Partage de fichiers sécurisé pour les cabinets d’avocats

L’échange de fichiers d’un cabinet d’avocats n’est pas un problème, mais quatre : recevoir des documents d’un client qui n’a jamais utilisé vos outils, envoyer vos livrables vers l’extérieur, faire circuler des pièces entre confrères, experts et parties adverses, et conserver l’ensemble du dossier quelque part aussi longtemps que votre politique d’archivage l’exige. Chacun a un modèle de menace différent, et la plupart des cabinets règlent les quatre avec le même outil — l’e-mail — parce que c’est le seul canal que toutes les contreparties possèdent déjà.

Cette page porte sur le choix de ce qu’il faut utiliser à la place. Elle couvre ce que vos obligations de confidentialité exigent réellement d’un outil, ce que le mot « chiffré » couvre et ne couvre pas pour des pièces protégées par le secret professionnel, comment fonctionnent la collecte, la conservation et la suppression lorsque le prestataire ne peut pas lire les fichiers, et les questions qui séparent une vraie réponse d’une réponse marketing. ShieldFive apparaît à la fin, avec ses lacunes nommées — plusieurs sont rédhibitoires pour certains cabinets, et il vaut mieux le lire ici que le découvrir après la migration. Rien de tout cela ne constitue un conseil juridique ; ce sont les règles de votre barreau et les conditions convenues avec vos clients qui s’appliquent, et elles varient selon la juridiction.

Le devoir de confidentialité et le privilège sont deux obligations distinctes

On les ramène couramment à une seule, et cette confusion produit de mauvaises décisions d’outillage.

Le devoir de confidentialité est le plus large. Dans la plupart des juridictions, il couvre pratiquement tout ce qui se rapporte à un dossier, quelle qu’en soit la source, et il oblige à faire des efforts raisonnables pour empêcher toute divulgation non autorisée. « Raisonnable » est le mot déterminant : c’est un standard, pas une liste de contrôle, et il évolue à mesure qu’évolue la technologie disponible. Un choix d’outil défendable il y a dix ans ne l’est pas automatiquement aujourd’hui.

Aux États-Unis, la référence habituelle pour cette obligation est l’ABA Model Rule 1.6(c), qui est une règle américaine et rien d’autre. Pour un cabinet français, l’équivalent évident est le secret professionnel de l’avocat, dont la violation est sanctionnée par l’article 226-13 du Code pénal, et qui, dès qu’il est question de données personnelles, se superpose aux obligations de sécurité du traitement de l’article 32 du RGPD, sous la supervision de la CNIL. Ce sont des ensembles de règles distincts qui aboutissent au même endroit : l’outil par lequel transitent les documents du client fait partie de la conformité, ce n’est pas un détail extérieur à elle.

Le privilège avocat-client (attorney–client privilege) est plus étroit et de nature probatoire. Il protège les communications confidentielles échangées en vue d’un conseil juridique, et il peut être perdu : par divulgation à un tiers, par une manipulation négligente, parfois par une production accidentelle de pièces. C’est une notion de common law, sans équivalent exact dans les systèmes de tradition civiliste, où le même intérêt est protégé par la voie du secret professionnel. Savoir si le fait de faire transiter des pièces protégées par un prestataire techniquement capable de les lire affecte le privilège dépend de la juridiction et des faits, et aucune page de prestataire ne peut y répondre à votre place. Mais le sens du risque ne fait aucun doute : moins il y a de parties techniquement capables de lire les pièces, plus court est l’argument que vous aurez un jour à soutenir à leur sujet.

C’est le lien concret entre les règles déontologiques et la question d’architecture. Un prestataire qui détient les documents de vos clients sous une forme qu’il peut lire est une partie qui y a accès. Ce peut être une partie digne de confiance, dotée d’un bon programme de sécurité — c’est le cas de la plupart — mais sa capacité à lire les fichiers est un fait relatif au système, et elle survit à toutes les promesses du contrat. Un prestataire qui est, par construction, incapable de les lire supprime la question au lieu d’y répondre.

