L'informatique des cabinets d'avocats : données clients, Wwft et règles déontologiques de la NOvA

Par définition, les avocats travaillent avec des informations confidentielles : dossiers pénaux, divorces, documents de cession d'entreprise, pièces d'arbitrage et secret professionnel. Une seule pièce jointe envoyée au mauvais destinataire ou un seul incident de ransomware touche immédiatement à l'article 11a de l'Advocatenwet (la loi néerlandaise sur la profession d'avocat), à la règle déontologique 3 de la NOvA (l'Ordre néerlandais des avocats) et au RGPD. Dans cet article, vous découvrirez comment organiser l'informatique d'un cabinet d'avocats pour préserver à la fois la confidentialité, les obligations Wwft et l'efficacité au quotidien.

Pourquoi un cabinet d'avocats a besoin d'une organisation informatique spécifique

Un cabinet d'avocats ressemble à d'autres prestataires de services aux entreprises, mais les risques ne sont pas comparables. L'obligation de secret professionnel prévue par l'article 11a de l'Advocatenwet s'applique à tout ce qui est confié à l'avocat, perdure après la fin du mandat et concerne toutes les personnes du cabinet : associés, collaborateurs, stagiaires et administration. Une fuite n'est pas seulement un incident RGPD : c'est aussi un risque disciplinaire et un désastre pour la réputation.

À cela s'ajoute, depuis le 1er janvier 2025, un nouveau commentaire de la règle déontologique 3 relative à la confidentialité. La NOvA attend de vous que vous choisissiez avec soin les moyens de communication que vous utilisez, le fournisseur qui se trouve derrière, la manière dont les données sont traitées et le niveau de sécurité applicable. Une adresse e-mail professionnelle sur un domaine propre au cabinet, auprès d'un hébergeur professionnel, est explicitement mentionnée. Une adresse Gmail ou Hotmail gratuite pour les documents du cabinet n'entre pas dans ce cadre.

Pour les services soumis à la Wwft (immobilier, structuration d'entreprises, achat et vente de sociétés, par exemple), s'appliquent en outre les exigences de la Wwft, la loi néerlandaise relative à la prévention du blanchiment de capitaux et du financement du terrorisme, sous le contrôle des bâtonniers (dekens) au nom de la NOvA. L'organisation informatique d'un cabinet d'avocats relève donc d'une tout autre discipline que celle d'une entreprise commerciale. Vous trouverez davantage de contexte sectoriel sur notre page l'informatique pour les cabinets d'avocats.

Ce que signifient concrètement la règle déontologique 3 et le commentaire de la NOvA

Le commentaire révisé n'est pas une norme technique, mais il constitue un critère clair. Traduit en choix informatiques, il se résume à quatre points :

1. Un choix réfléchi des moyens de communication. L'avocat choisit lui-même sa messagerie, son chat, son outil de partage de fichiers et sa visioconférence, en sachant où se trouvent les données et quel fournisseur les traite. Les versions grand public (WhatsApp, services cloud gratuits) pour des documents clients sont difficiles à défendre en cas de plainte disciplinaire.
2. Un domaine professionnel propre. Une adresse du type cabinet.nl auprès d'un fournisseur professionnel, pas d'adresses génériques de fournisseur d'accès. De préférence avec SPF, DKIM et DMARC configurés. Voir notre explication de base sur la sécurité de la messagerie avec SPF, DKIM et DMARC.
3. Droits et accès. Qui peut accéder à quel dossier, et qui ne le peut pas. Un collaborateur du support n'a pas de droits de lecture sur les dossiers pénaux, et un stagiaire n'a accès qu'aux dossiers sur lesquels il travaille.
4. Documentation. Prendre de bonnes mesures est une chose ; pouvoir le démontrer lors d'une enquête du bâtonnier ou d'une plainte disciplinaire en est une autre. Politiques, protocoles et journaux doivent être disponibles à tout moment.

La NOvA propose elle-même un scan de sécurité et des conseils en matière de sécurité de l'information. C'est un point de départ utile, mais il s'agit d'un autodiagnostic sans certification obligatoire. Ce que votre cabinet en fait relève de sa propre responsabilité.

