L’hébergement des données de vos clients et de leur dossier est une priorité pour vous. Vous exercez une profession libérale réglementée (avocat, expert-comptable, notaire, etc.) et vous êtes soumis à des réglementations strictes. Entre secret professionnel et respect du RGPD, vos obligations sont nombreuses. Les solutions classiques d’hébergement telles que Google Drive ou OneDrive ne correspondent pas aux exigences réglementaires. Vous êtes à la recherche d’une solution fiable, robuste et souveraine pour héberger vos données.

Dans cet article, nous vous proposons de vérifier si vos données clients sont réellement en sécurité, de faire le point sur vos obligations en matière d’hébergement et de trouver des solutions adaptées à votre cabinet.

Vos données clients sont-elles vraiment en sécurité ?

Où sont hébergées vos données aujourd’hui ? Quel service utilisez-vous pour stocker vos dossiers et pour échanger avec vos clients ?

L’affaire Google Drive : quand un avocat perd ses dossiers et ses clients

24 janvier 2025, une décision de la cour d’appel de Paris valide la suppression des comptes Gmail et Google Drive d’un avocat pénaliste. Ce dernier utilisait les services Google à des fins personnelles et professionnelles. Dans le cadre de l’une de ses affaires pénales, il stockait des contenus pédopornographiques sur son Google Drive. La détection de ces contenus par Google a entraîné la fermeture des comptes de l’avocat.

Google s’engage dans la lutte contre les contenus illégaux ; en ce sens, la firme américaine scanne automatiquement les contenus déposés sur ses services. Lorsque vous acceptez les Conditions Générales d’Utilisation (CGU) de Google, vous consentez à cette analyse. Ces dernières, ainsi que les exigences américaines du Foreign Intelligence Surveillance Act, sont incompatibles avec les obligations de confidentialité inhérentes aux avocats et plus largement aux professions libérales réglementées.

Cloud Act et FISA : ce que vos clients ne savent pas

Le Cloud Act et le Foreign Intelligence Surveillance Act (FISA) sont deux lois fédérales américaines. Elles s’appliquent à toutes les entreprises de droit américain. Leur particularité ? Elles s’imposent sans que le droit français, le RGPD ou encore le secret professionnel ne puisse y faire obstacle.

Le Cloud Act oblige les entreprises de droit américain à donner accès à vos données aux autorités états-uniennes, même si elles sont stockées sur des serveurs en France.

Le FISA a été adopté initialement en 1978, dont la section 702 a été ajoutée en 2008 pour autoriser la surveillance des communications étrangères. Cette loi a été prolongée et élargie en avril 2024 pour deux ans supplémentaires, avec une extension du champ d’application à toutes les entreprises disposant d’infrastructures liées à Internet. Concrètement, cela signifie que le gouvernement américain peut accéder à l’ensemble de vos données si elles sont hébergées dans une entreprise de droit américain.

Votre secret professionnel est absolu en France. Il ne l’est pas aux États-Unis.

Le Conseil des barreaux européens (CCBE) donne en février 2025 les lignes directrices pour les avocats européens ayant recours à des services cloud :

• Vérifier que le fournisseur n’est pas soumis à des lois extraterritoriales imposant la remise de données à des autorités non européennes (référence au Cloud Act et au FISA).
• Traiter le secret professionnel et le RGPD comme critères prioritaires dans le choix des services cloud, avant le prix et la praticité.
• S’assurer que les modalités de stockage ne compromettent pas la confidentialité, ce qui exclut de fait les plateformes américaines sans architecture souveraine.

Le CCBE précise que les avocats qui choisissent des plateformes américaines sans traiter ces points s’exposent à une responsabilité professionnelle.

Voyons maintenant quelles sont vos obligations en tant qu’avocat ou expert-comptable.

Ce que la loi vous oblige à faire en tant que profession libérale réglementée

Penchons-nous maintenant sur vos obligations en tant que profession libérale réglementée. Il existe des différences entre les activités d’avocats et d’expert-comptable, liées aux spécificités de chaque métier.

Les obligations déontologiques des avocats

L’article 2 du Réglement Intérieur National des avocats, le RIN, indique que le secret professionnel est absolu, général et illimité dans le temps et que cela s’applique sur tous les supports, numérique inclus. Cela signifie que vous êtes responsable du secret et que cette responsabilité est étendue à vos sous-traitants. Vous devez donc veiller à ce que vos outils respectent cette obligation. Ainsi, l’utilisation d’un service de droit américain peut engager votre responsabilité, car il ne respecte pas le secret professionnel.

Le Conseil National des Barreaux (CNB) recommande officiellement l’utilisation d’un cloud souverain pour héberger vos données et assurer leur sécurité.

Les obligations RGPD des experts-comptables

Du côté des experts-comptables, la principale obligation est le RGPD. Vous êtes à la fois responsable du traitement de vos propres données, mais aussi considéré comme sous-traitant des données de vos clients. Dans le cadre de votre activité, vous traitez un certain nombre de données sensibles : fiches de paie, RIB, données sociales et fiscales, etc., ce qui engendre des obligations particulières au regard du RGPD.