Ce que le mot « chiffré » couvre et ne couvre pas

Presque tous les outils de fichiers du marché affirment chiffrer vos données. Le mot recouvre au moins trois dispositifs différents, et la différence n’apparaît que sous pression.

La plupart des affirmations de « chiffrement de niveau bancaire » décrivent la ligne du milieu. C’est une posture légitime et répandue — chiffrer au repos avec des clés que vous gérez vaut réellement mieux que de ne pas le faire — mais c’est une promesse de comportement, pas une limite de capacité.

Vient maintenant la partie que les prestataires évoquent moins souvent. Même dans le modèle le plus fort, le chiffrement ne couvre pas :

• Les terminaux. Un ordinateur portable compromis, un poste partagé, le téléphone d’un collaborateur sans verrouillage d’écran. Le chiffrement protège le fichier en transit et au repos, pas l’appareil sur lequel il est déchiffré et lu.
• Le destinataire. Une fois que vous avez partagé un document avec la partie adverse, elle l’a. L’expiration et les plafonds de téléchargement limitent le réaccès à la copie stockée sur le serveur ; ils n’atteignent pas la copie sur son disque.
• Le lien, lorsque le lien est la clé. Le partage par lien est une capacité au porteur : quiconque détient l’URL peut l’ouvrir. Envoyer un lien à la mauvaise adresse expose exactement autant qu’envoyer le fichier, sauf si un second facteur circule séparément.
• Les métadonnées, sauf si elles sont chiffrées elles aussi. Les noms de fichiers et de dossiers trahissent les affaires. Un dossier portant le nom d’une partie et un fichier intitulé « projet de protocole transactionnel v4 » constituent une divulgation, même si les documents eux-mêmes sont scellés. Demandez explicitement si les noms sont chiffrés ou simplement stockés.
• Les procédures dirigées contre quelqu’un d’autre. Votre client, votre confrère et votre expert peuvent chacun faire l’objet d’une réquisition indépendante. Le chiffrement modifie ce que l’on peut contraindre le prestataire à produire, pas ce que les parties peuvent produire.
• Le chemin de livraison d’une application web. Tout chiffrement effectué dans le navigateur dépend du JavaScript envoyé par le serveur. La formulation honnête est « chiffré dans le navigateur, texte chiffré au repos », et non « aucun serveur ne pourrait jamais subvertir cela ». Tout prestataire qui affirme la version forte promet plus qu’il ne peut tenir.

Les quatre échanges, et ce dont chacun a besoin

La collecte auprès du client. Le plus difficile des quatre, parce que la contrainte n’est pas la sécurité mais la friction. Un client qui doit créer un compte, choisir un mot de passe et s’en souvenir enverra les documents par e-mail, et vous n’aurez rien résolu. Ce dont la collecte a besoin, c’est d’un lien que le client peut ouvrir à froid, d’une liste visible de ce qui manque, et d’un chiffrement qui a lieu sans que le client s’aperçoive qu’il a eu lieu. Quoi que vous évaluiez par ailleurs, testez cette étape avec un vrai client non technicien avant de vous engager.

L’envoi des livrables. Ici vous avez davantage de contrôle et vous devriez l’utiliser : une expiration, un plafond de téléchargements et — celui qui compte le plus — un second facteur qui ne circule pas dans le même e-mail que le lien. Un mot de passe transmis par SMS ou dicté au téléphone transforme un lien au porteur en quelque chose qui se rapproche d’une remise à deux facteurs.

Confrères, experts, parties adverses. Ce sont des contreparties professionnelles, avec leurs propres systèmes et leurs propres obligations, et elles imposeront souvent les leurs. Attendez-vous à devoir aller là où elles sont. Ce que vous pouvez encore maîtriser, c’est ce qui sort de chez vous : un partage limité à des documents précis plutôt qu’un accès au dossier complet, et une trace de ce que vous avez envoyé et quand.

