WhatsApp au cabinet : chiffré, mais pas sans risque

L’application de messagerie instantanée, dont le chiffrement de bout en bout constitue l’argument de sécurité central, est aujourd’hui l’un des outils de communication les plus répandus en France. Côté praticiens, son usage est souvent initié par les clients eux-mêmes, qui transmettent un document scanné, posent une question rapide ou demandent une confirmation par ce canal plutôt que par courriel. Face à cette pression de l’usage, de nombreux avocats ont répondu par le pragmatisme, sans nécessairement mesurer les implications déontologiques de ce choix.

Le problème n’est pas le chiffrement en lui-même. WhatsApp chiffre les messages en transit, ce qui protège leur interception sur le réseau. Mais cette protection ne couvre pas la conservation des données côté serveur, notamment via les sauvegardes automatiques activées par défaut sur Google Drive ou iCloud, ni l’accès de Meta, maison mère de l’application, à certaines métadonnées. Le cadre juridique de traitement des données par Meta soulève par ailleurs des questions persistantes au regard du RGPD et des transferts de données hors Union européenne, que les autorités de contrôle européennes ont eu à examiner dans d’autres contextes.

Secret professionnel, RGPD et conservation des échanges : le cadre applicable

L’article 4 du Règlement intérieur national impose à l’avocat de préserver le secret professionnel « de manière absolue », ce qui comprend les informations échangées avec les clients, quels que soient le canal ou le support utilisés. Cette obligation ne disparaît pas parce que l’échange a eu lieu via une messagerie mobile plutôt que par lettre recommandée ou courriel sécurisé. Elle implique, au contraire, que l’avocat choisisse des outils dont la sécurité est documentée et vérifiable.

Sur le terrain du RGPD, l’avocat qui utilise WhatsApp pour communiquer avec ses clients endosse la qualité de responsable du traitement au sens du règlement européen. À ce titre, il doit pouvoir démontrer que les données transmises sont traitées de manière sécurisée, que les durées de conservation sont maîtrisées et que les données ne sont pas transférées vers des pays tiers sans garanties suffisantes. Les conditions générales d’utilisation de WhatsApp prévoient le transfert de certaines données vers les États-Unis, ce qui exige une vigilance particulière, même si le Data Privacy Framework adopté en 2023 a partiellement modifié le régime applicable en clarifiant les bases juridiques des transferts transatlantiques.

L’obligation de conserver les pièces des dossiers, qui découle du principe de bonne gestion du cabinet et des règles ordinales, pose en outre la question de l’archivage des échanges WhatsApp. Les messages s’accumulent dans l’application sans indexation structurée, sans rattachement possible à un dossier précis. En cas de litige sur une communication avec un client, leur exploitation probatoire sera délicate et leur authenticité susceptible d’être contestée.

Les risques concrets d’un usage non encadré

Deux catégories de risques se dégagent. La première est opérationnelle : l’avocat qui utilise son numéro mobile personnel sur WhatsApp ne dispose d’aucune séparation entre les échanges familiaux et les communications professionnelles. Cette porosité peut conduire à des envois erronés, à une disponibilité perçue comme permanente par les clients, et à une traçabilité complexe en cas de contrôle ordinaire. Une notification visible sur un écran non verrouillé, une sauvegarde automatique partagée sur un compte familial ou un appareil sans authentification forte suffisent à exposer des informations couvertes par le secret.

La seconde catégorie est probatoire. Un message WhatsApp n’a pas de valeur probante automatique devant les juridictions : son authenticité peut être remise en question, et sa conservation sur un appareil mobile reste fragile lors d’un changement de téléphone, d’une mise à jour système ou d’une réinitialisation d’urgence. Des informations transmises de façon informelle via la messagerie peuvent aussi être interprétées par le client comme des consultations facturables ou comme des engagements fermes de l’avocat, alimentant ainsi des contestations d’honoraires que rien ne vient clairement démentir.

Concevoir une politique interne d’usage des messageries : méthode en quatre étapes

La réponse à ces risques passe moins par l’interdiction totale que par la formalisation. Une politique interne peut être mise en place en quatre étapes accessibles à toute structure, qu’il s’agisse d’un cabinet individuel ou d’une structure d’exercice plus importante.

La première est une cartographie des usages existants : quels membres du cabinet utilisent WhatsApp à des fins professionnelles, pour quels types d’échanges, avec quels interlocuteurs. Un questionnaire interne de cinq à dix questions permet d’établir cet état des lieux en moins d’une semaine.

La deuxième est la rédaction d’une charte interne des communications numériques, qui distingue les usages autorisés (confirmation de rendez-vous, coordination logistique, envoi de documents de faible sensibilité) des usages à proscrire (transmission de pièces couvertes par le secret, discussions stratégiques sur un dossier en cours, communication de données personnelles de tiers). Cette charte doit être annexée aux contrats de collaboration et intégrée au règlement intérieur du cabinet. Elle constitue aussi un outil de formation pour les stagiaires, qui découvrent souvent les usages du cabinet sans cadre explicite.

La troisième étape est technique. Il s’agit de désactiver les sauvegardes automatiques vers les services cloud grand public, d’activer la double authentification sur l’application, et de prévoir, pour les avocats qui le souhaitent, un numéro dédié aux échanges professionnels, distinct du numéro personnel. Pour les échanges à contenu sensible, des alternatives existent : Signal bénéficie d’une architecture considérée comme plus favorable à la confidentialité par les spécialistes en cybersécurité ; des solutions de messagerie conçues spécifiquement pour les professions réglementées commencent également à se développer sur le marché français, même si leur adoption reste marginale à ce jour.

La quatrième étape est la formation des collaborateurs et des stagiaires. Un rappel annuel, intégré dans les réunions de cabinet ou dans le plan de formation continue interne, suffit à maintenir le niveau de vigilance. L’essentiel est que chaque membre du cabinet comprenne pourquoi ces règles existent et puisse les appliquer sans hésitation dans son quotidien.

Ce qu’il faut retenir

• L’usage de WhatsApp dans la relation client engage la responsabilité déontologique de l’avocat au titre du secret professionnel et sa conformité au RGPD, indépendamment du chiffrement de l’application en transit.
• Une charte interne des communications numériques, annexée aux contrats de collaboration et intégrée au règlement intérieur du cabinet, constitue le socle minimal pour sécuriser ces pratiques.
• Les échanges contenant des informations couvertes par le secret professionnel doivent être réservés à des canaux dont les conditions de sécurité et de conservation sont documentées et maîtrisées par l’avocat lui-même.

Photo : usine-digitale.fr