Cabinet d’avocats : analyse d’impact, DPO ou logiciel, que faut-il vraiment ?
Pour qui : Vous exercez seul ou dans un petit cabinet. Vous avez entendu que les avocats étaient largement dispensés, ou au contraire un éditeur vous explique qu’il vous faut sa plateforme.
Si vous exercez à titre individuel, la CNIL ne requiert pas d’analyse d’impact, l’étude préalable des risques, pour la gestion de vos clients, même avec des données sensibles. Il vous reste un registre écrit, l’information des personnes et la réponse aux demandes. Aucun logiciel n’est à acheter pour cela.
Dans une structure d’exercice, le guide de la profession écrit que cette exemption ne s’applique pas. Il estime même que la gestion des dossiers clients semble devoir faire l’objet d’une analyse. Pour le délégué à la protection des données (DPO), le même guide conclut au cas par cas, et estime qu’il ne sera pas obligatoire pour la plupart des cabinets.
Notre avis
Si vous exercez à titre individuel, n’achetez rien : tenez le registre et préparez vos réponses aux demandes. Dans une structure d’exercice, ne vous appuyez pas sur l’exemption et menez l’analyse d’impact avec l’outil gratuit de la CNIL.
Pourquoi
- L’exemption porte sur la gestion des clients, y compris avec des données sensibles et des personnes vulnérables, pour le seul exercice individuel.
- Le guide de la profession, dont l’édition indique une relecture par les services de la CNIL, écrit qu’elle ne s’applique pas aux structures d’exercice.
- Rien de ce que nous avons lu ne lie ces obligations à un logiciel.
- Le secret professionnel limite le droit d’accès, sans vous dispenser d’organiser votre réponse.
Ce qui change le choix
Passer d’un exercice individuel à une structure, ou voir grimper le nombre de personnes concernées, le volume et la durée des dossiers. La réponse sur l’analyse d’impact change dans le premier cas, celle sur le délégué peut changer dans le second.
L’ordre à suivre
- Exercice individuel : registre écrit, sans analyse d’impact pour la gestion des clients.
- Structure d’exercice : analyse d’impact sur la gestion des dossiers des clients, avec l’outil gratuit de la CNIL.
- Structure à gros volume ou à forte exposition : analyse écrite de la grande échelle, puis réexamen du délégué et de l’outil.
Votre réponse selon votre mode d’exercice
| Question | Exercice individuel | Structure d’exercice |
|---|---|---|
| Analyse d’impact, gestion des clients | Non requise selon la liste de la CNIL | Exemption écartée par le guide de la profession. À mener, avec l’outil gratuit de la CNIL. |
| Délégué | Le guide de la CNIL ne classe pas à grande échelle les données d’infractions traitées par un avocat individuel | Analyse au cas par cas : personnes concernées, volume, durée, étendue géographique |
| Registre | Oui selon le guide : il décrit des traitements pérennes, portant la plupart du temps sur des données sensibles ou d’infractions | Oui. Le responsable peut être l’associé ou le cabinet, selon l’organisation. |
| Logiciel de registre | Rien à acheter | Rien à acheter pour commencer. Comparez si plusieurs personnes alimentent le registre et que des relances se perdent. |
L’exemption s’arrête à la gestion des clients
Regardez vos traitements hors clients : ils suivent d’autres lignes. La gestion de vos salariés relève de l’exemption générale des organismes de moins de 250 personnes, sans profilage. Un dispositif de vidéosurveillance, votre site web ou des envois de communication ne sont pas couverts par la ligne propre aux avocats.
Le guide note aussi qu’un avocat n’est sous-traitant qu’à titre exceptionnel. Dans ce cas, il tient un registre distinct.
Le secret professionnel limite la réponse sans supprimer le travail
Le guide écrit que le droit d’accès n’est pas absolu : une demande de la partie adverse ou d’une personne visée dans un dossier, autre que le représentant légal du client, ne pourra être satisfaite. Dans la plupart des cas, l’avocat ne peut même pas commenter l’existence de la relation avec le client.
Gardez une procédure de réponse pour autant. Dans son communiqué du 6 juillet 2026, la CNIL indique que certains organismes, dont des avocats et des médecins, qui n’avaient pas répondu à ses sollicitations sur des plaintes liées à des demandes de droits, ont pu recevoir une amende assortie d’une injonction. L’absence de réponse à cette injonction a conduit à la liquidation d’une astreinte. Ces cas figurent parmi 23 sanctions simplifiées prononcées depuis janvier 2026, pour 133 750 euros au total, tous motifs et organismes confondus. Le montant propre aux avocats n’est pas publié. Le secret peut limiter ce que vous dites à la personne : à vous de préparer ce que vous répondez à la CNIL, avec votre ordre si besoin.
Les modèles de la profession avant tout achat
Le guide annonce onze annexes pratiques, dont un registre type, un référentiel de durées pour le cabinet, un registre des violations, un registre des demandes, des réponses types, des clauses de sous-traitance et une liste de contrôle. Nous ne les avons pas ouvertes : nous ne pouvons pas dire si elles conviennent à votre cabinet, ni si elles sont à jour. Vérifiez-les d’abord, car elles visent votre profession, contrairement au modèle général de la CNIL.
Limites de cette page
Les annexes du guide n’ont pas été lues. Le guide date de mai 2023 et la liste de la CNIL de 2019 : vérifiez toute nouvelle édition. La lecture sur les structures vient du guide de la profession, sans position propre de la CNIL que nous ayons lue sur ce point. Ces règles ne remplacent pas une lecture de vos propres obligations déontologiques.
