En bref : le Conseil National des Barreaux a actualisé en 2026 sa recommandation sur la dématérialisation des dossiers clients. L’article 66-5 de la loi de 1971 reste le socle, mais sept obligations pratiques s’y greffent — et plusieurs sont contrôlées dès l’audit Ordre. Voici lesquelles, et comment un coffre-fort installé chez vous y répond sans verrouiller votre cabinet à un éditeur étranger.
Vous attendez votre audit Ordre dans six mois. Vous savez que vous devrez expliquer comment vous protégez le secret professionnel sur les pièces que vos clients vous envoient — par mail, par WhatsApp, sur le Drive partagé que vous avez fini par ouvrir l’an dernier. L’idée vous met mal à l’aise. Vous avez raison : la grille de lecture du contrôleur ne ressemble pas à celle de 2019.
Depuis la dernière mise à jour de la recommandation CNB sur la dématérialisation, les contrôleurs disposent d’une liste claire de points à vérifier. La plupart découlent directement de l’article 66-5 de la loi du 31 décembre 1971, qui pose le secret comme absolu, général et illimité dans le temps. Le reste vient du RGPD, du RIN, et de la jurisprudence accumulée sur les fuites depuis 2020. Tour d’horizon.
Ce que dit exactement l’article 66-5
L’article 66-5 protège « toutes les correspondances échangées entre le client et son avocat, entre l’avocat et ses confrères », à l’exception de celles portant la mention « officielle ». Le texte étend cette protection « aux notes d’entretien et, plus généralement, à toutes les pièces du dossier ». Le mot pièce est large à dessein : il couvre le PDF que vous a envoyé votre client, le scan que vous avez fait au cabinet, la note que vous avez prise après l’entretien, et le tableau Excel de chronologie que vous avez construit pour préparer la conclusion.
La conséquence est claire : dès qu’un de ces objets quitte votre périmètre contrôlé — votre boîte mail Gmail, un Drive partagé avec votre stagiaire, un transfert WeTransfer — le secret n’est plus formellement protégé. La Cour de cassation l’a rappelé plusieurs fois : la matérialisation numérique n’efface pas l’obligation, elle la déplace sur celui qui choisit l’outil.
Les 7 obligations pratiques que regarde l’auditeur
1. La traçabilité des accès
L’auditeur veut pouvoir reconstituer qui, dans le cabinet, a accédé à un dossier donné, à quelle date, et depuis quel poste. Un Drive partagé qui logue uniquement l’ouverture d’un fichier ne suffit pas. Il faut un journal d’audit auquel vous pouvez prouver l’intégrité — c’est-à-dire que personne ne peut le modifier après coup, pas même vous.
2. La séparation par dossier
Le cloisonnement est explicitement demandé. Les pièces d’un dossier ne doivent pas être accessibles à un collaborateur qui n’est pas dessus. Sur un Drive structuré par dossier, tout le monde voit tout par défaut. Sur un coffre-fort qui applique le principe du moindre privilège, l’accès est explicite, dossier par dossier.
3. L’horodatage opposable de la réception
Lorsqu’un client dépose une pièce, vous devez pouvoir prouver à quelle date elle a été reçue — pas envoyée. Le timestamp d’un mail dans Gmail peut être contesté ; il dépend du serveur de messagerie. Une pièce déposée dans un coffre qui vous appartient et qui inscrit la date de réception dans son log immuable a une bien meilleure valeur probatoire.
4. La conservation chiffrée au repos
Pas seulement le chiffrement en transit (TLS) — le chiffrement quand le fichier dort sur le disque. La plupart des Drives grand public ne chiffrent pas par client. Un coffre-fort métier doit chiffrer au moins par dossier, idéalement avec une clé dont vous gardez la maîtrise.
5. La preuve de purge à la fin du dossier
Le RGPD impose une durée de conservation limitée. À la clôture du dossier, vous devez pouvoir prouver que les pièces ont été purgées — ou archivées sous une forme qui respecte la finalité initiale. Un Drive qui garde tout indéfiniment n’est pas conforme.
6. La résistance à la réquisition étrangère
Si vos pièces vivent chez un éditeur américain — TaxDome, HoneyBook, SuiteDash, Notion — elles sont accessibles par requête au titre du CLOUD Act, sans que vous en soyez informé. Le secret professionnel français ne s’oppose pas à une réquisition américaine. Pour un cabinet pénal ou affaires sensibles, c’est rédhibitoire.
7. La portabilité réelle des données
Le RGPD donne au client un droit à la portabilité. L’avocat doit pouvoir, sur demande, restituer les pièces d’un dossier dans un format lisible. Plusieurs SaaS rendent cette opération si lente ou si dégradée qu’elle décourage. Un coffre installé chez vous exporte un ZIP en quelques secondes.
Pourquoi un coffre-fort installé chez vous coche les sept cases d’un coup
La logique est simple. Quand le coffre tourne sur votre WordPress, hébergé chez OVH, Scaleway ou Infomaniak, vous avez la maîtrise du code, du serveur et de la juridiction. La traçabilité, la séparation, l’horodatage et le chiffrement deviennent des paramètres que vous contrôlez. La résistance à la réquisition étrangère est mécanique : aucun éditeur tiers n’a la main.
C’est exactement la promesse de Client Vault Pro : un plugin WordPress que vous installez, dont vous restez propriétaire, qui couvre les sept obligations de l’audit sans que vous ayez à composer avec un éditeur SaaS étranger. Vous gardez la main, vos clients restent à l’abri.
Ce que vous pouvez faire dès ce mois-ci
Vous n’avez pas besoin d’attendre l’audit pour avancer. Trois actions, dans cet ordre. Une : faites un inventaire honnête. Listez où vivent aujourd’hui les pièces de vos dix derniers dossiers. Vous serez probablement surpris. Deux : identifiez votre point de douleur le plus exposé — c’est généralement la pièce reçue par WhatsApp ou par mail non chiffré. Trois : choisissez un canal souverain pour le prochain dossier que vous ouvrez. Pas tous, juste le prochain. Vous verrez la différence sur la traçabilité dès la première semaine.
Le jour de l’audit, vous voulez pouvoir répondre sans hésiter aux sept questions. La meilleure façon de s’y préparer, c’est de ne pas attendre la veille.
