RGPD courtiers en assurance : les 5 obligations clés

Un courtier collecte le questionnaire de santé d’un client pour une compagnie d’assurances, stocke les données dans des fichiers, et les conserve au-delà des délais légaux et des finalités pour lesquelles les données ont été collectées et tout cela après le refus du prêt.

Le courtier en assurances occupe une position complexe dans la chaîne de la donnée. Immatriculé à l’ORIAS, il manipule au quotidien des données patrimoniales, des données de santé, des fichiers de prospection et des informations soumises à différentes réglementations notamment la lutte contre le blanchiment de capitaux et le financement du terrorisme. Sur un même dossier client se superposent plusieurs règlements : le RGPD, contrôlé par la CNIL, le Code des assurances et son devoir de conseil issu de la directive DDA, et le Code monétaire et financier au travers de la LCB-FT, ces 2 derniers supervisés par l’ACPR.

Cette superposition crée un piège que nous voyons régulièrement en mission : un courtier peut être parfaitement conforme à la DDA tout en étant en manquement au RGPD, et inversement. Structurer cette double conformité relève souvent d’un accompagnement RGPD dédié au secteur de l’assurance, surtout dans un cabinet sans juriste et/ou équipe conformité interne.

L’essentiel Un courtier en assurance est responsable de traitement pour ses propres traitements ( ex : CRM, recueil du besoin, KYC, devoir de conseil etc.), et parfois sous-traitant lorsqu’il agit sur mandat pour le compte d’une compagnie d’assurances. Cinq obligations concentrent le risque : le traitement des données de santé sous le régime strict de l’article 9, des durées de conservation dictées par des prescriptions sectorielles, la documentation du devoir de conseil sans conservation excessive, l’encadrement des sous-traitants, et un niveau de sécurité renforcé. Le courtier navigue entre 2 régulateurs : purger trop tôt expose à une sanction ACPR, conserver trop longtemps à une sanction CNIL.

Voici les 5 obligations propres au courtage, celles qui séparent un cabinet couvert d’un cabinet exposé.

Obligation 1 : traiter les données de santé sous le régime de l’article 9

Les données de santé sont, par principe, interdites de traitement. L’article 9 du RGPD pose cette interdiction, puis prévoit une liste limitative d’exceptions. Pour un courtier en assurance emprunteur, prévoyance ou complémentaire santé, l’exception la plus solide et la plus fréquemment retenue est le consentement explicite de la personne, prévu à l’article 9.2.a. Ce point mérite une certaine attention : la simple nécessité d’exécuter le contrat, qui suffit comme base légale ordinaire au titre de l’article 6, ne lève pas à elle seule l’interdiction de l’article 9. Il faut une exception propre à cet article, et le consentement explicite est la voie la plus pour le courtage.

Cette qualification change tout le régime applicable. Dès que le questionnaire de santé entre dans le dossier, les exigences se durcissent sur plusieurs points :

Consentement explicite : un consentement spécifique, distinct de l’acceptation générale des conditions, tracé et révocable.
Cloisonnement : le questionnaire de santé doit être isolé du reste du dossier client, accessible uniquement aux personnes habilitées et jamais visible aux équipes commerciales.
Minimisation renforcée : ne collecter que les éléments de santé strictement nécessaires à la tarification du risque, pas l’intégralité d’un historique médical.
Analyse d’impact : le traitement de données de santé à grande échelle déclenche l’obligation de réaliser une AIPD avant la mise en production.

Un point que beaucoup de cabinets négligent : dès qu’un courtier traite des données de santé à grande échelle, la désignation d’un délégué à la protection des données devient obligatoire au titre de l’article 37 du RGPD. Ce n’est pas une faculté, c’est une obligation légale, et nous en détaillons les critères dans notre article sur les cas où vous serez obligé de nommer un DPO.