Prochaine action
Notez votre mode d’exercice et listez vos traitements hors gestion des clients. Récupérez les annexes du guide et comparez le registre type à vos dossiers. Si vous exercez en structure, ouvrez l’outil gratuit de la CNIL et commencez l’analyse sur la gestion des dossiers.
Preuves et sources
Lu le 5 novembre 2026 : la liste CNIL des analyses d’impact non requises (12 septembre 2019), le guide pratique RGPD du Conseil national des barreaux, du Barreau de Paris et de la Conférence des bâtonniers (2e édition, mai 2023) sans ses annexes, le guide CNIL sur les délégués, les articles 30 et 37 du RGPD dans le texte publié par la CNIL et le communiqué CNIL du 6 juillet 2026 sur les sanctions simplifiées.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. La liste CNIL des analyses d’impact non requises vise les traitements mis en œuvre par les avocats dans le cadre de l’exercice de leur profession à titre individuel, pour la gestion des clients, y compris avec des données sensibles pouvant concerner des personnes vulnérables.
Portée : Délibération n° 2019-118 du 12 septembre 2019.
Réserve : Liste propre à l’analyse d’impact.
- CNIL : Liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données n'est pas requise Délibération n° 2019-118 du 12 septembre 2019. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide pratique du Conseil national des barreaux, du Barreau de Paris et de la Conférence des bâtonniers indique que cette exemption n’est pas applicable aux structures d’exercice, et que le traitement de gestion des dossiers des clients semble devoir faire l’objet d’une analyse d’impact, au moins deux critères pouvant s’appliquer.
Portée : Guide pratique, 2e édition, mai 2023.
Réserve : Lecture de la profession. Sa préface indique une relecture par les services de la CNIL, sans valeur de décision.
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la profession conclut que l’obligation de désigner un délégué s’apprécie au cas par cas selon notamment le nombre de personnes, le volume, la durée et l’étendue géographique, mais qu’il semble que la plupart des cabinets n’effectuent pas de traitement à grande échelle et ne seront donc pas tenus d’en désigner.
Portée : Guide pratique, partie II, point 4.1.
Réserve : À attribuer à la profession, sans en faire une position de la CNIL. Le guide note aussi que la désignation est obligatoire pour quelques cabinets.
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la CNIL sur les délégués cite, parmi ce qui ne constitue pas un traitement à grande échelle, le traitement de données relatives aux condamnations pénales et aux infractions par un avocat exerçant à titre individuel.
Portée : Guide pratique DPO, partie sur la grande échelle.
Réserve : Exemple limité à l’exercice individuel.
- CNIL : Guide pratique RGPD. Délégués à la protection des données édition non relevée, postérieure à février 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la profession estime que les avocats sont soumis à l’obligation de registre, leurs traitements étant pérennes et portant la plupart du temps sur des données sensibles ou d’infractions, et qu’un avocat ne peut être sous-traitant que dans des cas exceptionnels, avec alors un registre distinct.
Portée : Guide pratique, parties I et II ; article 30 du RGPD.
Réserve : Le guide emploie « il semble ».
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon le guide de la profession, le responsable de traitement peut être l’avocat associé ou l’avocat individuel, ou le cabinet en tant que personne morale selon le niveau d’intégration des avocats dans la structure.
Portée : Guide pratique, partie II.
Réserve : Dépend de l’organisation réelle du cabinet.
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la profession indique que le droit d’accès n’est pas absolu du fait du secret professionnel : une demande de la partie adverse ou d’une autre personne concernée par un dossier, autre que le représentant légal du client, ne pourra être satisfaite, et l’avocat se trouvera le plus souvent dans l’impossibilité de commenter l’existence de la relation.
Portée : Guide pratique, partie I.
Réserve : Lecture de la profession, sans décision de justice relue.
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL indique dans son communiqué du 6 juillet 2026 avoir prononcé depuis janvier 2026 23 sanctions simplifiées pour 133 750 euros cumulés, 8 portant sur les droits d’accès ou d’effacement dont 4 associées à un défaut de coopération, et que certains organismes, dont des avocats et des médecins, sans réponse à ses sollicitations, ont pu faire l’objet d’une amende assortie d’une injonction, l’absence de réponse ayant conduit à la liquidation d’une astreinte.
Portée : Procédure simplifiée de la CNIL, noms non publiés.
Réserve : Les montants propres aux avocats ne sont pas publiés et la coopération est le grief décrit.
- CNIL : La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée 06 juillet 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le guide de la profession liste en annexes un registre type, une documentation des violations, un référentiel de durées, une liste de contrôle, des modèles de mentions, un registre des demandes, des réponses types, un formulaire, des clauses de sous-traitance, un registre des sous-traitants et une méthodologie de charte informatique.
Portée : Liste des annexes pratiques, page 95 du guide.
Réserve : Annexes non ouvertes le 5 novembre 2026 : contenu et mise à jour inconnus.
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Ne rien acheter pour un avocat individuel est notre avis : aucune source lue ne lie registre, information ou réponses à un logiciel.
Portée : Avocat individuel ou petit cabinet.
Réserve : Aucun logiciel n’a été essayé pour cette page.
- CNIL : Chapitre IV - Responsable du traitement et sous-traitant date non relevée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- Conseil national des barreaux, Barreau de Paris, Conférence des bâtonniers : Guide pratique RGPD, 2e édition Mai 2023. Lu le 5 novembre 2026. Document d’origine.