> Version markdown de https://weenova.ai/blog/rgpd-donnees-clients-courtier-assurance — Weenova, CRM IA pour courtiers en assurance. Index complet des pages : https://weenova.ai/llms.txt # RGPD courtier en assurance : obligations et checklist 2026 *Le RGPD impose aux courtiers en assurance des obligations précises sur la collecte et le traitement des données clients. Découvrez les règles essentielles et les bonnes pratiques pour rester en conformité.* Catégorie : Blog · 8 min de lecture · Publié le 2026-06-18 · Auteur et responsable éditorial : Romain Perbet. Production assistée par Joséfine, agent ia seo/geo assistant la production éditoriale. Le Règlement Général sur la Protection des Données (RGPD) s'applique pleinement à l'activité de courtage en assurance. En tant qu'intermédiaire traitant quotidiennement des données personnelles sensibles — état de santé, situation financière, données de sinistres — le courtier est responsable de traitement au sens du RGPD et engage sa responsabilité civile et pénale en cas de manquement. Voici ce que chaque courtier doit savoir et mettre en place. ## Pourquoi le RGPD concerne directement les courtiers en assurance Le courtier en assurance collecte, stocke et transmet des données personnelles à chaque étape du parcours client : souscription, gestion des contrats, instructions de sinistres, renouvellements. Ces données incluent souvent des **données de santé**, classées comme données sensibles (article 9 du RGPD), ce qui renforce les obligations de protection. En droit européen, le RGPD (Règlement UE 2016/679) est d'application directe depuis le 25 mai 2018. En France, la loi Informatique et Libertés révisée et les recommandations de la CNIL complètent ce cadre. La CNIL dispose d'un pouvoir de sanction pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. ### Le courtier, responsable de traitement ou sous-traitant ? Dans la majorité des situations, le courtier agit en tant que **responsable de traitement** : il détermine les finalités et les moyens du traitement. Lorsqu'il utilise un logiciel CRM ou une plateforme de gestion tierce, cet éditeur devient **sous-traitant** et doit signer un contrat de sous-traitance conforme à l'article 28 du RGPD. Cette distinction est fondamentale pour répartir correctement les responsabilités. ## Les bases légales applicables au courtage en assurance Tout traitement de données doit reposer sur une **base légale** parmi les six prévues par l'article 6 du RGPD. Pour le courtier, trois bases sont principalement mobilisées : - **L'exécution du contrat** : traiter les données d'un client pour gérer son contrat d'assurance est justifié par la nécessité contractuelle. - **L'obligation légale** : certaines obligations de conservation ou de communication aux autorités (ACPR, lutte anti-blanchiment) relèvent de cette base. - **Le consentement** : indispensable pour les communications marketing et, selon les cas, pour le traitement de données de santé. Le consentement doit être libre, éclairé, spécifique et révocable à tout moment. Pour les **données de santé**, une base légale spécifique de l'article 9 doit également être identifiée, notamment le consentement explicite ou la nécessité pour l'exécution d'un contrat d'assurance dans les conditions prévues par la loi. ## Le registre des traitements : une obligation concrète Chaque responsable de traitement doit tenir un **registre des activités de traitement** (article 30 du RGPD). Pour un cabinet de courtage, ce registre doit documenter : - La nature des données collectées (identité, santé, données financières…) - La finalité du traitement (souscription, gestion sinistres, prospection…) - Les destinataires des données (compagnies d'assurance, prestataires IT, réassureurs…) - Les durées de conservation applicables - Les mesures de sécurité mises en place Ce registre n'est pas un document figé : il doit être mis à jour à chaque nouveau traitement ou évolution significative des pratiques. La CNIL recommande qu'il soit consultable par les équipes et présenté en priorité lors d'un contrôle. ## Durées de conservation des données clients en assurance La durée de conservation doit être proportionnée à la finalité. Voici les grandes lignes applicables au secteur, sans que celles-ci constituent un conseil juridique personnalisé : | Type de donnée | Durée indicative | Base | | | --- | --- | --- | --- | | Données