La conservation du dossier. C’est de la gestion documentaire, pas du partage de fichiers, et les deux sont fréquemment — et coûteusement — confondues. S’il vous faut un classement par dossier, un contrôle des conflits d’intérêts, un historique des versions rattaché à un numéro de dossier et des règles de conservation qui se déclenchent seules, ce qu’il vous faut est un système de gestion documentaire ou une suite de gestion de cabinet. Un outil de partage placé dans ce rôle devient un référentiel parallèle que personne ne peut interroger — ce qui est pire que l’e-mail qu’il a remplacé. Pour la communication de pièces en masse et la due diligence, voir data room ou partage de fichiers sécurisé ; les contrôles qu’ajoute une data room (filigrane par document, questions-réponses, statistiques de consultation détaillées) sont réels, et un outil de partage ne les a pas.

Conservation et suppression

La suppression est l’endroit où les outils chiffrés se comportent autrement que ceux dont votre cabinet a l’habitude, et les différences comptent pour une politique de conservation.

Commencez par la distinction qui cause le plus de confusion : révoquer un partage n’est pas supprimer un fichier. La révocation coupe la voie d’accès ; le document reste dans votre coffre-fort. La suppression retire l’objet stocké. Une politique qui dit « les liens expirent au bout de 30 jours » n’a rien dit sur la durée pendant laquelle le cabinet conserve les pièces, et un auditeur le remarquera.

Deuxièmement, dans un système à connaissance nulle, la suppression est réellement destructive et il n’existe aucune annulation côté prestataire. Personne chez le prestataire ne peut reconstituer un fichier dont il n’a jamais eu les clés. C’est le principe même, et c’est aussi le risque : la propriété qui fait échec à une réquisition fait échec à votre propre demande de restauration. Tout cabinet qui adopte un tel outil a besoin d’un dispositif écrit de garde de la phrase secrète et de la clé de récupération avant d’y faire passer un dossier en cours — confié à plus d’une personne, conservé hors du système, et testé.

Troisièmement, l’expiration automatique et l’obligation de conservation des pièces sont en conflit direct. Un outil qui supprime sur minuterie supprimera sans hésiter des pièces que vous êtes tenu de préserver. Lorsqu’une obligation de conservation est prévisible, gardez la copie faisant foi dans le système que régit votre calendrier de conservation, et traitez l’outil de partage comme un canal, pas comme un référentiel.

Quatrièmement, demandez ce que signifie la suppression en aval. Les sauvegardes chiffrées peuvent conserver du texte chiffré pendant un certain temps après la disparition de l’enregistrement de votre interface. C’est généralement sans conséquence — c’est illisible — mais cela devrait être une réponse documentée, pas une supposition.

Les questions à poser à un prestataire

Les questions ci-dessous sont celles dont les réponses diffèrent vraiment d’un produit à l’autre. Une réponse vague à l’une d’elles est en soi une information.

