Quand un client confie son dossier à un avocat, il transmet des informations qui ne circulent nulle part ailleurs : des situations de famille, des difficultés d’entreprise, parfois une mise en cause pénale. Une partie de ces informations finit sur un serveur, ne serait-ce que par le formulaire de contact du site du cabinet. La question n’est donc pas de savoir s’il faut un hébergement sérieux, mais de savoir comment vérifier que celui qu’on a en est un.
La plupart des cabinets changent d’hébergeur après coup : à la suite d’une panne, d’une question de leur ordre, ou en découvrant que leurs données dorment hors d’Europe. Cet article sert à poser les bonnes questions avant, pas après.
Ce que le RGPD exige vraiment de votre hébergeur
La conformité n’est pas une mention sur la page d’accueil d’un prestataire. C’est un ensemble d’engagements écrits entre vous et lui, avec une répartition claire des responsabilités si quelque chose tourne mal. Trois points sont contraignants.
1. Où sont physiquement les données
Le stockage dans l’Union européenne ou l’Espace économique européen ne pose aucune difficulté particulière. Hors de cette zone, un transfert doit reposer sur une base juridique : une décision d’adéquation de la Commission européenne, des clauses contractuelles types, ou l’un des autres mécanismes prévus au chapitre V du règlement.
Une précision utile, car beaucoup d’articles en ligne sont restés bloqués sur un état du droit dépassé : après l’invalidation du Privacy Shield en 2020, la Commission a adopté en juillet 2023 une nouvelle décision d’adéquation, le Data Privacy Framework, qui couvre les entreprises américaines certifiées à ce titre. Un transfert vers un prestataire américain certifié n’est donc pas illicite par principe. Il reste conditionné à cette certification, et ce cadre fait l’objet de recours : c’est une raison sérieuse de préférer un hébergement européen quand l’activité ne demande rien d’autre, ce qui est le cas du site d’un cabinet.
Le point à connaître, en revanche, est réel : le CLOUD Act américain de 2018 permet aux autorités des États-Unis d’exiger d’un fournisseur relevant de leur juridiction la communication de données, y compris stockées en Europe. Un hébergeur européen sans lien capitalistique américain n’entre pas dans ce champ. Demandez par écrit la localisation des centres de données, et la nationalité de la société qui les exploite.
2. Le contrat de sous-traitance
L’article 28 du RGPD impose un contrat écrit entre le responsable de traitement, votre cabinet, et le sous-traitant, votre hébergeur. Ce document, souvent appelé DPA, précise l’objet et la durée du traitement, les mesures de sécurité, le sort des données à la fin du contrat, le recours éventuel à des sous-traitants ultérieurs, et l’obligation d’assistance en cas de violation.
Sans ce contrat, vous êtes en infraction avant même qu’un incident ne survienne, puisque l’article 28 vous impose de ne recourir qu’à des sous-traitants présentant des garanties suffisantes. Un hébergeur qui n’a pas de DPA à vous transmettre n’en a jamais rédigé : il n’est pas équipé pour des données sensibles.
3. Les preuves d’audit
Une certification ISO 27001, un rapport SOC 2, ou pour un prestataire français une qualification SecNumCloud délivrée par l’ANSSI, attestent que l’infrastructure a été vérifiée par un tiers. Ces documents existent ou n’existent pas. Un prestataire qui répond que ses audits sont confidentiels vous dit en réalité qu’il n’en a pas.
Le chiffrement, en transit et au repos
La partie technique tient en deux idées.
En transit : HTTPS
Tout site doit être servi en HTTPS, avec un certificat valide reconnu par les navigateurs. Un point que beaucoup d’articles anciens continuent de répéter à tort : depuis septembre 2020, la durée de validité maximale d’un certificat publiquement reconnu est de 398 jours, et non d’un à trois ans. Let’s Encrypt délivre des certificats de 90 jours, renouvelés automatiquement. Le secteur s’oriente vers des durées encore plus courtes.
La conséquence est pratique : un certificat ne se surveille plus à la main. Si votre prestataire vous demande de penser à le renouveler, c’est que le renouvellement automatique n’est pas en place, et le jour où vous oublierez, tous les navigateurs afficheront un avertissement de sécurité devant votre site.
Au repos : les disques
Les données stockées doivent être chiffrées sur les disques, afin qu’un disque dérobé ou mal effacé reste illisible. Posez la question directement, et écoutez la forme de la réponse : « oui, c’est sécurisé » ne vaut rien, « AES 256 avec chiffrement de volume » est une réponse.
Les sauvegardes
Des sauvegardes automatiques, chiffrées, et stockées ailleurs que sur le serveur qu’elles protègent. Ce dernier point est celui qu’on néglige : une sauvegarde accessible depuis la machine compromise est chiffrée en même temps qu’elle par un rançongiciel. Demandez la fréquence, le lieu, et surtout le délai de restauration, qui est la seule chose qui compte le jour où vous en avez besoin.
Une sauvegarde qu’on n’a jamais restaurée n’est pas une sauvegarde, c’est une hypothèse.
