Utilisation du cloud - Digitalisierung

Utilisation du cloud

Exercer la profession d’avocat sans recours à une forme ou une autre d’informatique semble totalement inconcevable, et ce depuis plusieurs décennies. Souvent, la mise en place et la maintenance du système informatique ne sont pas assurées par l’avocat/e lui/elle-même, mais par des informaticiens internes ou un prestataire de services externe. Les études d’avocats utilisent non seulement des ordinateurs autonomes ou des réseaux locaux, mais font également appel, depuis quelques années, à des services cloud. Le cloud se réfère à une gamme de services proposés en ligne via un réseau, quel que soit l’endroit où se trouve l’avocat, de sorte que l’emplacement physique de ces services n’a techniquement pas d’importance.

Aux États-Unis d’Amérique, le cloud s’est imposé comme une solution de remplacement à l’informatique traditionnelle. En Europe, le CCBE, en tant qu’organisation faîtière des fédérations nationales d’avocats, a émis des recommandations générales sur la manière d’utiliser le cloud, déclarant de la sorte son admissibilité comme outil de travail de l’avocat. En revanche, la question de savoir si le cloud était conforme à nos règles professionnelles a longtemps été débattue en Suisse. Un projet de recherche universitaire, mené en étroite collaboration avec la FSA et intitulé « Transformation numérique des moyens de communication et solutions basées sur le cloud : un défi de taille pour les avocats », de même qu’un avis de droit émis par le Center for Information Technology, Society and Law (ITSL) de l’Université de Zurich, ont permis de clarifier ces questions qui se posaient avec acuité :

Plusieurs auteurs (cf. en particulier Chappuis et Alberini, Secret professionnel de l’avocat et solutions cloud, Revue de l'avocat 8/2017, p. 337 ss  l’instar du Conseil fédéral, arrivent aux mêmes conclusions. Dans son message relatif à la loi sur la protection des données , le Conseil fédéral indique par exemple que la sous-traitance de données personnelles protégées par l’art. 321 CPS n’est pas non plus exclue par la nouvelle LPD, du moins si ces tiers peuvent être qualifiés d’auxiliaires au sens de l’art. 321 ch. 1^er al. 1^er CP.

Recommandations de la FSA pour l’externalisation informatique et les services cloud

Cliquez ici pour consulter les lignes directrices édictées en juin 2019 par le groupe d’experts de la FSA pour la transition numérique.

Les modèles de services cloud

Le sondage réalisé par la FSA en 2018 montre que la majorité des études d’avocats sondées ont leurs infrastructures informatiques de base installées de manière stationnaire (53 %), mais qu’une grande partie d’entre elles sont déjà stockées dans le cloud (39 %). Presque toutes les ressources informatiques peuvent être externalisées sur un cloud et il existe différents modèles de services sur le marché. On les classe généralement en trois grandes catégories : l’Infrastructure-as-a-Service (IaaS), la Platform-as-a-Service (PaaS) et le Software-as-a-Service (SaaS). Le modèle PaaS est principalement destiné au développement d’applications. Dès lors que les études d’avocats n’utilisent que rarement ce modèle, du moins à l’heure actuelle, la description qui suit se limitera aux deux autres modèles.

L’accès aux données

Lors de l’utilisation de services cloud, les données ne sont plus stockées localement au sein de l’étude d’avocats, mais chez le fournisseur de services cloud. La transmission sur Internet est chiffrée par les protocoles HTTPS (Hypertext Transmission Protocol Secure) et TLS (Transport Layer Security), lesquels utilisent une clé de grande taille (128 ou 256 bits). Le fournisseur de services cloud chiffre également les données à l’aide d’une clé locale, par exemple avec la méthode AES (Advanced Encryption Standard). 

Obligation de diligence dans la sélection, l’instruction et la surveillance des auxiliaires

Lors du choix d’un auxiliaire, les personnes astreintes au secret professionnel doivent respecter certaines règles, lesquelles découlent également du droit civil et des règles professionnelles. Ces dernières ne permettent aucune révélation proscrite par le droit pénal, mais contribuent à préciser la notion d’auxiliaire de l’art. 321 ch. 1er al. 1er CP, par le biais d’une interprétation téléologique.

