Secret professionnel : où sont les e-mails du cabinet ?

Dans un cabinet d'avocats ou d'expertise comptable, la messagerie est le vrai coffre-fort. On y trouve les pièces d'un dossier, les échanges avec le client, les projets d'actes, les bilans, parfois des données de santé ou des informations sur un contentieux. La question n'est donc pas seulement de savoir si les e-mails arrivent, mais où ils sont stockés, et surtout qui peut y accéder.

1. Ce que le secret professionnel impose

Pour les avocats, le secret professionnel est posé par l'article 66-5 de la loi du 31 décembre 1971 : il couvre les consultations, les correspondances échangées avec le client et avec les confrères, les notes d'entretien et les pièces du dossier. Les experts-comptables y sont tenus par l'article 21 de l'ordonnance du 19 septembre 1945. Dans les deux cas, sa violation est sanctionnée par l'article 226-13 du Code pénal.

Concrètement, le professionnel reste responsable des outils qu'il choisit pour conserver et transmettre ces informations. Confier sa messagerie à un prestataire ne transfère pas cette responsabilité : il faut pouvoir justifier que le choix offrait des garanties suffisantes.

2. Où sont vos e-mails aujourd'hui

La plupart des cabinets utilisent Microsoft 365 ou Google Workspace. Ce sont de bons outils, et les deux éditeurs proposent de stocker les données de leurs clients européens dans des datacenters situés en Europe. C'est souvent l'argument avancé pour conclure que le sujet est réglé.

Il ne l'est pas tout à fait, parce que la localisation d'un serveur ne dit rien de la loi qui s'applique à la société qui l'exploite.

3. Stocké en Europe ne veut pas dire souverain

Le Cloud Act est une loi américaine de 2018 qui oblige les entreprises américaines à remettre aux autorités des États-Unis les données qu'elles détiennent ou contrôlent, y compris quand ces données sont stockées hors des États-Unis. Microsoft et Google étant des sociétés américaines, les e-mails d'un cabinet français hébergés dans leurs datacenters européens restent dans le champ de cette loi.

Les cadres juridiques entre l'Europe et les États-Unis n'ont pas levé cette difficulté. Le Safe Harbor a été invalidé par la Cour de justice de l'Union européenne en 2015, puis le Privacy Shield en 2020. Le Data Privacy Framework adopté en 2023 encadre les transferts de données personnelles, mais il ne supprime pas les possibilités d'accès des autorités américaines. Pour un professionnel tenu au secret, c'est une incertitude qu'il vaut mieux éviter que gérer.

4. Ce que demande le RGPD

Le cabinet est responsable des traitements de données personnelles qu'il réalise, y compris ceux confiés à un prestataire. L'article 28 du RGPD impose de ne recourir qu'à des sous-traitants présentant des garanties suffisantes, avec un contrat qui précise la nature du traitement, les mesures de sécurité, la localisation et le sort des données en fin de contrat.

Autrement dit : savoir où sont les données, qui les opère, et pouvoir le démontrer.

5. Les critères d'une messagerie compatible avec le secret professionnel

Voici la grille que j'utilise avec les cabinets que j'accompagne :

• Hébergement en France ou dans l'Union européenne, chez un hébergeur européen, dans des datacenters certifiés (ISO 27001) ;

• Un prestataire européen de bout en bout : aucune société américaine dans la chaîne d'exploitation ;

• Des échanges chiffrés entre serveurs (TLS imposé par MTA-STS) et une messagerie qui authentifie ses envois (SPF, DKIM, DMARC), pour limiter l'usurpation du nom de domaine du cabinet ;

• Des accès protégés : double authentification, comptes nominatifs, révocation immédiate au départ d'un collaborateur ;

• Des sauvegardes chiffrées et externalisées, avec une restauration testée ;

• Un contrat clair : contrat de sous-traitance RGPD, localisation écrite, réversibilité garantie.

Sur la partie délivrabilité et authentification des envois, le guide pour configurer DMARC progressivement détaille la méthode.

6. Et les documents partagés ?

La messagerie n'est qu'une partie du sujet. Les dossiers clients circulent aussi par des espaces de partage de fichiers, souvent OneDrive, Google Drive ou Dropbox, qui posent exactement la même question. Un cloud de fichiers souverain permet d'échanger avec les clients par liens protégés par mot de passe et limités dans le temps, sans faire transiter les pièces par une société américaine. Le comparatif avec Dropbox Business reprend les différences point par point.

7. Par où commencer

La messagerie est le chantier le plus sensible et le plus simple à traiter en premier. Pour un cabinet, la démarche tient en trois temps :

1. faire l'inventaire des boîtes, des partages et des outils qui envoient des e-mails au nom du cabinet ;

2. choisir une messagerie hébergée en France et opérée par un acteur européen, comme le serveur mail managé ELVACloud ;

3. migrer sans coupure, en conservant l'historique des échanges : la méthode est décrite dans le guide pour quitter Microsoft 365.

Pour comparer les options en détail, voir le comparatif serveur mail souverain vs Microsoft 365, et pour l'accompagnement propre aux professions réglementées, la page dédiée aux cabinets d'avocats et d'expertise comptable.

Vous voulez savoir où sont réellement les données de votre cabinet ? Demandez un audit gratuit : on cartographie votre messagerie et vos partages, et vous repartez avec un état des lieux écrit.