RGPD cabinet de courtage : registre, sous-traitance avec le grossiste et durées de conservation

Article du 26 septembre 2026, destiné aux dirigeants de cabinets de courtage qui travaillent avec un grossiste ; textes cités à cette date.

Le RGPD fait du cabinet de courtage le responsable de traitement des données personnelles de ses prospects et clients : il tient un registre des traitements (article 30), qualifie par écrit chaque grossiste ou assureur, conclut le contrat (article 28) ou l'accord (article 26) en cas de sous-traitance ou de coresponsabilité, et aligne sa conservation sur les durées CNIL.

Pourquoi le RGPD pèse-t-il plus lourd dans un cabinet de courtage qu'ailleurs ?

Un cabinet de courtage manipule des données que peu de TPE voient passer : questionnaires de santé en prévoyance, emprunteur ou santé, relevés d'information en auto, NIR, coordonnées bancaires, parfois des condamnations pour les risques aggravés. Données de santé et données d'infractions relèvent des régimes renforcés des articles 9 (catégories particulières) et 10 (infractions) du RGPD : conditions de licéité propres (en pratique, le consentement explicite pour un questionnaire de santé) et sécurité accrue.

Deuxième particularité : la chaîne. Un même dossier circule entre le cabinet, un ou plusieurs grossistes, l'assureur porteur du risque, parfois un co-courtier ou un délégataire, et chaque maillon doit savoir à quel titre il détient la donnée. Le règlement DORA ne règle pas ce point : il organise la résilience du système d'information (voir DORA pour le courtier), le RGPD la licéité du traitement, l'information des personnes et la durée de vie de la donnée ; les deux ne se recoupent que sur la sécurité (article 32).

Qui est responsable de traitement entre l'assureur, le grossiste et le courtier ?

L'article 4 du RGPD distingue le responsable de traitement, qui détermine les finalités et les moyens, du sous-traitant, qui traite des données pour le compte du responsable ; deux acteurs qui décident ensemble sont responsables conjoints (article 26). La CNIL insiste : la qualification ne dépend pas d'un choix contractuel mais des faits, c'est-à-dire de qui décide du pourquoi et des moyens essentiels (données, durée, destinataires), non de qui fournit l'outil.

Pour l'assurance, la CNIL a publié le 16 juillet 2021 une fiche de qualification des acteurs, détaillée dans le guide actualisant le pack de conformité assurance de juillet 2021, élaboré par France Assureurs, le CTIP, la FNMF et Planète CSCA en association avec les services de la CNIL :

Trois conséquences pour un cabinet qui travaille avec un grossiste :

1. Vous restez responsable de traitement pour tout ce qui précède et entoure le placement : prospection, fiche conseil DDA, questionnaire, fichier client des renouvellements. Le grossiste ne porte pas votre conformité.
2. Le grossiste n'est pas votre sous-traitant par défaut. Lorsqu'il tarifie, souscrit ou gère sous délégation, il agit pour l'assureur. Entre cabinet et grossiste, la relation habituelle est une transmission entre deux responsables de traitement, chacun pour sa portion, ce qui impose d'informer la personne des destinataires.
3. La marque blanche et l'API changent l'analyse. « Qui décide des données collectées, de leur durée et de leurs destinataires ? » se tranche par écrit, formulaire par formulaire. Voir API et marque blanche pour les trois modèles d'intégration, et le co-courtage pour deux cabinets sur une même affaire.

Quelles clauses RGPD vérifier dans la convention avec votre grossiste ?

Si le grossiste (ou vous-même) agit comme sous-traitant pour une portion du traitement, l'article 28 impose un contrat écrit. Le responsable « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes » (article 28.1) ; le contrat peut s'appuyer sur les clauses contractuelles types de la Commission européenne (décision 2021/915). L'article 28.3 liste huit clauses obligatoires :

La CNIL ajoute qu'un sous-traitant ne peut réutiliser les données pour son propre compte que si c'est « compatible avec le traitement initial et que le responsable du traitement lui en a donné l'autorisation écrite » : un grossiste ne prospecte pas vos clients à partir de vos devis, sauf convention et mention d'information en ce sens.