L’avocat qui fait appel à des auxiliaires endosse la responsabilité de l’art. 101 CO pour tous les dommages causés par ses auxiliaires chargés d’exécuter l’obligation, à condition que ces dommages puissent leur être imputés. L’art. 13 al. 2 LLCA prévoit également que l’avocat doit s’assurer que le secret professionnel est respecté, en engageant, instruisant et surveillant ses auxiliaires. S’il ne prend pas toutes les mesures raisonnables pour garantir son secret professionnel, il enfreint cette règle professionnelle. La doctrine retient par ailleurs que les auxiliaires doivent contractuellement s’obliger à maintenir le secret, tout en soulignant la nécessité de mettre en place un véritable dispositif de sécurité, en fonction de la taille et des activités de l’étude d’avocats. Il peut donc s’avérer judicieux de restreindre le cercle des auxiliaires impliqués dans des informations particulièrement sensibles et de prendre les mesures techniques et organisationnelles appropriées pour protéger ces informations.

En conclusion, le détenteur du secret n’est donc pas totalement libre dans ses actions. Le respect des obligations civiles et professionnelles exige plutôt une limitation raisonnable du cercle des personnes qui ont accès aux informations secrètes et une prise de mesures suffisantes pour sécuriser ces informations.

Quid s’il s’agit de fournisseurs de services cloud à l’étranger ?

Si des données sont transférées à l’étranger ou si un fournisseur de services cloud à l’étranger se voit accorder l’accès à des données stockées en Suisse, ces données peuvent être soumises à une protection juridique plus faible ou à un droit d’accès des autorités étrangères (par exemple dans le cas de mesures coercitives lors d’une procédure pénale). Comme exemple perceptif, le Cloud Act 29 adopté par le Congrès américain en mars 2018 permet aux autorités américaines d’accéder aux données stockées à l’étranger si elles sont en possession, sous la garde ou le contrôle d’un fournisseur américain de services cloud.

La compétence pénale suisse est en principe liée au lieu de commission de l’acte, c.-à-d. soit le lieu d’exécution ou le lieu du résultat (art. 8 al. 1er CP). Si le secret est révélé à l’étranger, il se peut que ni la commission de l’acte ni le résultat n’aient eu lieu en Suisse. Toutefois, pour admettre qu’il y a eu communication à un auxiliaire, il n’est pas déterminant que celui-ci soit également soumis à l’art. 321 CP. Ce qui est décisif, c’est que l’implication du fournisseur de services cloud soit autorisée. Cela nécessite que ce dernier soit contractuellement tenu au secret professionnel et que l’externalisation prévue résiste à l’évaluation des risques. Dans cette analyse, il faut tenir compte de la sensibilité des données, mais aussi du respect attendu des contrats et des lois auxquels est soumis le fournisseur de services cloud à l’étranger, ainsi que de la probabilité concrète d’accès aux données. Cette évaluation des risques peut varier en fonction de l’activité de l’avocat/e. Une prudence élémentaire s’impose, notamment lorsque l’avocat/e conseille des clients étrangers sur des questions fiscales et des clients politiquement exposés.

Garantie supplémentaire : le consentement du client

Même si le recours à un fournisseur de services cloud par l’avocat est en principe autorisé, il est recommandé, afin de garantir un degré de sécurité supplémentaire dans l’exécution du mandat, d’obtenir le consentement du client pour le recours à ce fournisseur (ainsi qu’à d’autres auxiliaires, tels que les stagiaires et les informaticiens). Ce consentement ne requiert pas de forme particulière. En outre, le consentement est présumé si le client a été suffisamment informé sur l’utilisation des services cloud par son avocat/e et si, une fois cette information donnée, il ne s’est pas opposé au maintien du mandat. À l’issue de celui-ci, il convient de prévoir, dans le modèle IaaS, un archivage chiffré, lequel exclut désormais tout accès par le fournisseur de services cloud au contenu des données stockées.