Obligation 2 : appliquer les durées de conservation sectorielles

Le RGPD ne fixe aucune durée chiffrée, mais le secteur de l’assurance est balisé par des prescriptions précises, que la CNIL a documentées dans un référentiel dédié. La difficulté, pour le courtier, tient à la multiplicité des durées selon la nature de la donnée.

Voici les repères, vérifiés auprès de la CNIL et des textes en vigueur.

Type de donnée	Durée	Fondement
Prospect sans contrat conclu	3 ans après le dernier contact	Recommandation CNIL
Données à visée probatoire	5 ans (prescription de droit commun)	Code civil, art. 2224
Contrat d’assurance vie	30 ans après le décès de l’assuré	Code des assurances
Alerte de fraude, phase de qualification	6 mois pour statuer	Recommandation CNIL
Alerte de fraude qualifiée pertinente	5 ans après clôture du dossier	Recommandation CNIL
Documents comptables	10 ans	Code de commerce
Pièces LCB-FT	5 ans	Code monétaire et financier

C’est ici que le piège du double régulateur se referme. Un courtier qui, au nom du RGPD, purgerait prématurément des données soumises à une obligation de conservation LCB-FT s’exposerait à une sanction de l’ACPR. À l’inverse, conserver un questionnaire de santé bien au-delà de la durée utile expose à une sanction CNIL. La bonne durée n’est jamais la plus courte ni la plus longue, c’est celle qui satisfait les 2 régimes à la fois. Pour construire cette grille traitement par traitement, notre article sur les durées de conservation des données personnelles détaille la méthode.

Obligation 3 : documenter le devoir de conseil sans conserver à l’excès

La directive DDA, transposée à l’article L521-4 du Code des assurances, impose au courtier un devoir de conseil qu’il doit pouvoir prouver. Avant la conclusion du contrat, il précise par écrit les exigences et besoins du client, puis conseille un contrat cohérent avec ces besoins en motivant sa recommandation. Point décisif, la charge de la preuve pèse sur le courtier : en cas de litige, c’est à lui de démontrer qu’il a rempli son devoir. Cette obligation, contrôlée par l’ACPR, entre en tension directe avec la logique de minimisation du RGPD.

Le courtier doit tenir les deux bouts. D’un côté, conserver la trace documentée du conseil pour se protéger en cas de réclamation ou de contrôle ACPR, sachant que le devoir de conseil est continu et s’applique pendant toute la vie du contrat. De l’autre, ne pas transformer cette exigence en prétexte à tout garder indéfiniment. La ligne de crête consiste à conserver ce qui prouve le conseil, pendant la durée de prescription de la responsabilité civile professionnelle, et rien de plus.

Cette articulation est un exercice d’équilibriste que peu de cabinets formalisent correctement. Elle suppose de distinguer, dans le dossier client, ce qui relève de la preuve du conseil, soumis à conservation probatoire, de ce qui relève de données accessoires purgeables plus tôt. Sans cette distinction, le cabinet accumule des données de santé et patrimoniales au motif du devoir de conseil, bien au-delà de ce que le RGPD tolère.

A cela ajoutons des obligations imposées par les compagnies d’assurances. Par exemple, les compagnies demandent quasiment systématiquement aux courtiers de conserver les dossiers, objet du contrat, pour une durée de 10 ans alors même qu’elles leur mettent à disposition des plateformes pour saisir et communiquer directement tous les éléments à la compagnie.

Obligation 4 : encadrer la sous-traitance et le partage avec l’assureur

Aucun courtier ne travaille en circuit fermé. Éditeur de logiciel de gestion, plateforme de comparaison, hébergeur, prestataire de gestion de sinistres, chacun traite des données pour le compte du cabinet. Dans la plupart des cas, ces tiers sont des sous-traitants au sens de l’article 28 du RGPD, et le courtier en répond.

