confidentialite-rgpd

Catégorie :
confidentialite-rgpd
daTE :
Réversibilité des données d'un cabinet d'avocats : ce que le RGPD impose, l'angle mort du coût de sortie, et les questions à poser avant de signer un contrat.
« Restitution des données ». Trois mots que vous trouverez à la clause de réversibilité de presque tous les contrats d'éditeurs juridiques. Trois mots qui, tels quels, n'engagent à rien de vérifiable.
Un avocat lit un contrat comme il relit une clause qu'il opposera un jour. Faites-le pour le vôtre. Une obligation dont ni le format ni le délai ne sont déterminés se satisfait de n'importe quoi : un export PDF de 400 pages en respecte la lettre. Vous ne pourriez rien en faire, et c'est précisément ce que la rédaction organise. La question n'est donc pas de savoir si vos données sont « restituables », mais dans quel format, sous quel délai, à quel coût — et cela dépend de la donnée dont on parle.
Trois situations, pas une seule
Le droit ne vous laisse pas seul face à ce flou. Mais il faut distinguer trois cas, car ils ne relèvent ni du même texte, ni du même délai, ni des mêmes bénéficiaires.
Vos propres données, si vous exercez en nom propre. L'article 20 du RGPD reconnaît à toute personne physique le droit de recevoir les données qu'elle a elle-même fournies à un responsable de traitement, dans un format structuré, couramment utilisé et lisible par machine (texte du règlement). Si vous êtes avocat exerçant à titre individuel, ce droit s'applique à vos propres données de compte chez votre éditeur — profil, facturation personnelle — avec un délai de réponse d'un mois (article 12, §3). C'est un vrai droit, opposable, mais il s'arrête là : il ne couvre ni les dossiers de vos propres clients, ni votre structure si vous exercez en société (SELARL, SCP…), qui n'est pas une personne physique et n'a donc aucun droit de portabilité au sens de cet article.
Les données personnelles de vos clients, hébergées par votre éditeur. Là, c'est votre cabinet qui est responsable de traitement, et votre éditeur qui est sous-traitant au sens du RGPD. L'article 28, paragraphe 3, point g), impose à ce sous-traitant, à la fin de la prestation, de restituer ou supprimer ces données selon votre choix, et de détruire les copies existantes sauf obligation légale de conservation contraire. Cette clause fait partie du socle contractuel obligatoire de tout contrat de sous-traitance — elle ne se négocie pas, elle se vérifie. Aucun délai légal chiffré n'encadre ce point au-delà de « la fin de la prestation » : c'est au contrat de le préciser.
L'ensemble de votre matière métier — pièces, actes, facturation, données non personnelles comprises. Depuis le 12 septembre 2025, le Data Act (règlement UE 2023/2854) encadre spécifiquement le changement de fournisseur de services de traitement de données, catégorie qui recouvre explicitement le SaaS. Son chapitre VI impose à votre éditeur de supprimer tout obstacle précommercial, commercial, technique, contractuel ou organisationnel à votre départ, et de permettre l'export de vos données dans un format structuré et exploitable — sans se limiter aux seules données personnelles. C'est le texte qui comble ce que ni l'article 20 ni l'article 28 ne couvrent : votre matière propre, celle qui n'appartient à aucune personne physique identifiée.
Trois textes, trois bénéficiaires, trois délais. Un cabinet qui ne fait pas cette distinction risque d'invoquer le mauvais article face à un éditeur - et de perdre la discussion avant même de l'avoir commencée.
L'angle mort est comptable
Quand un cabinet compare deux logiciels de gestion, il regarde le prix d'entrée : l'abonnement mensuel, le nombre d'utilisateurs, les options. Presque jamais le prix de sortie. Or le coût de récupération de vos données est réel : remise en forme d'un export inexploitable, ressaisie, prestation de migration facturée par l'éditeur que vous quittez, semaines pendant lesquelles deux systèmes tournent en parallèle. Ce coût ne figure sur aucune plaquette. Il apparaît le jour où vous partez, au pire moment pour négocier. En gestion de cabinet, on retraite volontiers le coût de l'ancien contrat ; on oublie de réintégrer celui du passage. On présente alors comme nul un investissement qui ne l'est pas.
Le Data Act change la donne sur ce point précis : il prévoit une suppression progressive des frais de changement de fournisseur, jusqu'ici laissés à la seule discrétion de l'éditeur.
Les questions à poser, par écrit, avant de signer