1. Pouvez-vous lire les fichiers de mes clients ? Est-ce une politique ou une architecture ? La seule réponse durable est architecturale. « Nous ne regardons pas » et « nous ne pouvons pas regarder » sont deux affirmations différentes.
2. Qui détient les clés, et que produisez-vous si vous faites l’objet d’une réquisition ? Un prestataire qui détient les clés produit des documents. Un prestataire à connaissance nulle produit du texte chiffré et des métadonnées. Demandez lequel des deux, par écrit.
3. Quelles métadonnées conservez-vous, et les noms de fichiers sont-ils chiffrés ? Voir plus haut : les noms trahissent les affaires.
4. Où les données se trouvent-elles physiquement, et sous quelle juridiction ? Demandez ensuite si le contrat de sous-traitance prévu à l’article 28 du RGPD est standard ou réservé à un contrat entreprise.
5. Quels contrôles un lien de partage embarque-t-il, et la clé est-elle dans le lien ? Expiration, plafond de téléchargements, révocation, un mot de passe facultatif qui circule séparément. Si la clé voyage dans l’URL, dites-le-vous clairement : transférer le lien, c’est transférer l’accès.
6. Que se passe-t-il quand un avocat quitte le cabinet ? Supprimer le compte est le minimum. Demandez ce qu’il advient des pièces qu’il a déjà déchiffrées et mises en cache, et s’il existe une rotation de clés qui rende les pièces futures illisibles pour lui.
7. Pouvez-vous me fournir un relevé des accès pour un dossier précis ? Beaucoup d’outils ne le peuvent pas, ou ne l’affichent que dans une interface sans export. Si les exigences de sécurité imposées par un client réclament des rapports d’accès, réglez ce point avant d’acheter.
8. De quelles attestations de tiers indépendants disposez-vous ? SOC 2 Type II, ISO 27001, un test d’intrusion récent avec une synthèse lisible. « La sécurité est une priorité pour nous » n’est pas une réponse, et une certification détenue par une société mère n’en est pas une non plus si le produit n’est pas dans le périmètre.
9. Que se passe-t-il si nous perdons la phrase secrète ? Pour un outil chiffré, la réponse honnête est « les données sont perdues ». Confirmez le mécanisme de récupération et qui en a la garde.

Où ShieldFive s’insère, et où il ne s’insère pas

ShieldFive propose le stockage, le partage et la collecte de fichiers chiffrés côté client. Les fichiers sont chiffrés sur l’appareil avant l’envoi et les données chiffrées sont stockées dans l’UE. Le mot de passe n’atteint jamais ses serveurs : le navigateur le transforme en une valeur de connexion distincte avec Argon2id et n’envoie que celle-ci, et la clé qui ouvre le coffre est dérivée séparément et reste sur l’appareil. Le code de l’application web est livré par ShieldFive : le client servi à chaque visite fait donc partie du modèle de confiance, et ce n’est pas une garantie absolue que le fournisseur ne puisse pas déchiffrer les fichiers. Les envois web utilisent par défaut ML-KEM-1024/XChaCha20-Poly1305, avec AES-GCM en repli ; Android utilise aussi le format hybride par défaut, avec le même repli AES-GCM, et lit les deux formats. Le cœur cryptographique est open source, mais les applications ne le sont pas entièrement et aucun audit de sécurité externe n’a été achevé.

Pour un cabinet, cela couvre trois des quatre échanges. En entrée, une demande de documents pour les cabinets d’avocats donne au client un lien protégé par code PIN, avec une liste de ce qui reste à fournir et aucun compte à créer, et chaque dépôt est scellé aux clés du cabinet dans le navigateur du client. Pour une collecte de type questionnaire plutôt que des documents, les formulaires de collecte chiffrés fonctionnent de la même façon. En sortie, un lien de partage embarque une expiration, un plafond de téléchargements et une liste facultative de pays autorisés — utile, mais traitez cette liste comme de la friction et non comme un contrôle, puisqu’un VPN la contourne. Le contrôle qui mérite d’être utilisé à chaque fois est le mot de passe de partage : si vous en définissez un, il reste hors du lien et vous est affiché séparément, de sorte que l’URL seule ne suffit plus. Si vous n’en définissez pas, une clé générée automatiquement voyage dans le fragment du lien, ce qui signifie que le lien est l’identifiant.

Sur le départ d’un membre, ShieldFive est plus honnête que la plupart, et le détail mérite d’être connu avant de s’y fier. Retirer un membre du cabinet supprime sa clé enveloppée : il perd l’accès depuis tout nouvel appareil et toute nouvelle session. Mais un membre qui avait déjà déverrouillé et mis en cache la clé du cabinet conserve l’accès aux documents reçus avant son retrait, jusqu’à ce que vous fassiez tourner les clés du cabinet. La rotation émet une nouvelle clé de cabinet pour les demandes futures et l’enveloppe à nouveau pour les membres restants ; elle ne rechiffre pas ce qui a déjà été reçu. Anticipez les départs en conséquence.