Si les deux parties sont responsables conjoints (co-conception, marque blanche avec décisions partagées), l'article 26 leur impose de définir « de manière transparente leurs obligations respectives » par voie d'accord, notamment qui informe les personnes et qui répond aux demandes ; les personnes peuvent exercer leurs droits contre n'importe lequel des responsables.

Posez ces questions à l'étape 3 de l'ouverture de code et pensez à la sortie : la rupture de code règle le sort du portefeuille, la clause g) celui des données.

Le registre des activités de traitement : modèle pour un cabinet de courtage

L'article 30 impose un registre. L'exemption des structures de moins de 250 salariés ne couvre que les traitements occasionnels : un traitement régulier (gestion clients, paie) ou portant sur la santé ou les infractions doit y figurer. La CNIL fournit un modèle de registre au format tableur. Chaque fiche indique finalité, catégories de personnes, de données et de destinataires, transferts hors UE, durées de conservation et mesures de sécurité. Trame pour un cabinet, à adapter :

Ce registre se tient à côté du registre des prestataires TIC de DORA (article 28 du règlement 2022/2554), qui recense les prestataires numériques du cabinet et leur criticité ; voir le registre des prestataires ICT critiques exigé par DORA pour ne pas les confondre.

Combien de temps conserver les données ? Le calendrier CNIL du secteur

La CNIL rappelle qu'une donnée ne peut pas être conservée indéfiniment et distingue trois phases : base active (le temps de la finalité), archivage intermédiaire (obligation légale ou intérêt administratif, accès restreint) et archivage définitif, exceptionnel. Les durées ci-dessous viennent de la fiche CNIL dédiée à l'assurance et du guide France Assureurs / CNIL ; les référentiels CNIL ne sont pas contraignants, mais un cabinet qui s'en écarte doit pouvoir justifier et documenter son choix.

La prescription de l'article L. 114-1 (deux ans pour les actions dérivant du contrat ; dix ans en assurance vie lorsque le bénéficiaire est distinct du souscripteur et en assurance accidents lorsque les bénéficiaires sont les ayants droit de l'assuré décédé ; trente ans au plus après le décès en assurance vie) fonde ces durées : « durée du contrat plus prescription » s'applique quand aucune ligne ne correspond. Ces durées valent pour vos copies, même si l'assureur conserve le dossier de son côté. Pièces du devoir de conseil : voir la check-list DDA ; pièces KYC : le guide LCB-FT.

Quels droits vos assurés peuvent-ils exercer, et qui doit répondre ?

Six droits : accès, rectification, effacement, limitation, opposition et portabilité. La fiche CNIL sur les droits des personnes en assurance précise que la portabilité vise les données fournies par la personne, non les « données déduites ou dérivées » comme un profil de risque, et que les décisions automatisées (tarification, refus) relèvent de l'article 22. L'exercice est gratuit ; la réponse intervient sous un mois, prolongeable de deux mois pour les demandes complexes (article 12). Procédure à écrire dans le cabinet :

1. Accuser réception et vérifier l'identité du demandeur sans exiger plus de pièces que nécessaire.
2. Qualifier : traitements de courtage (vous répondez) ou gestion du contrat par l'assureur ou son délégataire (vous transmettez et en informez le demandeur).
3. Solliciter le grossiste lorsqu'il détient une copie, par le canal fixé à la clause e) de l'article 28 ou dans l'accord de l'article 26.
4. Répondre dans le mois, par écrit, et consigner la demande dans un journal des droits.