Quelques exigences structurent cet encadrement :

Un contrat conforme aux dispositions de l’article 28 avec chaque prestataire, précisant les obligations de sécurité, la localisation des données et l’assistance en cas d’incident.
Encadrer les relations avec les compagnies en fonction de la réalité du terrain et ne pas subir un contrat imposé par les mastodontes par crainte de perdre le partenariat.
La qualification des parties indue par le partage des données avec l’assureur, qui varie selon la configuration. Selon les type de mandat/ de convention, le courtier peut être sous-traitant, responsable conjoint ou responsable distinct, chaque cas appelant un cadre contractuel différent. A cet effet, la CNIL le rappelle dans son guide dédié au secteur de l’assurance.

La vérification des contrats fournisseurs révèle presque toujours des clauses absentes ou obsolètes. C’est le miroir, côté courtier, de ce que nous détaillons dans notre article sur pourquoi auditer la conformité de vos sous-traitants.

Obligation 5 : sécuriser à la hauteur de la sensibilité des données

La sécurité n’est pas une obligation abstraite, elle s’apprécie au regard de la nature des données. Pour un courtier qui manipule santé, patrimoine et infractions, le curseur est placé haut, et la jurisprudence le confirme sévèrement.

En 2019, la CNIL a sanctionné le courtier Active Assurances de 180 000 euros. La cause : les données personnelles de ses clients, y compris contrats et pièces d’identité, étaient accessibles en ligne par une simple modification de l’adresse URL, sans authentification, et certains documents étaient même indexés par les moteurs de recherche. La délibération SAN-2019-007 s’est fondée sur l’article 32 du RGPD. La CNIL a rappelé à cette occasion qu’un mot de passe faible choisi pour la commodité des utilisateurs ne dispense pas le responsable de traitement de son obligation de sécurité.

Les mesures attendues d’un cabinet de courtage relèvent désormais de l’état de l’art :

Chiffrement des données au repos et en transit, en particulier pour tout fichier contenant des données dites sensibles. Authentification forte pour accéder aux dossiers clients. Il est impératif d’éviter le partage d’accès entre plusieurs collaborateurs pour des raisons de commodités. Les compagnies le rappellent de plus en plus dans les conventions qu’elles font signer à leurs partenaires. Traçabilité des accès aux données sensibles, pour détecter les défaillance et y remédier rapidement.
Procédure de notification des violations de données, opérationnelle avant l’incident, pas improvisée le jour venu.

Les erreurs qui exposent un cabinet de courtage

Ces manquements reviennent le plus souvent en audit, et chacun suffit à déclencher un contrôle ou une sanction.

Stocker le questionnaire de santé sans cloisonnement, visible de toute l’équipe, dans un fichier partagé non chiffré.
Purger au nom du RGPD sans vérifier les durées LCB-FT, et s’exposer à l’ACPR pour défaut de conservation.
Conserver au-delà du nécessaire au motif du devoir de conseil, et s’exposer à la CNIL pour conservation excessive.
Négliger la désignation d’un DPO alors que le traitement de données de santé à grande échelle le rend obligatoire.
Confondre les rôles dans le partage avec l’assureur, sans contrat adapté à la configuration réelle.

Sécuriser un cabinet de courtage, conseils

Mettre un cabinet de courtage en conformité suppose de traiter ces obligations :

Rédiger des politiques et procédures pour encadrer les traitements de données et les faire connaître des équipes.
Construire une grille des durées de conservation qui satisfait CNIL et ACPR simultanément.
Formaliser la preuve du devoir de conseil sans surconservation.
Auditer les contrats de sous-traitance et vérifier que leur contenu n’est pas en contradiction avec vos obligations contractuelles dictées par les compagnies. .
Élever le niveau de sécurité à l’état de l’art, chiffrement et authentification forte en tête.

Un diagnostic de conformité RGPD établit l’état des lieux et hiérarchise ces chantiers selon le risque réel. Pour les cabinets traitant des données de santé, notre accompagnement DPO externalisé spécialisé dans les données de santé prend en charge cette double conformité et la maintient au fil des évolutions réglementaires. Sur un métier où 2 régulateurs surveillent le même dossier, l’improvisation coûte cher.

