- L'accès qui reste ouvert. Un accès distant ouvert pour un collaborateur, puis jamais refermé à son départ, reste une porte sur les dossiers du cabinet, longtemps après.
Ces risques ne sont pas propres au télétravail, mais celui-ci les amplifie, parce qu'il multiplie les lieux et les appareils. La bonne nouvelle, c'est qu'ils se traitent avec des moyens techniques connus.
La réponse technique : un chemin unique, et simple
Le principe que j'applique : par défaut, il vaut mieux privilégier un accès contrôlé aux dossiers plutôt que leur copie sur un appareil personnel. Concrètement, cela veut dire donner accès à un environnement de travail maîtrisé, où qu'il soit hébergé : le serveur du cabinet, un bureau virtuel, ou un service en ligne professionnel. Le collaborateur travaille sur les dossiers là où ils vivent, sans les faire sortir sur son appareil. Le poste distant devient une fenêtre sur le cabinet, pas un entrepôt de copies.
L'objectif n'est pas de tout verrouiller au point que plus personne ne travaille. C'est de rendre le contournement inutile, parce que le chemin officiel est le plus rapide.
La politique d'accès en cinq règles
Plutôt qu'un empilement d'interdits, cinq règles suffisent à cadrer le télétravail d'un cabinet. Elles sont courtes, écrites, et chacune se vérifie.
Règle 1 : privilégier l'accès, pas la copie. Un environnement de travail maîtrisé, où qu'il soit hébergé, où l'on consulte et modifie les dossiers sans les recopier sur un appareil personnel. Une règle plutôt qu'une interdiction absolue : la copie locale reste possible pour un cas particulier, mais elle est l'exception encadrée, pas le réflexe quotidien.
Règle 2 : authentification à plusieurs facteurs sur tout accès distant. Le guide du CNB la recommande explicitement. En pratique, elle ajoute une étape brève à la connexion, une confirmation sur le téléphone. C'est peu de secondes en échange d'une barrière qui rend un mot de passe volé beaucoup moins exploitable. Le point n'est pas théorique : parmi les entreprises victimes d'un incident de sécurité en 2025, 43 % identifient l'hameçonnage comme cause, soit 19 points de plus qu'un an plus tôt (sondage OpinionWay pour Cybermalveillance.gouv.fr). Or l'hameçonnage cherche justement à capter des identifiants, que le second facteur rend inutilisables seuls.
Règle 3 : des appareils à jour et chiffrés. Un appareil n'accède aux dossiers que s'il est à jour et si son disque est chiffré. L'ordinateur familial partagé ne sert jamais à stocker un dossier. Une règle écrite tranche ces cas au départ, pas au moment de l'incident.
Règle 4 : un canal dédié pour les pièces. Jamais une boîte personnelle ni un Drive personnel pour transmettre une pièce. Le CNB propose des briques dédiées aux avocats, comme e-Mail, e-Drive et e-Partage sécurisé, pour que les échanges et le partage passent par des canaux maîtrisés plutôt que par un service grand public.
Règle 5 : révoquer les accès au départ. Chaque accès ouvert pour un collaborateur est refermé le jour de son départ, dans un délai connu. C'est le point le plus souvent oublié, et le plus facile à écrire à l'avance.
Un canal chiffré unique entre l'extérieur et l'environnement de travail remplace ainsi les envois par messagerie personnelle et les copies sur support. Le contournement devient inutile, parce que le chemin officiel est le plus rapide.
Où en êtes-vous, en sept questions
Ces questions n'exigent aucune compétence technique. Leurs réponses disent où vous en êtes.
- Vos collaborateurs accèdent-ils aux dossiers à distance, ou en fabriquent-ils des copies pour travailler chez eux ?
- L'authentification à plusieurs facteurs est-elle activée sur les accès distants au cabinet ?
- Un ordinateur familial partagé sert-il, aujourd'hui, à consulter des dossiers ?
- Des pièces transitent-elles par un Drive personnel, une clé USB ou une messagerie grand public ?
- Les accès distants sont-ils révoqués au départ d'un collaborateur, et en combien de temps ?
- Les postes utilisés à distance sont-ils à jour et leur disque chiffré ?
- Existe-t-il une règle écrite, courte, qui dit quels appareils peuvent accéder aux dossiers ?
