Cloud et secret professionnel : 7 questions avant de signer

Choisir un logiciel en ligne pour votre étude, c'est confier à un tiers des informations couvertes par le secret professionnel. L'avis de droit de la FSA (2019) admet le cloud à des conditions précises : contrat de confidentialité, chiffrement fort, prestataire choisi et surveillé. Cet article traduit ces conditions et la loi sur la protection des données en sept questions simples, à poser à tout fournisseur, nous compris. Vous repartez avec une checklist à imprimer avant votre prochain rendez-vous.

Une démonstration, puis la vraie question

Un éditeur vous présente son logiciel : saisie du temps, factures, agenda. Puis vient votre question : où vont les dossiers de mes clients, et qui peut les lire ?

Votre secret professionnel couvre tout ce qui vous est confié dans votre métier (art. 13 LLCA, la loi sur les avocats). Sa violation est punissable (art. 321 CP), y compris quand elle vient d'un auxiliaire, c'est-à-dire de quelqu'un qui travaille pour vous. Un fournisseur de cloud peut être cet auxiliaire.

En 2019, la Fédération suisse des avocats (FSA) a publié un avis de droit sur le cloud, rédigé par les professeurs Schwarzenegger, Thouvenin et Stiller. Sa conclusion : le cloud est admissible si le prestataire peut être traité comme un auxiliaire. Il faut un contrat de confidentialité, un chiffrement fort, un choix soigneux et une surveillance du prestataire. Le consentement éclairé du client est recommandé. Un hébergement à l'étranger est admis, sous réserve de la protection des données.

La loi sur la protection des données (LPD) ajoute ses règles. Voici les sept questions qui en découlent.

1. Où sont les données, sauvegardes comprises ?

Demandez le pays de la base principale et celui des sauvegardes. Ce sont souvent deux réponses différentes.

Pour Odoo, voici les faits. Odoo Online héberge les données en Europe. Les sauvegardes sont copiées dans au moins trois centres de données en Europe. Odoo ne propose pas de région suisse. Si vous voulez que vos données restent en Suisse, dooxpert installe Odoo chez un hébergeur suisse, sur une installation réservée à votre étude.

La LPD autorise l'envoi de données vers un pays dont le Conseil fédéral juge la protection adéquate (art. 16 al. 1 LPD). Sinon, il faut d'autres garanties, par exemple des clauses contractuelles (art. 16 al. 2 LPD). Vérifiez chaque pays annoncé dans la liste du Conseil fédéral.

2. Le contrat fait-il du fournisseur un auxiliaire ?

Cocher « j'accepte les conditions » ne suffit pas. Le contrat doit prévoir au minimum :

• une confidentialité adaptée au secret professionnel ;
• un traitement limité à ce que vous pourriez faire vous-même (art. 9 al. 1 LPD) ;
• des mesures de sécurité décrites, que vous pouvez vérifier (art. 9 al. 2 LPD).

3. Qui sont les sous-traitants ?

Un logiciel en ligne repose sur plusieurs prestataires : éditeur, hébergeur, service d'envoi de courriels. Votre fournisseur ne peut confier le traitement à un tiers qu'avec votre autorisation préalable (art. 9 al. 3 LPD). Demandez la liste complète, avec le rôle et le pays de chacun, et comment vous serez prévenu d'un changement.

4. Comment les données sont-elles chiffrées ?

Chiffrer, c'est rendre les données illisibles sans la bonne clé. L'avis de la FSA parle de « chiffrement fort ». Deux questions : les données sont-elles chiffrées pendant leur transfert ? Et là où elles sont stockées, sauvegardes comprises ? Exigez la réponse dans le contrat, pas dans une brochure.

La loi demande une sécurité adaptée au risque (art. 8 al. 1 LPD). Pour une étude d'avocats, le risque est élevé par nature.

5. Qui voit quoi dans l'étude, et peut-on le prouver ?

Le secret se protège aussi en interne. Le logiciel doit permettre :

• de régler les accès dossier par dossier ;
• de contrôler les conflits d'intérêts sans ouvrir les dossiers des confrères ;
• de garder un journal des accès : qui a ouvert ou modifié un dossier, et quand.

Ce journal prouve la surveillance qu'on attend de vous. Et c'est vous qui choisissez quels courriels partent sans validation.

6. Comment informez-vous vos clients ?

L'avis de la FSA recommande le consentement éclairé du client. Le Code pénal prévoit d'ailleurs que la révélation n'est pas punissable si l'intéressé y a consenti (art. 321 ch. 2 CP). Le plus simple : une clause dans la lettre de mandat, qui dit que les données sont dans le cloud, où, et recueille l'accord du client. Voir Lettre de mandat et signature qualifiée.

7. Que se passe-t-il en cas d'incident, ou si vous partez ?

Deux scénarios à régler par écrit avant de commencer :

• Un incident. Le fournisseur doit vous l'annoncer dans les meilleurs délais (art. 24 al. 3 LPD). À vous de juger si une annonce au Préposé fédéral est nécessaire (art. 24 al. 1 LPD). Demandez le délai et le canal prévus.
• La fin du contrat. Vous récupérez vos données dans un format utilisable, puis vous obtenez leur suppression. Les données qui ne servent plus doivent être détruites ou anonymisées (art. 6 al. 4 LPD). Prévoyez une attestation de suppression.

En pratique : la checklist à imprimer avant le rendez-vous

• Pays de la base principale et pays des sauvegardes, par écrit.
• Chaque pays vérifié dans la liste du Conseil fédéral, ou garanties contractuelles prévues.
• Contrat de sous-traitance avec confidentialité et mesures de sécurité décrites.
• Liste des sous-traitants, avec rôle et pays ; accord préalable pour tout changement.
• Chiffrement pendant le transfert et au stockage, sauvegardes comprises, confirmé par écrit.
• Accès par dossier, contrôle de conflits sans accès au contenu, journal des accès.
• Clause d'information et de consentement dans la lettre de mandat.
• Délai et canal d'annonce des incidents.
• Restitution des données, suppression et attestation en fin de contrat.

Préparé pour vous, validé par vous

Nous ne disons pas que notre solution est « conforme ». Le respect du secret dépend aussi de vos choix, de vos contrats et de l'information de vos clients. Nous préparons un réglage et un kit pensés pour les conditions de la FSA : accord de sous-traitance, liste des sous-traitants, clause de consentement pour la lettre de mandat, journal des accès. Vous relisez, vous adaptez, vous validez. Détails sur la page Secret professionnel et cloud.

Questions fréquentes

Un hébergement hors de Suisse est-il exclu pour une étude ?

Pas selon l'avis de la FSA de 2019, qui l'admet sous réserve de la protection des données. C'est un choix à faire selon vos dossiers et vos clients. Une installation chez un hébergeur suisse reste possible.

Faut-il le consentement écrit de chaque client ?

L'avis de la FSA le recommande sans l'imposer dans tous les cas. La forme de ce consentement relève de votre appréciation. Une clause dans la lettre de mandat reste le plus simple.

Cette checklist vaut-elle pour la messagerie et le stockage de fichiers ?

Oui. Les mêmes questions se posent pour tout service en ligne qui contient des données de clients : messagerie, stockage, visioconférence, traduction.