Viennent maintenant les limites, qui sont la raison d’être de cette section. ShieldFive n’est pas un système de gestion documentaire ni une suite de gestion de cabinet : pas de classement par dossier, pas de contrôle des conflits d’intérêts, pas de calcul des délais de procédure, pas de suivi des temps ni de facturation, pas de signature électronique. Ce n’est pas une data room : pas de filigrane par document, pas de flux de questions-réponses, pas de statistiques de consultation. Il n’a aucune fonction de conservation à des fins contentieuses (legal hold) : rien ne suspend une expiration ni ne bloque une suppression parce qu’une obligation de conservation existe. Il enregistre les événements de sécurité côté serveur, mais n’expose pas de relevé d’accès exportable en libre-service que vous pourriez remettre à un client au titre de ses exigences de sécurité. Et il n’a aucun audit externe achevé : pas de SOC 2, pas d’ISO 27001, et aucun Business Associate Agreement HIPAA américain signé. Ce qu’il offre à la place, c’est un cœur cryptographique open source et une revue de sécurité interne publiée, qui est un autre type de preuve, pas un substitut.

Si les procédures d’achat de votre cabinet exigent un SOC 2 achevé aujourd’hui, ou si vos dossiers réclament une véritable gestion documentaire, ShieldFive n’est pas l’outil — et une page qui vous dirait le contraire vous rendrait un mauvais service.

Un dispositif praticable pour un cabinet de petite taille

1. Décidez quel est le référentiel faisant foi, et assurez-vous que c’est celui que régit votre calendrier de conservation. L’outil de partage est un canal d’entrée et de sortie.
2. Mettez par écrit la règle de garde de la phrase secrète et de la clé de récupération avant le premier dossier en cours : qui les détient, où, et comment une deuxième personne entre si la première est indisponible.
3. Choisissez les types de dossiers qui doivent toujours passer par un échange chiffré — typiquement tout ce qui comporte des pièces d’identité, des relevés financiers, des informations de santé, ou un client soumis à des exigences de sécurité contractuelles — et faites-en le réglage par défaut pour ceux-là, pas une option.
4. Standardisez un seul schéma de sortie : expiration définie, plafond de téléchargements défini, mot de passe défini et transmis par un canal différent de celui du lien. Un schéma que tout le monde suit vaut mieux que cinq schémas configurables que personne ne suit.
5. Testez la collecte avec un vrai client, idéalement un client pressé, depuis son téléphone. S’il la contourne, l’outil a échoué, quelle que soit sa cryptographie.
6. Inscrivez les départs dans la procédure de sortie : retirez le membre, puis faites tourner la clé du cabinet, en sachant que les documents déjà reçus restent lisibles pour quiconque avait mis en cache l’ancienne clé.
7. Faites le point après un cycle de dossier et regardez ce qui compte vraiment : quelle part des échanges sensibles passe encore par l’e-mail. C’est ce chiffre, et non une liste de fonctionnalités, qui vous dit si le déploiement a fonctionné.

Pour prolonger la lecture, e-mail ou partage de fichiers sécurisé explique pourquoi le canal par défaut échoue, la checklist du partage de documents avec les clients est la version opérationnelle courte du déploiement ci-dessus, et la collecte sécurisée de documents pour les avocats en droit des étrangers reprend la même décision pour un domaine de pratique précis, avec une comparaison complète des prestataires. Si vous comparez des prestataires à connaissance nulle en général, dix d’entre eux évalués honnêtement est le panorama le plus large.

Questions fréquentes

L’usage d’un outil de partage de fichiers dans le cloud fait-il tomber le secret professionnel ?