La Wwft pour les avocats : là où l'informatique entre en jeu

La Wwft ne s'applique pas à toutes les prestations d'avocat, mais à une liste de services désignés dans lesquels l'avocat agit comme « gardien » non financier. Par exemple : l'achat et la vente de biens immobiliers, la constitution ou la cession de personnes morales, la gestion de fonds pour le compte de clients. Pour ces services, une vigilance complète à l'égard de la clientèle (cliëntenonderzoek) est indispensable.

Concrètement, la Wwft exige pour chaque relation soumise à la Wwft que vous :

• Enregistriez et vérifiiez l'identité du client (passeport ou carte d'identité, plus adresse d'établissement).
• Identifiiez les bénéficiaires effectifs (UBO) des personnes morales (toute personne détenant un intérêt économique de 25 % ou plus) et vérifiiez leur identité.
• Établissiez un profil de risque fondé sur les caractéristiques du client, la nature du service et le pays.
• Appliquiez une vigilance simplifiée, normale ou renforcée, une personne politiquement exposée (PPE) imposant une vigilance renforcée.
• Surveilliez la transaction et déclariez les transactions inhabituelles à la FIU-Nederland (la cellule de renseignement financier néerlandaise).

Pour votre informatique, cela signifie qu'il vous faut un système (dans la plupart des cabinets, le logiciel de gestion de cabinet) qui enregistre pour chaque dossier : quel contrôle UBO a été effectué, quelle liste de sanctions a été consultée, quand l'évaluation des risques a été établie et qui l'a validée en interne. Un fichier Excel tenu à la main n'est plus défendable. Alors que le notariat est soumis à un plafond plus strict pour les espèces, les avocats relèvent des seuils Wwft ordinaires pour les services désignés. En cas de doute sur une transaction précise, le bâtonnier est votre premier interlocuteur. Voir aussi notre article associé l'informatique pour les études notariales pour la variante KNB (l'organisation professionnelle des notaires néerlandais).

Mettre en œuvre techniquement la confidentialité

La confidentialité, en tant que règle professionnelle, se traduit par six choix techniques que tout cabinet d'avocats bien organisé maîtrise.

La MFA sur tous les accès. Pour les avocats, l'authentification multifacteur n'est pas optionnelle. Aucun dossier n'est accessible avec un simple mot de passe. Consultez notre guide pratique pour déployer la MFA.

La gestion des terminaux. Chaque ordinateur portable et chaque téléphone est géré de manière centralisée, avec chiffrement, effacement à distance et gestion des correctifs. Un portable volé n'est alors plus une violation de données, mais une simple question d'assurance. Sans MDM, chaque perte est potentiellement à notifier à l'AP.

La segmentation du réseau. Les dossiers clients et l'administration sont stockés sur des espaces logiquement séparés, avec des droits d'accès par fonction. Une personne à l'accueil n'a pas accès aux dossiers pénaux.

Des portails clients sécurisés. Échanger de gros dossiers par pièces jointes est dépassé. Un portail client avec dépôt et téléchargement chiffrés est aujourd'hui la norme professionnelle.

Le filtrage des e-mails et l'anti-usurpation. Le phishing et la fraude à la facture dans les cabinets d'avocats sont un schéma bien connu. Un pare-feu de base et une configuration Defender sont insuffisants sans SPF, DKIM et DMARC correctement configurés et sans politique anti-usurpation (anti-spoofing) pour le domaine du cabinet.

Une sauvegarde immuable. Le ransomware dans le monde des avocats n'est pas une hypothèse. Le Nationaal Cyber Security Centrum (NCSC, le centre national de cybersécurité néerlandais) a publié un cas où un cabinet d'avocats, après un clic sur un lien de phishing, a été rançonné à hauteur de 5 750 € en bitcoins et a pu se rétablir rapidement grâce à une sauvegarde digne de ce nom. La sauvegarde doit être quotidienne, avec une rétention d'au moins 30 jours et une copie hors ligne ou immuable.