Un courtier en assurance est-il responsable de traitement ou sous-traitant ?

Les deux, selon le traitement concerné. Pour ses traitements propres, recueil du besoin, CRM, exercice du devoir de conseil, le courtier détermine les finalités et agit comme responsable de traitement au sens de l’article 4-7 du RGPD. Lorsqu’il agit pour le compte d’un assureur dans le cadre d’un mandat précis, sa qualification peut évoluer vers celle de sous-traitant, ce qui impose un contrat conforme à l’article 28. Certaines configurations de partage avec l’assureur relèvent aussi de la responsabilité conjointe. La qualification doit être analysée traitement par traitement, pas fixée une fois pour toutes.

Un courtier doit-il obligatoirement désigner un DPO ?

Pas systématiquement, mais fréquemment en pratique. L’article 37 du RGPD rend le DPO obligatoire dès qu’il y a traitement à grande échelle de données sensibles, ce qui inclut les données de santé. Un cabinet spécialisé en assurance de personnes, emprunteur ou prévoyance, qui traite le questionnaire de santé de nombreux clients, entre généralement dans ce cadre. Un courtier généraliste en assurance de dommages y échappe le plus souvent. Même hors obligation, s’appuyer sur un DPO externe structure la conformité et rassure assureurs partenaires comme clients.

Combien de temps un courtier doit-il conserver un questionnaire de santé ?

Le temps strictement nécessaire à la finalité, puis suppression ou anonymisation. En l’absence de conclusion du contrat, les données ne doivent pas être conservées au-delà de la durée utile à l’instruction de la demande, puis à d’éventuels besoins probatoires. Une fois le contrat conclu, la conservation suit les prescriptions applicables au contrat, sachant qu’un questionnaire de santé ne doit jamais être gardé plus longtemps que nécessaire. La règle est de ne pas laisser dormir des données de santé au motif qu’elles pourraient resservir : c’est précisément ce que la CNIL sanctionne.

L’ACPR et la CNIL peuvent-elles sanctionner le même manquement ?

Elles interviennent sur des régimes distincts, mais un même dossier peut relever des deux. L’ACPR supervise le respect du Code des assurances, du devoir de conseil issu de la DDA et des obligations LCB-FT. La CNIL contrôle le respect du RGPD. Un courtier peut donc être sanctionné par l’ACPR pour un défaut de conservation dans le cadre du dispositif LCB-FT et, sur le même portefeuille, par la CNIL pour une conservation excessive de données. Le risque majeur pour le cabinet est précisément de se retrouver pris en étau entre les 2 régulateurs, chacun tirant la durée de conservation dans un sens opposé.

À propos de cet article

Cet article a été rédigé par les consultants de Nouvel Horizon Conseil, cabinet spécialisé en protection des données et conformité RGPD. Nous accompagnons des acteurs du secteur de l’assurance et de la santé dans la mise en conformité de leurs traitements : cloisonnement des données de santé, construction des durées de conservation compatibles CNIL et ACPR, audit des sous-traitants et vérification de l’hébergement HDS. Nos missions couvrent aussi bien le rôle de responsable de traitement que celui de sous-traitant, selon la configuration du cabinet.

Les données citées proviennent de sources primaires : la délibération CNIL SAN-2019-007 du 18 juillet 2019 (Active Assurances), le référentiel de la CNIL sur les durées de conservation du secteur de l’assurance, l’article L521-4 du Code des assurances (devoir de conseil), l’article L1111-8 du Code de la santé publique (hébergement HDS), et les articles 2224 du Code civil et L114-1 du Code des assurances. Les obligations décrites renvoient aux articles 9, 28, 30, 32 et 37 du RGPD, ainsi qu’au Code des assurances (DDA) et au Code monétaire et financier (LCB-FT).

Contenu à jour au regard de la réglementation applicable en juillet 2026. Cet article a une vocation informative et ne constitue pas un conseil juridique individualisé. Pour une analyse adaptée à votre cabinet, contactez-nous.