Un cabinet confie à son logiciel ce qu'il possède de plus sensible : des dossiers couverts par le secret professionnel, la matière même de son métier. La question de leur cloisonnement se pose pourtant rarement au moment de signer, alors qu'elle devrait précéder toutes les autres.

Sur une infrastructure mutualisée, que vous partagez avec des centaines d'autres avocats, une interrogation mérite d'être posée avant les fonctionnalités et avant le prix : qu'est-ce qui garantit que vos données ne croisent jamais celles d'un confrère, fût-il votre adversaire dans un même dossier ?

Une obligation qui n'a rien de facultatif

La réponse ne relève pas de la confiance que l'on accorde, mais de la démonstration que l'on exige. L'article 32 du RGPD impose de garantir « la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes » qui hébergent les données, et cite expressément le chiffrement et la pseudonymisation parmi les mesures attendues (texte du règlement). L'obligation pèse sur l'éditeur ; encore faut-il qu'il l'assume et qu'il accepte d'en administrer la preuve.

Il y a plus. En hébergeant les données de votre cabinet, votre éditeur agit le plus souvent comme sous-traitant au sens de l'article 28, lequel réserve le traitement aux prestataires « qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». La qualité de ces garanties n'est pas un argument commercial : c'est une condition de licéité. Elle relève de la même exigence de preuve que la propriété des données, qui ne se démontre pas par une déclaration. Un éditeur qui ne sait pas décrire les siennes ne vous fait pas seulement courir un risque ; il vous place, vous, en délicatesse avec vos propres obligations.

La preuve, non la parole

Un éditeur sérieux ne vous oppose pas le secret industriel lorsqu'on l'interroge sur ce terrain. Il documente le cloisonnement entre cabinets, il nomme le lieu d'hébergement et le droit qui s'y applique, il produit les audits et certifications qui étayent ses affirmations, il précise le format et le délai de restitution de vos données, et il décrit sans détour ce qui se produit le jour où une faille survient. L'éditeur qui vous répond « faites-nous confiance » vous demande, lui, très exactement ce qu'aucun de vos clients n'accepterait de vous : une obligation de résultat privée de la preuve qui la rend opposable.

Le jour de l'incident

Reste l'épreuve du réel, celle qui départage les discours. En cas de violation de données, l'article 33 du RGPD impose une notification à l'autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard ». Demandez à votre éditeur comment il tient ce délai : qui vous prévient, dans quel ordre, avec quelle information. La réponse vous dira si un incident a été anticipé comme une éventualité sérieuse, ou s'il sera géré dans l'improvisation, à vos dépens.

Trois questions écrites suffisent

Vous n'avez pas à devenir ingénieur pour trancher. Trois questions, adressées par écrit, révèlent l'essentiel. Elles s'ajoutent aux cinq du guide pour choisir un logiciel de gestion de cabinet :

1. Où mes données sont-elles hébergées, et sous quel droit ?

2. Comment l'isolation entre cabinets est-elle assurée, et par qui est-elle vérifiée ?

3. Que se passe-t-il, concrètement et heure par heure, le jour d'un incident de sécurité ?

La qualité de ces réponses, et la vitesse à laquelle elles arrivent, disent déjà l'essentiel : si l'on vous traite en client dont on protège la matière, ou en dépendance dont on exploite la confiance. La confidentialité de vos dossiers vaut mieux qu'une promesse. Elle vaut une preuve.