de prospection (non client) | 3 ans après dernier contact actif | Recommandation CNIL | | Données de gestion de contrat | Durée du contrat + délai de prescription | Code des assurances, art. L114-1 | | Données de sinistre | Variable selon la nature du sinistre | Prescription civile / pénale | | Données de lutte anti-blanchiment (LCB-FT) | 5 ans après fin de la relation | Réglementation LCB-FT | Les durées exactes peuvent varier selon la nature du contrat et les obligations spécifiques applicables. Il convient de consulter un conseiller juridique pour les cas particuliers. ## Les droits des assurés : comment les gérer en pratique Le RGPD accorde aux personnes concernées un ensemble de droits que le courtier doit être en mesure de traiter dans un délai d'**un mois** (prorogeable à trois mois en cas de complexité) : - **Droit d'accès** : le client peut demander une copie de toutes les données le concernant. - **Droit de rectification** : corriger des données inexactes ou incomplètes. - **Droit à l'effacement** : sous conditions, notamment si les données ne sont plus nécessaires. - **Droit à la portabilité** : fournir les données dans un format structuré et lisible par machine. - **Droit d'opposition** : notamment pour le marketing direct, sans avoir à justifier sa demande. - **Droit à la limitation** : geler temporairement le traitement en cas de contestation. En pratique, le courtier doit mettre en place une **procédure interne** pour réceptionner, tracer et répondre à ces demandes. Un registre des demandes d'exercice de droits est fortement recommandé. ## Sécurité des données : mesures techniques et organisationnelles L'article 32 du RGPD impose des mesures de sécurité appropriées au risque. Pour un cabinet de courtage, les mesures de base comprennent : - **Chiffrement des données** stockées et transmises - **Gestion des accès** : droits différenciés selon le rôle (conseiller, manager, comptabilité) - **Authentification forte** (MFA) sur les outils CRM et plateformes de gestion - **Sauvegarde régulière** et plan de reprise d'activité testé - **Formation des collaborateurs** à la sécurité et à la protection des données - **Procédure de notification des violations** : toute violation grave doit être notifiée à la CNIL dans les **72 heures** Les risques liés aux phishing, aux ransomwares et aux accès non autorisés sont particulièrement élevés dans le secteur de l'assurance en raison de la valeur des données personnelles et financières traitées. ## Sous-traitants et partenaires : la chaîne de responsabilité Le courtier travaille avec de nombreux prestataires : éditeurs de CRM, courtiers grossistes, plateformes de comparaison, outils de signature électronique. Chacun de ces acteurs qui accède à des données personnelles pour le compte du courtier doit faire l'objet d'un **contrat de sous-traitance** conforme à l'article 28 du RGPD. Les clauses minimales à prévoir dans ces contrats incluent : - La description précise des traitements sous-traités - L'obligation de confidentialité et de sécurité - L'interdiction de sous-sous-traiter sans accord préalable - L'assistance pour répondre aux demandes d'exercice de droits - Les conditions de restitution ou suppression des données en fin de contrat Choisir un CRM conçu pour le secteur de l'assurance, avec des engagements RGPD documentés, est un levier concret pour réduire ce risque. ## Délégué à la Protection des Données (DPO) : obligatoire ou non ? La désignation d'un **DPO (Data Protection Officer)** est obligatoire pour les organismes qui traitent des données sensibles à grande échelle. Pour la majorité des cabinets de courtage de taille moyenne ou petite, cette obligation formelle ne s'applique pas systématiquement — mais la CNIL encourage fortement leur désignation volontaire. Quel que soit le statut, il est recommandé de désigner en interne un **référent RGPD**, chargé de coordonner la mise en conformité, de mettre à jour le registre et de sensibiliser les équipes. ## Bonnes pratiques pour une conformité durable La conformité RGPD n'est pas un projet ponctuel mais un processus continu. Les actions clés pour un courtier : 1. **Cartographier** tous les traitements de données dès l'entrée en relation client 2. **Mettre à jour le registre** à chaque nouveau produit, partenaire ou outil 3. **Auditer régulièrement** les habilitations et les accès