RGPD et violation de données : 72 heures, c'est 72 heures

Le RGPD continue de s'appliquer pleinement, aux côtés de la NOvA et de la Wwft. Pour les avocats, l'obligation de notifier une violation de données à l'Autoriteit Persoonsgegevens (l'autorité néerlandaise de protection des données, AP) s'applique dans les 72 heures suivant sa découverte, dès lors qu'il existe un risque réel pour les personnes concernées. Un ransomware constitue une violation de données dès lors que l'attaquant a dû accéder aux données pour les chiffrer, ce qui est en pratique toujours le cas.

Voici donc ce que vous devez avoir à disposition :

• Un registre des incidents dans lequel chaque incident de sécurité est consigné, même s'il ne s'avère pas être une violation de données.
• Des contrats de sous-traitance avec chaque fournisseur IT qui traite des données personnelles.
• Un protocole interne d'évaluation et de notification des violations de données, testé lors d'un exercice sur table. Voir que faire en cas de violation de données.

Un avocat sait mieux que quiconque qu'une notification bâclée est souvent plus préjudiciable que la notification elle-même. Pour l'organisation informatique, cela signifie : mieux vaut une plateforme techniquement rigoureuse, avec des journaux qui prouvent quelque chose, qu'une déclaration à l'AP fondée sur de simples impressions.

Signature électronique : ce qui est permis et ce qui ne l'est pas

La signature électronique est encadrée par le règlement eIDAS, qui prévoit trois niveaux : la signature électronique simple, avancée et qualifiée. Pour les actes sous seing privé (contrats de travail, accords de confidentialité, mandats ad litem), la signature avancée convient généralement très bien. Pas pour un acte authentique : celui-ci reste du ressort du notaire. Pour les avocats, la signature électronique avancée via un flux DocuSign ou Signhost constitue une norme pragmatique pour la majorité des documents.

Combien coûte une organisation informatique conforme aux exigences de la KNB ou de la NOvA ?

Il n'existe pas de tarif spécifique NOvA, mais les fourchettes du marché néerlandais en 2026 sont les suivantes :

• Poste de travail Microsoft 365 managé pour les avocats : 45 à 75 € par utilisateur et par mois pour une offre de milieu de gamme (Business Premium, MFA, EDR, sauvegarde immuable).
• Portail client et partage de fichiers sécurisé : quelques euros par dossier ou par licence, selon le fournisseur.
• Logiciel de gestion de cabinet : poste de coût à part, très variable selon l'éditeur (Advocado, Cicero, LegalSense).
• Démarche ponctuelle comprenant état des lieux, politique et formation : comptez de façon réaliste entre quelques milliers d'euros et un petit montant à cinq chiffres, selon votre point de départ.

Montrez-vous critique envers les prestataires qui promettent un « package conforme NOvA » complet sans constitution de dossier sous-jacente. La responsabilité incombe au cabinet lui-même, pas au partenaire IT. Pour davantage de repères, lisez combien coûte l'externalisation de l'informatique pour une PME.

Une approche pratique pour un cabinet d'avocats

Voici comment procéder sans en faire un grand projet informatique :

1. État des lieux. Passez en revue les conseils de la NOvA en matière de sécurité de l'information, la règle déontologique 3 et (pour les services Wwft) la checklist Wwft. Notez pour chaque point : conforme, partiellement conforme, non conforme.
2. Gains rapides. MFA partout, gestionnaire de mots de passe, chiffrement des terminaux, SPF/DKIM/DMARC, rétention sur la messagerie et OneDrive. Voir aussi notre checklist cybersécurité pour les PME.
3. Mise en place d'un portail client. Standardisez l'échange de documents volumineux ou sensibles via un portail, et non par e-mail.
4. Documentation et protocoles. Formalisez la politique de sécurité de l'information, mettez à jour le registre des traitements et rendez le protocole d'incident et le protocole de violation de données disponibles en un seul endroit.
5. Sensibilisation. Une formation annuelle pour tous, associés compris, avec une simulation de phishing pour identifier les vrais points faibles.
6. Rythme annuel. Exercice de restauration, audit des fournisseurs, revue des droits d'accès. C'est peu de travail si vous le faites chaque année.