Cinq erreurs fréquentes
- Confondre bon marché et conforme. Les offres à quelques euros mutualisent des centaines de sites sur une même machine, opèrent rarement en Europe et n’ont pas de DPA. L’économie se paie au premier incident.
- Ne pas lire la clause de fin de contrat. Beaucoup de prestataires conservent les données plusieurs semaines après résiliation. Demandez par écrit sous quel délai elles sont détruites, comment en récupérer une copie avant, et qui atteste de la destruction.
- Accepter un serveur partagé sans isolation. Si un autre site de la machine sert à des activités illicites, une saisie ou un blocage peut atteindre l’ensemble. Une adresse IP dédiée et une isolation réseau ne sont pas du confort.
- Ignorer qui, chez l’hébergeur, peut lire vos fichiers. Un prestataire sérieux limite les accès par rôle, les journalise, et sait vous le décrire. Posez la question, la réponse est révélatrice.
- Ne pas vérifier la solvabilité et l’assurance. Un hébergeur en liquidation ne répare rien. Une assurance de responsabilité civile professionnelle couvrant le risque numérique se demande, et se montre.
Pourquoi c’est d’abord une question de contrat
On imagine la sécurité comme une affaire de technique. Elle est d’abord une affaire d’écrits. Un hébergeur peut avoir une infrastructure irréprochable : si le contrat ne dit rien du RGPD, ne comporte pas de DPA et ne répartit pas les responsabilités, c’est votre cabinet qui répond seul devant la CNIL.
Car en cas de fuite, l’autorité s’adresse au responsable de traitement, c’est à dire à vous. Elle vous demandera de démontrer que vous aviez choisi un sous traitant présentant des garanties suffisantes. Cette démonstration se fait avec des documents, pas avec des convictions.
Trois pièces à réclamer avant de signer : un DPA signé, une attestation de localisation des données mentionnant le pays, et un rapport d’audit ou une certification de moins d’un an.
Auditer l’hébergement que vous avez déjà
Si votre site est en ligne, cinq étapes suffisent à savoir où vous en êtes.
- Relisez le contrat. Cherchez les mots sous traitance, localisation, données personnelles. Une phrase du type « nous respectons la réglementation » ne vaut pas engagement.
- Écrivez à votre hébergeur. Demandez le DPA applicable à votre compte, la localisation des serveurs, les certifications en cours, et la politique de suppression après résiliation. Un écrit, pas un appel.
- Jugez la réponse autant que son contenu. Un prestataire professionnel répond sous quelques jours avec des pièces jointes. Les généralités et les délais sont une réponse en soi.
- Vérifiez le certificat. Le cadenas dans la barre d’adresse, et sur crt.sh l’historique des certificats émis pour votre domaine.
- Classez ou migrez. Si les preuves sont là, conservez les dans un dossier de conformité, elles vous seront demandées. Sinon, prévoyez la migration : deux à quatre semaines pour un site de cabinet.
Le cas d’un espace client
Si votre site propose un espace où déposer et récupérer des pièces, les exigences montent d’un cran, car vous ne traitez plus des demandes de contact mais des dossiers. Il faut alors une authentification à deux facteurs, un chiffrement des fichiers stockés, une journalisation des accès conservée assez longtemps pour être utile, et des droits par rôle : un client ne voit que son dossier.
Ces fonctions ne sont pas standard chez un hébergeur généraliste. Elles relèvent de la plateforme applicative, pas du serveur. C’est une décision à prendre en connaissance de cause, avec le budget correspondant.
Questions fréquentes
Puis je héberger le site de mon cabinet aux États-Unis ?
Ce n’est pas interdit par principe. Depuis juillet 2023, le Data Privacy Framework offre une base juridique pour les transferts vers les entreprises américaines certifiées, et à défaut il existe les clauses contractuelles types. Mais ce cadre est contesté devant les juridictions européennes, et le CLOUD Act reste applicable aux fournisseurs relevant du droit américain. Pour le site d’un cabinet, qui n’a aucun besoin technique d’être hébergé ailleurs, l’Europe est le choix simple.
Mon hébergeur refuse de signer un DPA, est ce grave ?
C’est rédhibitoire. L’article 28 du RGPD en fait une obligation, et son absence vous met en défaut indépendamment de tout incident. Un refus signifie que le prestataire n’a pas structuré son activité pour traiter des données pour le compte d’autrui.
Être conforme coûte il plus cher ?
Un peu, et beaucoup moins qu’un incident. Un hébergement mutualisé européen correct se situe autour de quelques dizaines d’euros par an, un serveur dédié bien plus. Le vrai calcul est celui du coût total, sanction et perte de confiance comprises.
Qui est responsable si les données de mes clients fuient ?
Vous d’abord, en tant que responsable de traitement, avec un partage possible si le manquement vient du sous traitant et que le contrat le prévoit. C’est précisément à cela que sert le DPA : sans lui, la responsabilité ne se partage pas.
À lire ensuite : La conformité RGPD du site d’un cabinet · Ce que le RIN autorise en communication.