Cabinets d'avocats · Les obligations réglementaires qui priment sur les règles habituelles en matière de données

Vendredi après-midi. Un associé contentieux d'un cabinet londonien de taille moyenne reçoit trois choses dans la même heure : une demande d'accès aux données (SAR, subject access request) émanant de l'ex-salarié d'un ancien client, un courrier de l'Information Commissioner's Office (ICO) exigeant la communication de dossiers internes sous 14 jours, et un mail de l'équipe contentieux affirmant que la moitié des documents demandés sont couverts par le litigation privilege et ne peuvent pas sortir du cabinet. Personne dans la pièce n'est d'accord sur ce qui doit être transmis, ce qui peut être retenu, et ce qui se passe si le cabinet se trompe.

Ce n'est pas un cas limite. C'est un mardi ordinaire pour les équipes proches de la direction juridique dans les cabinets traitant des dossiers réglementés, contentieux ou transfrontaliers. Cette leçon vous donne le cadre de décision que les associés utilisent réellement.

Pourquoi les cabinets d'avocats sont un cas particulier

Les cabinets d'avocats portent deux obligations qui se superposent et qui coexistent rarement ailleurs :

• Confidentialité client et legal professional privilege (LPP) : une protection de common law et légale (aux États-Unis, l'« attorney-client privilege » et la « work product doctrine ») qui met certaines communications et certains documents à l'abri d'une divulgation forcée.
• Droit de la protection des données : dans l'UE/au Royaume-Uni, le RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (Règlement général sur la protection des données) et le UK GDPR ; aux États-Unis, un patchwork incluant le CCPA/CPRA (California Consumer Privacy Act / Privacy Rights Act) et des règles sectorielles.

En principe, le droit de la protection des données permet à toute personne de demander quelles données personnelles un cabinet détient sur elle (une SAR au titre de l'article 15 du RGPD, ou une demande de « right to know » au titre du CCPA). Mais le produit de base d'un cabinet d'avocats, ce sont des éléments de dossier confidentiels. Quand une SAR porte sur des documents qui se trouvent aussi être privilégiés, les deux régimes entrent en collision, et le privilege l'emporte généralement, mais dans des limites strictement définies.

Ajoutez les régulateurs : la Solicitors Regulation Authority (SRA) en Angleterre et au Pays de Galles, l'ICO pour la protection des données, la SEC aux États-Unis pour les cabinets touchant à l'information des sociétés cotcotTechnique de prompting qui amène un modèle de langage à produire des étapes de raisonnement intermédiaires avant de donner sa réponse finale, ce qui améliore la précision sur les tâches complexes.Voir la définition complète →ées, et les tribunaux eux-mêmes, qui peuvent tous contraindre à la divulgation quelles que soient les volontés de confidentialité.

Le cadre des trois catégories

Les associés et les responsables de la gouvernance des données du cabinet trient chaque demande dans trois catégories.

Catégorie 1 : divulgation obligatoire

Divulgation imposée par la loi. Exemples :

• Une décision de justice ou une subpoena valide.
• Une injonction d'information légale d'un régulateur (par exemple une enforcement notice de l'ICO au titre de l'article 58 du UK GDPR, ou une production order de la SRA).
• Les obligations de déclaration en matière de lutte contre le blanchiment au titre des Money Laundering Regulations 2017 britanniques ou du Bank Secrecy Act américain, qui peuvent écarter totalement la confidentialité (un « suspicious activity report » (SAR, le même acronyme que subject access request, ce qui prête à confusion) ne peut même pas être révélé au client en vertu des règles de « tipping-off »).

Si la demande est dans cette catégorie, le débat est clos. La seule question qui reste ouverte est celle du périmètre : transmettre le strict nécessaire, pas l'intégralité du dossier.

Catégorie 2 : divulgation possible (avec discernement)

Demandes d'exercice de droits en matière de données, valides mais dont le périmètre est négociable. La SAR est le cas classique : le demandeur a droit à ses données personnelles, mais le cabinet peut appliquer des exemptions.

Exemption clé au titre du UK GDPR/Data Protection Act 2018, annexe 2, paragraphe 19 : les données personnelles couvertes par le legal professional privilege sont exclues du droit d'accès. L'équivalent américain relève de la doctrine du privilege elle-même plutôt que d'un texte sur la vie privée, puisque les États-Unis n'ont pas de loi fédérale unique en la matière.

Un cabinet peut donc légalement caviarder ou retenir du contenu privilégié, même à l'intérieur d'une réponse à une SAR par ailleurs valide. C'est là que se concentre l'essentiel du travail réel : une revue ligne à ligne du privilege sur chaque document répondant à la SAR.

Catégorie 3 : divulgation impossible

Couvert par le privilege, aucune contrainte légale valide n'existe, et aucune exemption n'impose la communication. Cela inclut :

• Les communications de conseil juridique entre l'avocat et son client (advice privilege).
• Les documents crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éés à titre principal en vue d'un contentieux, dès lors que ce contentieux est raisonnablement envisagé (litigation privilege).
• Le travail interne du cabinet qui ne répond à aucune demande valide.

Divulguer un élément de cette catégorie sans injonction valide constitue un manquement déontologique et peut à lui seul déclencher une enquête de la SRA ou, aux États-Unis, une procédure disciplinaire du barreau.