Questions fréquentes sur l'informatique des cabinets d'avocats

Quelles règles de la NOvA s'appliquent à l'organisation informatique de mon cabinet d'avocats ? La plus importante est la règle déontologique 3 relative à la confidentialité, dont le commentaire a été renforcé au 1er janvier 2025 en matière de communication numérique. S'y ajoutent l'article 11a de l'Advocatenwet (secret professionnel), le RGPD (avec l'obligation de notifier les violations de données à l'AP sous 72 heures) et, pour les services soumis à la Wwft, la Wwft sous le contrôle des bâtonniers. La NOvA propose elle-même un scan de sécurité et des conseils en matière de sécurité de l'information.

En tant qu'avocat, puis-je utiliser WhatsApp pour communiquer avec mes clients ? La NOvA attend un choix réfléchi du moyen de communication, du fournisseur et du niveau de sécurité. WhatsApp n'est pas interdit pour convenir brièvement d'un rendez-vous, mais pour les documents clients et les contenus juridiques, un canal sécurisé (e-mail sur le domaine du cabinet, portail client ou messagerie professionnelle) est plus sûr. Documentez votre choix et vos arguments dans votre politique de sécurité de l'information.

Quand la Wwft s'applique-t-elle à mon cabinet d'avocats ? La Wwft ne s'applique pas à toutes les prestations d'avocat, mais à une liste de services désignés : achat et vente de biens immobiliers, constitution ou gestion de personnes morales, gestion de fonds pour le compte de clients, et conseil sur certaines structures d'entreprise. Pour une activité purement contentieuse, la Wwft ne s'applique généralement pas. En cas de doute sur un mandat précis, consultez le bâtonnier ou le guide Wwft de la NOvA.

Un ransomware dans un cabinet d'avocats constitue-t-il une violation de données au sens du RGPD ? Oui, dans la quasi-totalité des cas. Pour un ransomware, l'attaquant doit avoir accédé aux données pour les chiffrer, ce qui constitue un traitement non autorisé. En cas de risque pour les personnes concernées (usurpation d'identité, atteinte à la réputation), vous devez le notifier sous 72 heures à l'Autoriteit Persoonsgegevens, l'autorité néerlandaise de protection des données. Le NCSC a publié un cas où un cabinet d'avocats a subi une extorsion de 5 750 € en bitcoins et s'est rétabli rapidement grâce à de bonnes sauvegardes.

Combien coûte un poste de travail informatique conforme aux exigences de la NOvA pour un petit cabinet d'avocats ? Comptez 45 à 75 € par utilisateur et par mois pour un poste de travail managé de milieu de gamme (Business Premium, MFA, EDR, sauvegarde immuable). Le portail client et le logiciel de gestion de cabinet s'y ajoutent séparément. Une démarche ponctuelle comprenant état des lieux, politique et formation se situe de façon réaliste entre quelques milliers d'euros et un petit montant à cinq chiffres, selon votre point de départ et la taille du cabinet.

Dois-je faire signer un contrat de sous-traitance à mon partenaire IT ? Oui. Tout fournisseur IT qui traite des données personnelles pour votre compte (gestionnaire des postes de travail, prestataire de sauvegarde, portail client, logiciel de gestion de cabinet) doit signer un contrat de sous-traitance. Sans ce contrat, vous ne respectez pas l'article 28 du RGPD, quelle que soit la qualité technique du service.

Conclusion

L'informatique d'un cabinet d'avocats n'a rien d'accessoire. La règle déontologique 3 exige des choix manifestement réfléchis, la Wwft impose, lorsqu'elle s'applique, une vigilance complète à l'égard de la clientèle avec une piste d'audit, le RGPD continue de s'appliquer pleinement et le niveau de cybermenace pour les services aux entreprises reste élevé. La bonne nouvelle : si vous l'abordez comme un rythme annuel (état des lieux, gains rapides, portail client, protocoles, sensibilisation), c'est gérable sans lancer un vaste programme.

TRON Group accompagne en tant que partenaire IT des cabinets d'avocats et d'autres professionnels du droit. Notre approche : un état des lieux au regard de la règle déontologique 3 et (le cas échéant) de la checklist Wwft, un poste de travail managé avec sauvegarde immuable, des contrats de sous-traitance en ordre et un audit annuel des fournisseurs inclus. Découvrez notre approche sectorielle sur l'informatique pour les cabinets d'avocats ou appelez le +31 85 303 5869 pour un échange sans engagement. Moving IT Forward, y compris pour les avocats.