Cyberattaque dans un cabinet d’avocats : les 4 responsabilités qui pèsent sur les associés

Contrairement à ce qu’on peut croire, une cyberattaque dans un cabinet n’est pas seulement un problème technique. C’est un événement qui peut engager, en même temps, votre responsabilité civile, pénale, déontologique et la CNIL. Tour d’horizon de ce que ça veut dire concrètement.

Les cabinets d’avocats sont devenus une cible de choix pour les cybercriminels, et la raison est assez froide : vous concentrez sur vos serveurs exactement ce qu’ils cherchent. Des dossiers clients sensibles, des éléments stratégiques sur des entreprises tierces, de la propriété intellectuelle, des transactions financières en cours. L’American Bar Association rapportait récemment que 29% des cabinets américains avaient subi une violation de sécurité, et trois sur quatre ont dû fermer au moins trois jours complets.

En France, la situation n’est pas meilleure. L’ENISA, l’agence européenne de cybersécurité, estime que 70% des petits et moyens cabinets européens n’ont pas mis en place de mesures de sécurité adéquates.

Mais le sujet que les dirigeants de cabinet sous-estiment le plus n’est pas celui de l’impact opérationnel. C’est celui de leur propre responsabilité juridique. Parce qu’en cas d’attaque, quatre régimes de responsabilité se déclenchent en parallèle, et c’est l’associé qui est au centre.

1. La responsabilité déontologique : le secret professionnel

C’est la plus immédiate, et la plus spécifique à votre profession. Le secret professionnel de l’avocat ne couvre pas seulement ce que vous dites ou écrivez. Il couvre tout ce qui vous est confié, sous toutes ses formes, y compris les fichiers numériques stockés sur votre serveur.

Si une cyberattaque entraîne la fuite de dossiers clients, de correspondances, de stratégies contentieuses, ce n’est pas qu’une violation de données au sens RGPD. C’est, potentiellement, une atteinte au secret professionnel, dont le manquement expose à des sanctions ordinales, et à des actions en responsabilité de la part des clients eux-mêmes.

Le Conseil National des Barreaux l’a d’ailleurs inscrit dans ses recommandations : la cybersécurité n’est plus une option technique, c’est une condition d’exercice conforme à la déontologie. Un associé qui n’a rien mis en place pour protéger les dossiers de ses clients ne peut pas plaider la bonne foi si ces dossiers se retrouvent sur le dark web.

2. La responsabilité civile : les actions des clients lésés

Vos clients vous font confiance avec des informations dont la fuite peut leur causer un préjudice majeur. Une société en négociation de rachat, un particulier en plein divorce contentieux, une entreprise sur le point de signer un contrat stratégique. Si ces informations fuitent à cause d’une attaque sur votre système, les clients concernés peuvent engager votre responsabilité civile pour le préjudice subi.

Le point clé, juridiquement, n’est pas que vous ayez été victime d’une attaque. C’est la question de savoir si vous aviez mis en place des mesures de protection raisonnables. La jurisprudence récente, y compris sur les dirigeants d’entreprise en général, retient l’obligation de diligence : avoir une politique formalisée, avoir alloué des ressources, avoir mis en place des audits réguliers.

Un cabinet américain, victime d’un ransomware, a récemment chiffré son préjudice à 700 000 dollars en facturation perdue, sans compter le coût de la rançon. Mais ce qui a aggravé la facture, c’est l’action des clients pour les préjudices subis du fait de la fuite. Les sommes demandées peuvent dépasser, de très loin, le coût direct de l’attaque.

3. La responsabilité pénale : la négligence caractérisée

Le volet pénal est celui que les associés sous-estiment le plus. Pourtant, plusieurs textes peuvent être activés.

L’article 226-17 du Code pénal sanctionne la négligence caractérisée en matière de protection des données personnelles. Un défaut de mesures élémentaires de sécurité, alors que les alertes existent et que le secteur est connu comme cible, peut être qualifié de négligence caractérisée. La peine peut aller jusqu’à 5 ans d’emprisonnement et 300 000 euros d’amende.