dans le CRM 4. **Vérifier les contrats** de sous-traitance de tous les prestataires IT 5. **Former** les collaborateurs au moins une fois par an 6. **Tester** la procédure de notification en cas de violation de données 7. **Documenter** chaque décision de conformité (accountability) L'utilisation d'un CRM spécialisé courtage intégrant nativement des fonctionnalités de gestion du consentement, de gestion des droits et de traçabilité facilite considérablement cette démarche. ## Ce que la CNIL sanctionne réellement : les décisions récentes à connaître La sanction RGPD n'est ni théorique, ni réservée aux géants du numérique : en 2025, la CNIL a prononcé **83 sanctions pour un total d'environ 487 millions d'euros**, dont 10 décisions concernant la prospection ([bilan officiel 2025 de la CNIL](https://www.cnil.fr/fr/bilan-sanctions-2025)). Trois enseignements concernent directement un cabinet de courtage. **L'achat de fichiers de prospects engage l'acheteur.** La CNIL a sanctionné [FORIOU (310 000 €, janvier 2024)](https://www.cnil.fr/fr/prospection-commerciale-sanction-de-310-000-euros-lencontre-de-la-societe-foriou) et [HUBSIDE.STORE (525 000 €, avril 2024)](https://www.cnil.fr/fr/prospection-commerciale-sanction-de-525-000-euros-lencontre-de-la-societe-hubsidestore) pour avoir prospecté à partir de données achetées à des courtiers en données sans s'assurer d'un consentement valable, puis [SOLOCAL MARKETING SERVICES (900 000 €, 2025)](https://www.cnil.fr/fr/sanction-de-900-000-euros-societe-solocal-marketing-services) côté fournisseur. La formation restreinte a jugé que des clauses contractuelles imposées au fournisseur ne suffisent pas sans contrôle effectif. Pour un courtier qui achète des leads assurance, la conséquence est directe : exiger la preuve du consentement (formulaire présenté, date, mention de la transmission aux partenaires) avant le premier appel. **Les données de santé pseudonymisées restent des données personnelles.** En mai 2026, la CNIL a infligé [5 millions d'euros à IQVIA](https://www.cnil.fr/fr/donnees-sante-sanction-5-millions-iqvia), rejetant l'argument de l'anonymat : des données de santé dont la ré-identification reste possible par des moyens raisonnables sont seulement pseudonymes, et le RGPD s'y applique pleinement. En prévoyance et en santé, traitez tout l'historique médical d'un client comme une donnée sensible de l'article 9 — le consentement explicite s'impose, et « c'est anonymisé » ne constitue pas une défense. **Les petites structures ne passent pas sous le radar.** Le 13 octobre 2025, la CNIL a prononcé [16 sanctions en procédure simplifiée](https://www.cnil.fr/fr/la-cnil-prononce-16-nouvelles-sanctions-dans-le-cadre-de-la-procedure-simplifiee) (108 000 € cumulés) visant notamment des cabinets médicaux, des avocats et de petites sociétés — pour prospection sans consentement valide, vidéosurveillance excessive et, dans 10 cas sur 16, **défaut de coopération avec la CNIL**. Quatorze de ces procédures sont nées de plaintes : pour un cabinet, la première règle est donc de répondre aux courriers de la CNIL, et la seconde de traiter sérieusement chaque demande d'un client sur ses données — c'est elle qui devient plainte. À noter : les données de santé figurent parmi les priorités de contrôle annoncées pour 2026. ## La checklist pour passer un contrôle Un contrôle CNIL ne vérifie pas des intentions : il demande des preuves. Reprenez chaque point ci-dessous — chacun renvoie à une section de ce guide. - **Registre des traitements à jour** : chaque finalité du cabinet (gestion des contrats, prospection, sinistres), sa base légale, les catégories de données et la durée associée. - **Bases légales identifiées et documentées** : le contrat pour la gestion, le consentement explicite pour les données de santé, l'intérêt légitime motivé par écrit pour la prospection. - **Durées de conservation appliquées, pas seulement documentées** : purge effective des prospects sans contact, archivage intermédiaire distinct de la base active. - **Procédure écrite pour les droits des assurés** : qui répond, sous quel délai (un mois, article 12 du RGPD), avec quels modèles de réponse — accès, rectification, effacement, portabilité. - **Sécurité démontrable** : chiffrement, accès individuels par collaborateur, journalisation, et procédure de violation de données prête (notification CNIL sous 72 