La règle technique, c'est moi ; la ligne dans un dossier, c'est vous
C'est une limite que je tiens à poser clairement, parce qu'elle vous protège. Je mets en place l'environnement d'accès maîtrisé, l'authentification à plusieurs facteurs et la règle d'appareils. Je fais en sorte que le chemin sûr soit aussi le plus simple, pour qu'il soit réellement suivi.
En revanche, apprécier ce que le secret professionnel impose dans un dossier précis, décider si telle affaire particulièrement sensible mérite une règle plus stricte, arbitrer un cas limite entre confort de travail et confidentialité : cela reste votre responsabilité, avec votre délégué à la protection des données le cas échéant. Je fournis les moyens et l'organisation technique. La ligne, dans un dossier donné, c'est vous qui la tracez.
Le départ d'un collaborateur, ligne par ligne
Le jour d'un départ, la question n'est pas de faire confiance, c'est de ne rien oublier. Voici la checklist que je déroule, à cocher une à une.
Chaque ligne est un geste technique que je peux mener ou piloter. Ce qui reste à l'avocat, c'est de décider ce que le dossier impose au-delà de la révocation, par exemple pour un contentieux encore ouvert.
Par où commencer
Je ne promets pas des accès inviolables : ce serait une promesse que personne ne peut tenir. Ce qui est utile et honnête, c'est de commencer par un point précis et vérifiable. Trois pas se mènent en quelques heures et donnent une base solide : une revue des accès distants pour voir qui accède à quoi et par quel chemin, l'activation ou la vérification de l'authentification à plusieurs facteurs, et l'écriture d'une règle d'appareils courte que vos collaborateurs peuvent réellement suivre.
Une remarque de fin, sur la souveraineté. La question du lieu d'hébergement des dossiers auxquels on accède à distance a son importance : savoir où sont physiquement stockées vos données, et sous quel contrôle, est une étape possible ensuite. C'est une destination, pas un préalable. On commence par ce qui protège tout de suite.
Si vous voulez en discuter, écrivez-moi le point de la grille ci-dessus qui vous préoccupe le plus, et je vous dis par quoi il serait raisonnable de commencer.
Questions fréquentes
Un collaborateur peut-il travailler sur son ordinateur personnel ?
Cela dépend de l'appareil et de la manière. S'il accède aux dossiers à distance, sans les copier, sur un poste à jour et chiffré, le risque est nettement réduit. S'il enregistre des dossiers sur un ordinateur familial partagé, une copie couverte par le secret échappe alors aux protections techniques du cabinet ; le secret continue juridiquement de s'appliquer, même lorsque le fichier est copié sur un appareil personnel. La règle d'appareils sert précisément à trancher ces cas au départ, plutôt qu'au moment de l'incident.
L'authentification à plusieurs facteurs ne ralentit-elle pas le travail ?
Elle ajoute une étape courte à la connexion, souvent une confirmation sur le téléphone. En pratique, l'appliquer aux accès distants et non à chaque ouverture de document la rend indolore au quotidien, tout en protégeant l'entrée. Le CNB la recommande dans son guide RGPD.
Faut-il interdire le télétravail sur les dossiers les plus sensibles ?
C'est une décision qui vous revient, dossier par dossier. Techniquement, on peut restreindre certains accès à des appareils précis ou au seul cabinet. Mais l'appréciation de ce qu'un dossier sensible autorise relève de vous, pas de moi. Je fournis les moyens de faire respecter la règle que vous fixez.
Faut-il un canal spécifique pour envoyer des pièces à un client en télétravail ?
Oui, mieux vaut un canal dédié qu'une boîte personnelle. Le CNB propose e-Mail, e-Drive et e-Partage sécurisé pour transmettre des documents par un chemin maîtrisé. C'est le sujet d'un article dédié, sur la messagerie et le partage de pièces.
Sources
- Conseil national des barreaux, Les avocats et le RGPD (guide pratique) : limiter les accès aux personnes habilitées, activer l'authentification à plusieurs facteurs.
- Conseil national des barreaux, La sécurité numérique du cabinet d'avocat (guide) : accès, appareils, continuité.
- Conseil national des barreaux, e-Mail, e-Drive et e-Partage sécurisé.
- CNIL, Guide de la sécurité des données personnelles : authentification, chiffrement des postes, gestion des accès.
- Sondage OpinionWay pour Cybermalveillance.gouv.fr, Maturité cyber des TPE-PME 2025 (entreprises victimes) : l'hameçonnage première cause identifiée (43 %, +19 pts).