La principale obligation est contractuelle : votre contrat cloud doit préciser la localisation des données, les certifications et l’interdiction de sous-traiter sans autorisation. En cas de non-respect du RGPD, vous vous exposez à des sanctions de la CNIL. Notez qu’en 2025, il y a eu 83 sanctions pour un montant total des amendes de 486,8 millions d’euros, soit dix fois plus qu’en 2024. Cela montre un réel engagement de la CNIL pour la protection des données, et toutes les entreprises, quelle que soit leur taille, sont concernées.

Comment choisir un cloud souverain pour votre cabinet ?

Les 5 critères non négociables pour choisir un hébergeur souverain

Choisir un cloud souverain n’est pas forcément chose aisée, surtout quand cela ne constitue pas votre cœur de métier. Pour vous aider à y voir plus clair, voici 5 critères à vérifier avant de vous engager auprès d’un prestataire.

Tout d’abord, les serveurs doivent être physiquement en France et soumis de manière exclusive au droit français et européen. L’entreprise qui propose ses services de cloud souverain ne doit pas avoir de maison mère ou d’actionnaire étranger. Cela vous assure la souveraineté de la solution et donc sa conformité au droit français et au RGPD.

Pour assurer leur protection, les données doivent être chiffrées qu’elles soient « au repos » ou en transit. L’hébergeur doit également tenir un journal d’audit des accès permettant de vérifier qui a eu accès aux données et quand. De plus, les solutions doivent proposer un service de double authentification (MFA) et les contrats doivent préciser la localisation des données et les certifications obtenues.

Location d’espace au sein d’un micro-kloud : une solution souveraine adaptée aux petits cabinets

Louer un espace de stockage vous assure de répondre aux exigences liées à votre activité. Les données sont stockées sur des serveurs souverains, localisés en France, sécurisés et connectés entre eux en essaim résilient. Chaque micro-kloud est lié à deux autres pour assurer leur résilience. Chacun effectue une recopie par jour sur les deux autres afin de garantir la disponibilité des données en cas de problème sur l’un des micro-kloud. Nous assurons ainsi une perte de 24 h maximum.

Pourquoi choisir un hébergement souverain maintenant ?

Depuis 2025, nous observons une hausse de 107 % des demandes d’assistance pour violation de données. Ces demandes proviennent d’organisations privées ou publiques ayant subi une cyberattaque ou une fuite de données. Il est donc important de prévenir les cyberrisques et de passer à un hébergement souverain et sécurisé.

Une étude compta-online indique que les cabinets d’expertise comptable et d’avocat restent des cibles de choix pour les pirates informatiques. Vos données sont pour eux une mine d’or. Cette même étude indique qu’en moyenne 60 % des cabinets comptables ferment dans les 18 mois après avoir subi une cyberattaque. Les risques sont donc réels pour votre activité.

Du côté des sanctions, la CNIL sanctionne de plus en plus vite et de plus en plus souvent les petites structures. Vous n’êtes donc pas épargné parce que vous êtes un cabinet local. Les sanctions de la CNIL sont accompagnées de coûts cachés : frais juridiques, remédiation, perte d’environ 22 % de clients et des heures de travail en plus (entre 50 et 100 heures) pour la direction afin de contenir et de résoudre l’ensemble des problèmes.

FAQ — Hébergement souverain pour les professions libérales réglementées : questions fréquentes

Un avocat ou un expert-comptable est-il obligé d’utiliser un cloud souverain ?

Il n’existe pas à ce jour de texte imposant explicitement le cloud souverain aux professions libérales. En revanche, le RIN, le RGPD et les recommandations du CNB imposent des obligations de sécurité qui, en pratique, excluent les services cloud américains. Utiliser Google Drive ou OneDrive pour vos dossiers clients constitue une violation potentielle de votre secret professionnel et de vos obligations RGPD.

Google Drive ou OneDrive sont-ils vraiment interdits pour les avocats ?

La Cour d’appel de Paris a jugé en janvier 2025 que Google n’a aucune obligation de protéger les fichiers professionnels d’un avocat stockés sur son service grand public. Le CNB a explicitement alerté sur l’incompatibilité de ces outils avec le secret professionnel. Ces services sont soumis au Cloud Act et au FISA, ce qui signifie que les autorités américaines peuvent y accéder sans vous en informer. Elles peuvent donc accéder à vos dossiers clients, vos emails et votre agenda.

Combien coûte un hébergement sécurisé pour un cabinet de 1 à 6 personnes ?

Les solutions souveraines adaptées aux petits cabinets sont bien moins onéreuses qu’on ne le croit. Chez Kloud’ici, nous vous proposons des solutions sur mesure, adaptées à votre besoin. Notre objectif est que chaque entreprise française profite d’un cloud souverain, sécurisé et robuste. Le coût d’un hébergement souverain est à mettre en perspective avec le coût moyen d’une violation de données : de 3 000 € (amendes procédure simplifiée CNIL) à plusieurs dizaines de milliers d’euros en frais de remédiation.