Vous n'avez pas à devenir ingénieur pour vous protéger. Quatre questions, adressées par écrit avant la signature, révèlent l'essentiel :
L'export couvre-t-il l'ensemble de mes données, métier et personnelles, dans un format structuré et documenté, et non un simple PDF ?
Sous quel délai la restitution intervient-elle une fois la demande formulée, et à quel coût ?
Le changement de fournisseur est-il inclus dans l'abonnement, ou facturé comme une prestation au moment du départ ?
Une documentation technique décrit-elle la structure du fichier, afin qu'un autre outil puisse le reprendre ?
Un éditeur honnête répond à ces questions par écrit, et vite. Celui qui renvoie au service commercial, ou qui répond par un principe sans jamais s'engager sur un format et un délai, vous a déjà renseigné. Notez la date de votre message. Le temps qu'il met à répondre fait partie de la réponse.
Ce qui se joue vraiment
La réversibilité n'est plus seulement une clause technique reléguée en annexe : c'est désormais une obligation légale à plusieurs étages, portée à la fois par le RGPD et par un texte européen construit spécifiquement pour empêcher le verrouillage commercial. Un outil qui vous rend vos données facilement vous dit qu'il compte vous garder par sa qualité. Les autres comptent sur autre chose. Vous défendez l'indépendance de vos clients toute la journée ; commencez par exiger la vôtre dès la première ligne du contrat.
Questions fréquentes
La portabilité RGPD suffit-elle à récupérer toutes les données de mon cabinet ?
Non, et cela dépend en plus de qui demande quoi. La portabilité de l'article 20 du RGPD ne concerne que les données personnelles qu'une personne physique a fournies elle-même - si vous exercez en nom propre, cela couvre vos propres données de compte chez votre éditeur, pas les dossiers de vos clients. Pour les données personnelles de vos clients, c'est l'article 28 du RGPD (obligations du sous-traitant) qui s'applique. Pour l'ensemble de votre matière métier, c'est le Data Act, en vigueur depuis septembre 2025, qui impose à l'éditeur de lever les obstacles au changement de fournisseur.
Quel format demander pour un export réellement exploitable ?
Un format structuré et lisible par machine, par exemple CSV ou JSON pour vos données de gestion, accompagné d'une documentation qui en décrit la structure, plutôt qu'un PDF ou une impression. Vos pièces et documents (actes, correspondances) devront en plus être restitués sous forme d'arborescence de fichiers exploitable - un export « propre » ne se limite pas à des tableaux.
Sous quel délai un éditeur doit-il restituer les données de mon cabinet ?
Cela dépend de la donnée. Si vous exercez en nom propre, le RGPD vous donne un mois pour vos propres données de compte (article 12, §3) - mais uniquement celles-ci. Pour les données personnelles de vos clients, l'éditeur doit les restituer ou les supprimer à la fin du contrat (article 28, §3, g du RGPD), sans délai chiffré au-delà de cette échéance. Pour l'ensemble de votre matière métier, le Data Act encadre depuis septembre 2025 l'obligation de lever les obstacles au changement de fournisseur - le délai exact reste à faire préciser avant publication. Dans tous les cas, un délai chiffré et une pénalité contractuelle en cas de dépassement restent la seule garantie qui vaille en pratique.
L'export de mes données peut-il m'être facturé au moment du départ ?
De moins en moins : le Data Act prévoit une suppression progressive des frais de changement de fournisseur facturés par l'éditeur. En attendant l'application complète de cette règle, exigez que la gratuité de l'export figure par écrit avant la signature : au moment du départ, vous n'avez plus aucun pouvoir de négociation.
Nos autres articles

Confidentialité & RGPD
Louis de Valbray
·
Réversibilité des données : ce que la loi impose vraiment
Réversibilité des données d'un cabinet d'avocats : ce que le RGPD impose, l'angle mort du coût de sortie, et les questions à poser avant de signer un contrat.

Choisir son logiciel
Louis de Valbray
·
Choisir un logiciel de gestion pour son cabinet d'avocats
Comment choisir un logiciel de gestion pour un cabinet d'avocats : cinq critères à poser par écrit, au-delà de la démonstration, pour garder votre liberté.

IA au cabinet
Louis de Valbray
·
L'IA au cabinet : sur vos termes, pas ceux de l'éditeur
L'IA entre au cabinet sans décision formelle. La vraie question n'est pas d'en user ou non, mais de savoir qui contrôle les données qu'elle exploite vraiment.