À cela s’ajoute l’obligation de notification. L’article 83.4 du RGPD impose de notifier la CNIL dans les 72 heures suivant la découverte d’une violation de données. Ne pas notifier, ou notifier hors délai, est directement sanctionnable, indépendamment de l’attaque elle-même. La loi LOPMI de 2023 ajoute une obligation parallèle : déposer plainte dans les 72 heures pour espérer être indemnisé par votre assureur cyber. Sans plainte dans ce délai, votre assurance peut refuser de couvrir le sinistre.

En cas de mise en cause, les peines complémentaires incluent l’interdiction de gérer et la publication de la décision de justice. Pour un avocat, cette dernière est particulièrement dévastatrice en termes de réputation professionnelle.

4. La responsabilité CNIL : l’amende administrative

Dernier régime, le plus médiatisé mais pas forcément le plus impactant financièrement pour un cabinet de taille moyenne. La CNIL peut prononcer des sanctions administratives pouvant atteindre 4% du chiffre d’affaires en cas de manquement au RGPD.

Les points de contrôle les plus fréquents de la CNIL dans les cabinets d’avocats sont connus : le registre des traitements à jour, les durées de conservation respectées (notamment pour les dossiers clos depuis plusieurs années qui traînent encore sur les serveurs), et la mise en œuvre de mesures techniques et organisationnelles adéquates au regard de l’article 32 du RGPD.

Sur ce dernier point, l’authentification multifactorielle est devenue un critère quasi systématique dans l’appréciation de la CNIL. Microsoft estime qu’elle bloque jusqu’à 99% des attaques par compromission d’identifiants. Un cabinet qui ne l’a pas mise en place pour ses accès distants ou sa messagerie aura beaucoup de mal à démontrer la diligence attendue.

Les 3 mesures qui font la différence

Il n’y a pas de sécurité absolue, et les tribunaux ne l’attendent pas. Ce qu’ils attendent, c’est une approche structurée et proportionnée à la taille du cabinet. Trois mesures concrètes sont aujourd’hui considérées comme le minimum attendu.

L’authentification à double facteur sur tous les accès sensibles.

Messagerie professionnelle, accès au logiciel métier, VPN, comptes administrateurs. C’est la mesure la plus efficace, la moins chère à déployer, et la plus regardée par la CNIL.

Des sauvegardes testées et isolées.

Une sauvegarde qui n’a jamais été testée en restauration réelle n’est pas une sauvegarde, c’est une hypothèse. Une sauvegarde connectée en permanence au réseau sera chiffrée en même temps que le reste lors d’un ransomware. Il faut une copie isolée physiquement ou logiquement, et un test de restauration au moins une fois par an.

Un plan de réponse aux incidents formalisé.

Qui appelle qui, dans quel ordre, dans les premières heures. Qui rédige la notification CNIL. Qui communique avec les clients. Qui dépose plainte. Ce document doit tenir sur une page, être connu de la direction, et avoir été testé au moins une fois en simulation. Sans cela, au moment de l’attaque, vous improvisez, et vous ratez les délais légaux.

Une responsabilité qui ne se délègue pas

On me dit souvent, en rendez-vous avec des cabinets : “on a un prestataire informatique, c’est son problème.” Juridiquement, c’est faux. Le prestataire informatique peut être contractuellement responsable d’une défaillance technique. Mais la responsabilité déontologique, pénale et CNIL du cabinet lui-même, elle, ne se délègue pas. Elle reste sur les associés.

Le bon réflexe n’est pas de sous-traiter la question et de l’oublier. C’est de s’assurer, auprès de son prestataire, que les 3 mesures ci-dessus sont en place, documentées, et testées. Si la réponse est floue ou évasive, c’est qu’il y a un chantier à ouvrir, avant la prochaine attaque et pas après.

François Thevenot

Fondateur d’Altevia Tech, prestataire en infogérance et cybersécurité pour les TPE/PME en Occitanie. Nous accompagnons les cabinets d’avocats, d’experts-comptables et les structures de services pour faire de l’IT un outil de pilotage et non une source de stress.