RGPD au cabinet de courtage : registre, durées de conservation, sous-traitants

Un cabinet de courtage manipule, tous les jours, à peu près tout ce que le RGPD considère comme sensible : identité, situation familiale, revenus, coordonnées bancaires, et très souvent des données de santé. Le sujet n’est donc pas de savoir si le règlement s’applique — il s’applique pleinement — mais d’identifier les quelques obligations qui structurent l’organisation du cabinet.

Le registre des traitements : la dérogation « moins de 250 salariés » ne joue pas

L’article 30 du RGPD impose au responsable de traitement de tenir un registre des activités de traitement. Son paragraphe 5 prévoit bien une dispense pour les organisations de moins de 250 salariés, mais elle tombe dès que le traitement n’est pas occasionnel, qu’il présente un risque pour les droits des personnes, ou qu’il porte sur des catégories particulières de données au sens de l’article 9 — les données de santé en font partie.

Autrement dit : un cabinet de courtage qui gère un portefeuille santé, prévoyance ou emprunteur est hors dispense. Le registre n’est pas une formalité décorative, c’est la carte de son système d’information : quelles données, pour quelle finalité, sur quelle base juridique, combien de temps, transmises à qui.

Les données de santé : interdiction de principe, exceptions encadrées

L’article 9 pose une interdiction de traiter les données de santé, assortie d’exceptions limitativement énumérées. En courtage, la voie la plus fréquente est le consentement explicite de la personne concernée (article 9.2.a) — un consentement distinct de celui de la relation commerciale, recueilli pour ce traitement précis.

Deux conséquences pratiques. D’abord, un questionnaire de santé ou un bilan médical n’a pas vocation à circuler dans une boîte mail partagée ni dans un fichier accessible à tout le cabinet : l’accès se restreint aux personnes qui en ont besoin. Ensuite, ces pièces suivent leur propre durée de conservation, en général plus courte que celle du dossier commercial.

Durées de conservation : partir de la prescription, pas de l’habitude

L’article 5.1.e impose de conserver les données pendant une durée n’excédant pas celle nécessaire aux finalités poursuivies. La CNIL décline ce principe pour le secteur de l’assurance :

• Prospects sans contrat : 3 ans à compter de la collecte ou du dernier contact du prospect.
• Données utiles à l’exercice d’un droit en justice : 5 ans, délai de prescription de droit commun de l’article 2224 du Code civil.
• Contrats souscrits : les délais de prescription propres à l’assurance, à commencer par la prescription biennale de l’article L. 114-1 du Code des assurances, et jusqu’à 30 ans à compter du décès de l’assuré pour l’action du bénéficiaire en assurance vie.

Le point de méthode compte plus que les chiffres : une durée se justifie par un texte ou par un besoin démontré, pas par le fait que personne n’a jamais fait le tri. Un portefeuille de dix ans qui n’a connu aucune purge est un sujet de contrôle en soi.

Les sous-traitants : le contrat de l’article 28

Chaque outil qui héberge ou traite des données clients pour le compte du cabinet est un sous-traitant : CRM, messagerie, hébergeur, solution de signature électronique, outil de transcription. L’article 28 exige un contrat écrit qui définit l’objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, et qui encadre notamment l’obligation d’agir sur instruction documentée du responsable de traitement, la confidentialité, la sécurité, le sort des données en fin de contrat, et le recours à des sous-traitants ultérieurs.

En pratique : lister ses outils, récupérer pour chacun l’accord de sous-traitance, vérifier où sont hébergées les données, et refermer les accès des anciens prestataires. C’est souvent le chantier le plus rapide à mener et le plus visible en cas de contrôle.

Violation de données : le réflexe des 72 heures

L’article 32 impose des mesures de sécurité adaptées au risque. Quand elles cèdent — boîte mail compromise, export perdu, envoi au mauvais destinataire — l’article 33 impose de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Lorsque le risque est élevé pour les personnes, l’article 34 impose de les informer également.

Un cabinet gagne à décider à froid qui fait quoi dans ce cas : qui constate, qui qualifie, qui notifie, où se consigne l’incident.

Par où commencer

Trois chantiers, dans cet ordre : le registre (il révèle tout le reste), l’inventaire des sous-traitants avec leurs contrats, puis la politique de durées de conservation appliquée réellement au portefeuille. Les mentions d’information et la procédure de réponse aux demandes d’accès ou d’effacement viennent ensuite, presque naturellement, une fois le registre écrit.

Un CRM métier aide sur un point précis : centraliser les données au lieu de les disperser entre tableurs, boîtes mail et dossiers locaux. Un cabinet qui sait où sont ses données peut appliquer une durée de conservation ; un cabinet dont les données vivent dans quinze endroits ne le peut pas.