Hors collection - Guide pratique : Les avocats et le règlement général sur la protection des données (RGPD) - 1re - 25

Cependant, l'article 9 prévoit une exception à l'alinéa 2.f) pour « le traitement
nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice
ou chaque fois que des juridictions agissent dans le cadre de leur fonction
juridictionnelle ». Il semble donc que les avocats jouissent d'une exception leur
permettant de traiter de données particulières aﬁn d'exercer leur profession pour
autant que la donnée concernée soit strictement nécessaire à la constatation, à
l'exercice ou à la défense du droit de son client en justice. Une appréciation stricte
de cette nécessité est bien entendu recommandée.
Respect du principe de minimisation. Conformément à l'article 5 du RGPD,
l'avocat ne doit collecter que des données adéquates, pertinentes et strictement
nécessaires à la ﬁnalité du traitement.
Or, il n'est pas rare que l'avocat reçoive beaucoup d'informations de ses clients.
Aﬁn de respecter le principe de minimisation, il convient, autant que faire se peut,
d'orienter son client lorsqu'il fournit des données personnelles à l'avocat sur les
documents qui sont nécessaires pour le représenter et le conseiller.

2. L'avocat doit-il procéder à des formalités ?
Avant le 25 mai 2018. En application de la loi Informatique et libertés du 6 janvier
1978, les responsables de traitement devaient effectuer des déclarations auprès
de la CNIL préalablement à la mise en œuvre d'un traitement de données à
caractère personnel.
En matière de gestion des clients, la CNIL avait édicté des dispenses et normes
pour simpliﬁer ce processus, notamment la norme simpliﬁée n°48 qui concerne
la gestion des ﬁchiers clients et prospects ainsi que la dispense DI-007 relative
à l'information et la communication externe. Ces normes peuvent servir aux
cabinets d'avocats pour les aider à déterminer les limites aux traitements des
données personnelles.
Après le 25 mai 2018. Le RGPD allège grandement les formalités mais introduit
en contrepartie de nouvelles obligations pour le responsable de traitement.
Le registre des activités de traitement. Le registre des activités de traitement
répertorie les informations relatives aux caractéristiques des traitements mis en
œuvre par le responsable de traitements.
Cette obligation ne s'impose que dans certains cas. A priori, le cabinet d'avocats
doit tenir un registre des activités de traitements dans la mesure où il traite de
manière non occasionnelle des données à caractère personnel et en particulier
des données sensibles (ex : données de santé, données sur l'origine raciale, etc.)
ou des données se rapportant à des condamnations et des infractions pénales.
Il convient donc d'insérer dans le registre des activités de traitement, une ﬁche
dédiée à la gestion des clients qui doit comporter les éléments suivants :

* Identité et coordonnées du responsable de traitement
* Finalités ;
23
Table des matières de la publication Hors collection - Guide pratique : Les avocats et le règlement général sur la protection des données (RGPD) - 1re