heures, article 33). - **Contrats de sous-traitance signés (article 28)** avec chaque outil qui touche aux données clients : CRM, emailing, hébergeur, comparateurs. - **DPO désigné — ou décision documentée de ne pas en nommer**, avec un point de contact « données personnelles » connu de toute l'équipe. - **Sensibilisation de l'équipe tracée** : une session par an, avec émargement. Si plusieurs cases restent vides, commencez par le registre : c'est la première pièce demandée en contrôle, et sa construction fait mécaniquement le tour de tous les autres points. ## FAQ ### Qu'est-ce que le RGPD impose concrètement à un courtier en assurance ? Le RGPD impose au courtier en assurance de collecter les données personnelles sur une base légale identifiée, d'informer les clients de leurs droits, de tenir un registre des traitements, de sécuriser les données, de signer des contrats avec ses sous-traitants et de notifier la CNIL en cas de violation dans les 72 heures. Ces obligations s'appliquent dès le premier client. ### Les données de santé nécessitent-elles un traitement particulier en courtage ? Oui. Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Leur traitement est en principe interdit sauf exceptions, dont le consentement explicite du client ou la nécessité pour exécuter un contrat d'assurance dans les conditions prévues par la loi. Des mesures de sécurité renforcées sont obligatoires pour ces données. ### Quelle est la durée de conservation des données d'un prospect non converti ? Selon les recommandations de la CNIL, les données d'un prospect avec lequel aucune relation contractuelle n'a été établie ne doivent pas être conservées au-delà de 3 ans à compter du dernier contact actif de sa part. Passé ce délai, les données doivent être supprimées ou anonymisées. ### Un cabinet de courtage doit-il obligatoirement nommer un DPO ? La désignation d'un DPO est obligatoire uniquement si le cabinet traite des données sensibles à grande échelle ou effectue un suivi systématique à grande échelle de personnes. Pour la plupart des PME du courtage, ce n'est pas obligatoire, mais la CNIL recommande de désigner un référent interne chargé de la conformité RGPD. ### Que risque un courtier en cas de non-conformité au RGPD ? La CNIL peut prononcer des sanctions administratives allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Des sanctions pénales peuvent également s'appliquer. Au-delà des sanctions, une violation de données peut générer une perte de confiance clients significative et des actions en responsabilité civile. ## Pour aller plus loin - [Léo, l'agent conformité de Weenova](https://weenova.ai/agents/leo) suit les réclamations et les échéances réglementaires du cabinet au quotidien. - L'[auto-évaluation de conformité en 12 questions](https://weenova.ai/outils/audit-conformite-courtier) est gratuite et sans inscription — un état des lieux indicatif en cinq minutes. - Si vos outils actuels ne tracent ni les consentements ni les durées de conservation, notre [guide du logiciel de courtage en assurance](https://weenova.ai/logiciel-courtage-assurance) détaille les critères RGPD à exiger avant de signer. ## À lire aussi - [Obligations DDA et conformité du courtier en 2026](https://weenova.ai/blog/obligations-dda-conformite-courtier-2026) — La Directive sur la Distribution d'Assurances (DDA) concentre en 2026 une part croissante des contrôles ACPR. Ce guide… - [Intelligence artificielle et courtage en assurances : ce qui change](https://weenova.ai/blog/intelligence-artificielle-courtage-assurances) — L'intelligence artificielle redéfinit les pratiques du courtage en assurances. Découvrez les transformations concrètes,… - [Relance de renouvellement : ne perdez plus de contrats en 2026](https://weenova.ai/blog/relance-client-assurance-automatiser-renouvellement) — La relance client est le nerf de la guerre pour tout courtier en assurance. Découvrez comment automatiser vos campagnes… ## Automatisez votre cabinet de courtage avec Weenova Weenova est le CRM IA conçu pour les courtiers en assurance. 14 agents IA spécialisés automatisent vos emails, appels, prospection LinkedIn, conformité DDA/DORA et comptabilité. Essai gratuit 14 jours sans engagement. [Lancer mon essai gratuit](https://app.weenova.ai/auth?signup=1) · [Voir les 14 agents IA](https://weenova.ai/agents) · [Retour au blog](https://weenova.ai/blog)