Un site de cabinet collecte des données dès son premier formulaire de contact — et souvent des données sensibles : qui écrit à un avocat dit déjà quelque chose de sa situation. Voici ce que le RGPD exige concrètement, sans jargon de consultant.

Ce qu'un site de cabinet collecte réellement

Trois flux, presque toujours : le formulaire de contact — nom, coordonnées, et le motif de consultation, qui peut révéler une situation familiale, pénale ou médicale ; la prise de rendez-vous, mêmes données plus l'agenda ; et la mesure d'audience, selon l'outil choisi.

Le motif de consultation mérite une attention particulière : « je souhaite divorcer », adressé à un avocat, est une donnée dont la confidentialité doit être traitée sérieusement — au minimum un transport chiffré, une boîte de réception maîtrisée, et aucune conservation au-delà du nécessaire.

Les cinq obligations qui comptent

  • Informer : une politique de confidentialité qui dit quelles données sont collectées, pourquoi, sur quelle base, combien de temps, et comment exercer ses droits. En français clair — c'est une exigence du texte, pas une coquetterie.
  • Minimiser : chaque champ du formulaire doit se justifier. La date de naissance dans un formulaire de contact ne se justifie pas.
  • Limiter la conservation : une demande de contact qui n'a pas donné suite n'a pas vocation à rester des années dans une boîte mail.
  • Sécuriser : HTTPS partout, accès à la boîte de réception protégé, prestataires sérieux.
  • Encadrer les sous-traitants : hébergeur, outil de prise de rendez-vous, prestataire du site — chacun traite des données pour votre compte et doit s'y être engagé contractuellement.

Les cookies : moins d'obligations qu'on ne le croit

Le consentement n'est requis que pour les traceurs non essentiels — publicité, réseaux sociaux, certaines mesures d'audience. Un site de cabinet qui n'utilise qu'un cookie de session et une mesure d'audience exemptée n'a pas besoin de bandeau de consentement ; un bandeau honnête qui l'explique vaut mieux qu'un faux choix entre des traceurs qui n'existent pas.

À l'inverse, si le site embarque une vidéo hébergée ailleurs, des boutons de partage ou une mesure d'audience non exemptée, le consentement doit être recueilli avant le dépôt du traceur — pas après.

La mesure d'audience sans consentement, ça existe

Une statistique agrégée, sans cookie et sans identifiant individuel, échappe à l'obligation de consentement. C'est le choix que nous faisons pour les sites que nous livrons : le comptage se fait côté serveur, page par page, sans rien déposer chez le visiteur. L'avocat a ses chiffres, le visiteur n'est pas suivi, et il n'y a rien à faire consentir.

Le registre, et qui est responsable

L'avocat est responsable de traitement pour les données que son site collecte — pas son prestataire, qui est sous-traitant. Le registre des traitements, obligatoire, n'a rien d'effrayant à l'échelle d'un cabinet : une ligne par traitement — contact du site, rendez-vous, facturation, dossiers — avec la finalité, les données, la durée et les destinataires. Un tableau d'une page, tenu à jour.

Un détail qui n'en est pas un : le secret professionnel ne dispense pas du RGPD, et le RGPD ne fait pas exception au secret. Les deux régimes s'ajoutent — et c'est le second qui interdit, par exemple, de confier la boîte de contact du cabinet à un outil qui lit les messages à des fins commerciales.

Les droits des personnes : que répondre, et en combien de temps

Toute personne dont le site a collecté des données peut demander l'accès, la rectification ou l'effacement. Pour un cabinet, la demande arrive rarement — mais quand elle arrive, elle est souvent le prélude à autre chose, et la réponse doit être irréprochable.

Trois réflexes suffisent : répondre dans le délai d'un mois ; vérifier l'identité du demandeur avant de communiquer quoi que ce soit — répondre à un tiers qui se fait passer pour le client serait la vraie violation ; et distinguer les données du site, qu'on efface volontiers, des données du dossier, que les obligations professionnelles de conservation protègent. L'effacement demandé ne l'emporte pas sur les délais de conservation imposés à la profession — et le dire poliment, avec la base juridique, clôt la discussion.

La liste de contrôle

  • Politique de confidentialité reliée depuis chaque page ?
  • Chaque champ de formulaire justifié ?
  • HTTPS partout, y compris les redirections ?
  • Durées de conservation définies — et appliquées ?
  • Sous-traitants du site identifiés et engagés ?
  • Mesure d'audience exemptée, ou consentement préalable ?
  • Registre tenu, une ligne par traitement ?

Pour aller plus loin

Et pour le cadre d'ensemble : ce que comprend un site internet pour avocats.

Un site conforme, dès le premier jour

Les Confrères livrent votre site avec HTTPS, une mesure d'audience sans cookie et les documents de conformité. 30 jours d'essai gratuit, création offerte, puis 29 € par mois sans engagement.

Créer mon site — essai gratuit