Pas à lui seul, et aucune page de prestataire ne peut vous donner une réponse propre à votre juridiction. La position générale est que le recours au service d’un tiers ne fait pas automatiquement perdre le bénéfice de la confidentialité lorsque le cabinet a pris des précautions raisonnables pour la préserver — ce qui reporte tout le poids sur ce que « raisonnable » signifie pour vos dossiers, votre juridiction et la sensibilité des pièces. Dans les systèmes de common law, la question équivalente est celle de la renonciation au privilège ; en France, elle se pose comme celle du secret professionnel, à laquelle s’ajoutent les obligations de sécurité du traitement de l’article 32 du RGPD. La conclusion pratique est la même dans les deux cadres : l’argument est plus court et plus solide quand moins de parties sont techniquement capables de lire les documents. Consultez les règles de votre barreau et les conditions convenues avec vos clients ; traitez cette page comme du contexte, pas comme un conseil.

Le chiffrement de bout en bout est-il nécessaire, ou le chiffrement au repos suffit-il ?

Pour une grande partie des pièces d’un cabinet, le chiffrement au repos chez un prestataire sérieux est un choix défendable, et prétendre le contraire serait malhonnête. La distinction prend toute son importance dans des situations précises : les pièces soumises à des clauses contractuelles de confidentialité du client, les dossiers dans lesquels le prestataire pourrait plausiblement faire l’objet d’une réquisition, le travail transfrontalier soumis à des contraintes de résidence des données, et tout ce pour quoi une compromission du prestataire constituerait en elle-même une violation à notifier. Ajustez le modèle au dossier plutôt que d’adopter une posture unique pour tout.

Que doit faire un cabinet en cas de perte de la phrase secrète dans un système à connaissance nulle ?

Préparez la récupération avant de stocker des dossiers réels : testez la procédure documentée et conservez une sauvegarde indépendante. ShieldFive délivre une clé de récupération lors de la configuration initiale, affichée une seule fois, et ne peut pas la retrouver pour vous. L’arrangement qui fonctionne est celui que les cabinets utilisent déjà pour les combinaisons de coffre et le séquestre chez un tiers : la clé de récupération conservée hors du système, détenue par au moins deux personnes, avec une règle écrite décrivant comment la deuxième y accède. Vérifiez que cela fonctionne avant que l’outil ne détienne quoi que ce soit que vous ne puissiez pas vous permettre de perdre.

ShieldFive peut-il servir de système de gestion documentaire au cabinet ?

Non, et il n’est pas conçu pour cela. Il n’y a pas de classement par dossier, pas de contrôle des conflits d’intérêts, pas d’historique des versions rattaché à un numéro de dossier, pas de règles de conservation automatiques, pas de signature électronique. L’utiliser comme référentiel du cabinet créerait un deuxième dépôt de documents que votre gestion documentaire ne voit pas. Le rôle qu’il occupe est celui du canal : collecter les documents des clients et envoyer des pièces sensibles vers l’extérieur, la copie faisant foi restant là où votre politique de conservation dit qu’elle doit être.

ShieldFive prend-il en charge la conservation à des fins contentieuses, ou produit-il une piste d’audit pour les clients ?

Ni l’un ni l’autre, aujourd’hui. Il n’existe aucun mécanisme de conservation qui suspende une expiration ou bloque une suppression : un dossier soumis à une obligation de conservation ne devrait donc pas dépendre d’un outil fondé sur des minuteries. Les événements de sécurité sont enregistrés côté serveur, mais il n’existe pas de relevé d’accès exportable en libre-service que vous pourriez joindre aux exigences de sécurité d’un client. Si l’un ou l’autre est une exigence ferme pour votre pratique, c’est une raison légitime de choisir autre chose — et cela vaut la peine d’être confirmé auprès de n’importe quel prestataire, car un nombre surprenant d’entre eux ne savent pas non plus exporter un journal d’accès.