Application au scénario

Retour au vendredi après-midi :

1. La SAR relève de la catégorie 2. Le cabinet doit rechercher dans tous ses systèmes (gestion documentaire, messagerie, logiciel de gestion de dossiers) les données personnelles concernant le demandeur, puis appliquer l'exemption de privilege pour caviarder les éléments protégés, en conservant une justification documentée pour chaque caviardage.
2. Le courrier de l'ICO relève de la catégorie 1, mais uniquement s'il s'agit d'une véritable injonction légale et non d'une demande préliminaire. Le délégué à la protection des données du cabinet (DPO, une fonction obligatoire pour de nombreux cabinets au titre de l'article 37 du RGPD) vérifie la base légale de l'injonction avant de répondre.
3. L'objection de l'équipe contentieux alimente directement l'exercice de caviardage de la catégorie 2. Le litigation privilege ne bloque pas la SAR en bloc, il justifie des caviardages précis, document par document.

Le résultat n'est jamais « tout transmettre » ni « ne rien transmettre ». C'est un registre de caviardage, en général revu conjointement par un associé superviseur et le DPO, avec un raisonnement capable de résister à un audit de l'ICO ou à une contestation judiciaire des caviardages.

Contrôles de données concrets à mettre en place

• Cartographie des données : savoir où résident physiquement les données personnelles (DMS type iManage ou NetDocuments, serveurs de messagerie, plateformes d'e-discovery). Vous ne pouvez pas répondre à une SAR dans le délai légal (un mois au titre du UK GDPR, prolongeable à trois) si vous ignorez où se trouvent les données.
• Marquage du privilege à l'ingestion : de nombreux cabinets marquent désormais les documents comme privilégiés dès leur création ou leur import, plutôt que lors d'une revue précipitée sous contrainte de délai.
• Journalisation des accès et pistes d'audit : qui a consulté un fichier, quand et pourquoi. Au titre du principe d'accountability du RGPD (article 5(2)), le cabinet doit être en mesure de démontrer sa conformité, pas seulement de l'affirmer.
• Contrôles de conflits et de conservation : des données conservées au-delà de leur finalité légitime constituent en soi une violation du RGPD (principe de limitation de la conservation, article 5(1)(e)), et les vieux dossiers contiennent souvent des éléments pertinents pour une SAR en cours qui auraient dû être supprimés des années plus tôt.

Une version simplifiée d'un script de tri interne utilisé par les cabinets pour signaler les documents répondant à une SAR pourrait ressembler à ceci :

# Pseudocode : signaler les documents à revoir pour le privilege dans une réponse à une SAR
for doc in matter_documents:
    if requester_name in doc.metadata["parties"]:
        if doc.tags.get("privilege_status") == "privileged":
            queue_for_partner_review(doc)
        else:
            queue_for_redaction_check(doc)  # peut encore contenir des données personnelles de tiers

Cela ne remplace pas le jugement juridique, cela garantit simplement qu'aucun document pertinent ne passe à travers les mailles sans revue.

Pour le texte juridique britannique sous-jacent, l'ICO publie un guide praticien clair : ICO guidance on the right of access.

Quand régulateurs et privilege s'opposent réellement

Les cas les plus difficiles sont ceux où le pouvoir d'un régulateur de contraindre à la divulgation se heurte frontalement au privilege. Les tribunaux britanniques ont jugé à plusieurs reprises que le legal advice privilege est quasi absolu et ne peut être écarté que par un texte législatif explicite (voir l'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êt de la House of Lords *R (Morgan Grenfell) v Special Commissioner*, 2002, toujours une autorité de référence). La SRA ne peut pas simplement exiger des éléments privilégiés sans base légale valide ; la SEC ne peut pas davantage contraindre un cabinet américain à livrer de l'attorney work product sans satisfaire à un test juridique précis.

Cela signifie que, dans un conflit réel, le rôle du cabinet n'est pas de trancher unilatéralement. Il consiste à invoquer formellement le privilege, à obliger le régulateur à justifier la base légale permettant de l'écarter et, si nécessaire, à laisser un tribunal trancher le litige. Les équipes de gouvernance des données appuient cette démarche en produisant rapidement des privilege logs propres et bien documentés, car le retard lui-même peut s'apparenter à une obstruction.

🎬 [VIDEO: "GDPR and Legal Professional Privilege Explained" — youtube.com — cherchez des webinaires récents de conformité pour cabinets britanniques traitant de l'articulation entre SAR et privilege, plusieurs barreaux et law societies publient des enregistrements gratuits]

Points clés à retenir

• Les cabinets d'avocats évoluent sous deux régimes à la fois : le droit de la protection des données (RGPD, CCPA) et le legal professional privilege. En cas de collision, le privilege limite généralement les obligations de divulgation, sans les supprimer.
• Utilisez le cadre des trois catégories : divulgation obligatoire (décision de justice valide, injonction légale), divulgation possible (SAR et demandes de droits similaires, sous réserve des caviardages liés au privilege), divulgation impossible (éléments privilégiés sans contrainte valide).
• Une réponse à une SAR exige une revue du privilege document par document, pas un refus global ni une remise globale, et les cabinets doivent consigner le raisonnement derrière chaque caviardage.
• Une bonne gouvernance des données (cartographie, marquage du privilege, journaux d'accès, discipline de conservation) est ce qui rend possible une réponse légale et dans les temps face à des délais réels comme la fenêtre d'un mois du RGPD pour les SAR.
• Les conflits réels entre une demande de divulgation d'un régulateur et le privilege doivent se régler en invoquant formellement le privilege et, si besoin, en laissant un tribunal décider, pas par la décision unilatérale d'un associé.