Modèle de mention d'information pour un cabinet de courtage

L'article 13 impose d'informer la personne, au moment de la collecte, de l'identité du responsable, des finalités et de la base légale, du caractère obligatoire ou facultatif des réponses, des destinataires, de la durée de conservation, de ses droits, du point de contact et du droit de saisir la CNIL. La CNIL recommande une information en plusieurs niveaux : mention courte sur le formulaire, politique complète accessible par lien. Lorsque la donnée vous arrive d'un tiers (co-courtier, grossiste, apporteur), l'information est due au plus tard dans le mois (article 14). Mention courte, à adapter :

Les données recueillies dans ce formulaire sont traitées par dénomination du cabinet, courtier en assurance immatriculé à l'ORIAS sous le n° numéro, responsable de traitement, pour établir des devis, vous conseiller et placer votre contrat auprès d'assureurs. Les réponses signalées par un astérisque sont nécessaires à l'étude de votre demande. Elles sont transmises aux courtiers grossistes et assureurs sollicités pour la tarification et la souscription, et conservées trois ans après notre dernier contact si aucun contrat n'est conclu, sinon pendant la durée du contrat augmentée des délais de prescription. Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, à exercer auprès de adresse e-mail dédiée. Vous pouvez introduire une réclamation auprès de la CNIL. Politique complète : lien.

Pour un questionnaire de santé, ajoutez un bloc spécifique : consentement explicite, finalité (appréciation du risque par l'assureur), destinataires (service médical de l'assureur), durée.

Violation de données : ce qui reste à votre charge

Le responsable de traitement notifie la CNIL dans les 72 heures lorsqu'une violation présente un risque pour les personnes (article 33) et informe celles-ci si le risque est élevé (article 34) ; le sous-traitant notifie le responsable sans retard. Votre convention doit fixer qui prévient qui et sous quel délai, sinon les 72 heures s'écoulent avant que vous soyez informé. La gestion de l'incident cyber lui-même (détection, qualification, notification à l'autorité de contrôle) relève de DORA : voir la procédure d'incident cyber du cabinet de courtage.

Check-list de mise en conformité en dix points

• Registre des traitements tenu et daté, incluant données de santé et infractions
• Qualification écrite (responsable, conjoint, sous-traitant) pour chaque grossiste, assureur et prestataire
• Convention lue à l'aune des huit clauses de l'article 28.3, ou accord de l'article 26
• Liste des sous-traitants ultérieurs de vos partenaires et localisation des données
• Calendrier de conservation appliqué à vos propres copies, purge ou archivage tracé
• Mention d'information en plusieurs niveaux sur chaque formulaire, papier, web et marque blanche
• Consentement explicite collecté et conservé pour les questionnaires de santé
• Procédure d'exercice des droits et journal des demandes
• Procédure de violation : qui notifie, qui décide, délai de remontée du grossiste
• Référent RGPD désigné (le délégué n'est obligatoire que dans les cas de l'article 37)

Comment Tutassûr s'inscrit dans cette chaîne

Tutassûr est courtier grossiste en assurance, immatriculé à l'ORIAS sous le n° 22001730 et soumis au contrôle de l'ACPR. Ses gammes sont accessibles par extranet, API et marque blanche : trois flux à cartographier dans votre registre (saisie, transmission automatisée, collecte sur votre site). L'ouverture de code se fait en ligne sur parcours-odc.tutassur.fr en quatre étapes ; la troisième, la signature de la convention de partenariat, est le moment de poser les questions du tableau des clauses et de qualifier chaque flux. Sans exclusivité ni minimum de production, le registre peut être mis à jour avant la première affaire. Voir aussi les sept critères d'évaluation d'un extranet et, pour l'équipe, les formations DDA de Tutassur Academy dans le cadre des 15 heures de formation continue.

À lire aussi

• DORA pour le courtier : la cybersécurité du cabinet de courtage en 5 piliers
• LCB-FT en courtage : ce que vous devez vraiment faire
• DDA et devoir de conseil : la check-list opérationnelle
• API et marque blanche : intégrer la souscription dans votre site
• Devenir partenaire Tutassûr et glossaire du courtage

Article d'information générale, qui ne constitue pas un conseil juridique. Les qualifications RGPD s'apprécient traitement par traitement et les durées citées (CNIL, guide France Assureurs / CNIL de juillet 2021) peuvent évoluer : pour votre situation, rapprochez-vous de la CNIL ou d'un conseil spécialisé.