Une tribune rédigée par Isabelle Landreau, DPD interne et administratrice de l’AFCDP.
Longtemps discutée et refusée, la confidentialité des consultations des juristes d’entreprise voit sa consécration dans une décision du Conseil constitutionnel en date du 18 février 2026, N°2026-900.
La loi du 23 février 2026, crée enfin en France un “legal privilege” à la française, c’est-à-dire une confidentialité protégée des consultations juridiques rédigées par les juristes d’entreprise. Elle modifie pour cela la loi du 31 décembre 1971, via un nouvel article 58-1.
L’objectif majeur de la loi est de renforcer la capacité des entreprises à obtenir des avis internes fiables sans risque qu’ils soient saisis ou utilisés contre elles dans les procédures civiles, commerciales ou administratives.
La confidentialité est encadrée dans son champ d’application, tant par des critères de diplôme que de critères de matières exclues.
Ses impacts vont amener un bouleversement important mais attendu pour les juristes d’entreprise, et le rôle du Délégué à la protection des données sera renforcé parmi les professionnels du droit de l’entreprise.
1. Une confidentialité encadrée
Pour qu’une consultation soit couverte par la confidentialité, plusieurs conditions cumulatives doivent être réunies :
-
rédigée par un juriste d’entreprise titulaire d’un master en droit (ou diplôme équivalent) et formé aux règles éthiques ;
-
destinée exclusivement aux organes dirigeants de l’entreprise, de sa société mère ou de ses filiales ;
-
constituant un avis juridique fondé sur une règle de droit ;
-
portant la mention obligatoire :
« confidentiel – consultation juridique – juriste d’entreprise », avec identification de son auteur et archivage séparé.
Toutefois, elle ne s’applique pas :
-
en matière pénale et fiscale ;
-
devant certaines autorités de l’Union européenne (ex. enquêtes de concurrence de la Commission européenne).
Ainsi donc toutes les Autorités Administratives indépendantes (AAI) notamment la CNIL, la CADA, l’AMF et l’autorité de la concurrence gardent toujours leurs prérogatives et peuvent demander des documents internes d’entreprises.
2. Les conséquences pour le métier de DPD
La question est centrale, car beaucoup de DPD sont juristes ou travaillent en étroite collaboration avec les juristes internes. Plusieurs analyses soulignent que cette loi rebat significativement les cartes dans l’écosystème RGPD.
Des effets directs et collatéraux sont à prévoir.
Un effet direct est que la confidentialité offre un bouclier juridique aux avis produits par les juristes internes qui agissent aussi comme DPD, à condition qu'ils remplissent toutes les exigences du statut (formation éthique, destinataires, mentions obligatoires…).
Les DPD juristes ou anciens avocats sont nombreux au sein de la profession créer par l’article 37 du RGPD et ils verront donc leurs avis renforcés par cette protection, non sans être nouvelle, mais accrue.
Cela va aussi renforcer la qualité des analyses de conformité, puisque les directions pourront consulter en interne sans crainte de divulgation dans les procédures non pénales.
Pour le DPD juriste interne, il va voir son rôle renforcer car les recommandations et avis qu’il pourra donner, pourront être sous le sceau de la confidentialité et ne pas sortir de l’entreprise, sauf sur demande expresse de l’autorité de contrôle.
Le cumul des fonctions juriste et DPD et des missions allouées au DPD (article 39 du RGPD) pourrait devenir « à double tranchant » :
-
le DPO doit être indépendant (art. 38 RGPD) ;
-
mais le juriste interne est rattaché aux organes dirigeants et son travail devient confidentiel.
Le DPD devra donc arbitrer lui-même le niveau de confidentialité documents qu’il produit afin d’éviter un brouillage des lignes entre avis indépendant (RGPD) et avis protégé (legal privilege).
Pour ceci, le DPD interne doit s’appuyer sur la politique de confidentialité de l’entreprise et faire sa propre analyse sur les impacts de son document.
Les entreprises vont donc être tentés d’internaliser le DPD, si elles ne l’ont pas fait avant et si elles ont le budget.
Pour le DPD externe, qui est souvent un avocat, la situation ne change pas, car l’avocat est protégé par le secret professionnel, valable dès sa prestation de serment.
Pour le DPD en officine, si le DPD entre dans les conditions requises de la loi du 23 février 2026, ces bureaux de consultants peuvent en sortir renforcés dans leur rôle et constituent des acteurs majeurs de l’écosystème du RGPD.
Lors d’un contrôle de la CNIL, il semble que les documents tagués par le DPD comme confidentiels puissent être exclus. La confidentialité ne peut pas être invoquée contre une autorité administrative dans certains cas, et les limites posées par le Conseil constitutionnel pourraient laisser un angle mort dans les contrôles RGPD.
Les entreprises pourraient être tentées de requalifier comme consultations juridiques confidentielles certains travaux du DPO, ce qui pourrait être contesté par les autorités en cas de doute.
En conclusion, cette loi vient aligner la pratique des juristes au droit américain.
Dans le contexte actuel et face aux nombreux textes américains (Cloud act, Patriot act, execution Order) qui permettent une préemption de documents d’entreprises françaises, cette confidentialité attachée aux juristes d’entreprises semble bienvenue.
Isabelle Landreau, DPD interne et administratrice de l’AFCDP
