RGPD en cabinet de courtage ou de CGP : obligations et sensibilisation

Un cabinet de courtage ou de conseil en gestion de patrimoine manipule des données parmi les plus sensibles qui soient : pièces d'identité, revenus, patrimoine, situation familiale, parfois des données de santé pour la prévoyance ou l'assurance emprunteur. Le RGPD s'applique à tous, quelle que soit la taille de la structure. Ce guide passe en revue les six obligations qu'un contrôle de la CNIL vérifie en priorité, et explique pourquoi la sensibilisation du personnel n'est pas une option.

1. Tenir un registre des traitements

L'article 30 du RGPD impose un registre des activités de traitement. La CNIL rappelle qu'il concerne tous les organismes, publics ou privés, quelle que soit leur taille. Les structures de moins de 250 salariés bénéficient d'une dérogation, mais elle est étroite : elles doivent tout de même inscrire les traitements non occasionnels, ceux qui présentent un risque pour les personnes et ceux qui portent sur des données sensibles. Pour un cabinet, la gestion des clients, la paie, la prospection et le traitement des données de santé entrent dans le registre.

Chaque fiche du registre décrit la finalité, les catégories de personnes et de données, les destinataires, les durées de conservation, les éventuels transferts hors Union européenne et une description générale des mesures de sécurité. La CNIL propose un modèle de registre au format tableur, suffisant pour un cabinet de quelques personnes.

2. Informer les clients

Les articles 13 et 14 du RGPD imposent d'informer les personnes au moment de la collecte : identité du responsable, finalités, base légale, caractère obligatoire ou facultatif de la collecte, destinataires, durées de conservation, droits, coordonnées du délégué à la protection des données s'il en existe un, droit de réclamation auprès de la CNIL. L'information doit être concise, compréhensible et facilement accessible.

Dans un cabinet, cela se traduit par une mention dans la lettre de mission ou le document d'entrée en relation, une politique de confidentialité sur le site et un texte court sur les formulaires en ligne. La CNIL recommande une information à plusieurs niveaux : l'essentiel en première lecture, le détail accessible par un lien.

3. Fixer et appliquer des durées de conservation

Le RGPD ne donne pas de durées chiffrées ; c'est au responsable de traitement de les définir et de les justifier. La CNIL distingue trois phases : la base active, le temps nécessaire à la finalité ; l'archivage intermédiaire, à accès restreint, pour répondre à une obligation légale ou à un risque de contentieux ; puis la suppression ou l'archivage définitif.

Pour un cabinet, la difficulté vient du croisement entre le RGPD et les obligations sectorielles. Les documents LCB-FT doivent être conservés cinq ans après la fin de la relation d'affaires ; les documents liés à un contrat d'assurance suivent les délais de prescription applicables. Le bon réflexe est d'écrire, traitement par traitement, la durée retenue et le texte qui la fonde, puis de programmer les purges.

4. Encadrer les sous-traitants

Un logiciel de gestion de cabinet hébergé, un outil d'agrégation de comptes, un prestataire de signature électronique, un service d'envoi d'e-mails : ce sont des sous-traitants au sens du RGPD. L'article 28 impose un contrat écrit qui précise que le sous-traitant ne traite les données que sur instruction, garantit la confidentialité de son personnel, met en œuvre les mesures de sécurité de l'article 32, aide le responsable à répondre aux demandes de droits et supprime ou restitue les données en fin de contrat.

Concrètement : listez vos outils, vérifiez que chaque contrat contient ces clauses, et notez dans le registre où sont hébergées les données. Un fournisseur qui ne peut pas fournir ces éléments est un risque à traiter.

5. Sensibiliser et former le personnel

C'est l'obligation la plus souvent négligée, alors qu'elle est écrite dans le règlement. L'article 39 du RGPD confie au délégué à la protection des données la mission de contrôler le respect du règlement, « y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement ». Même sans délégué désigné, ce qui est le cas de la plupart des petits cabinets, la responsabilité de l'article 24 impose au responsable de traitement de mettre en œuvre des mesures organisationnelles appropriées, et la formation en fait partie.

La CNIL est explicite dans son guide sur la sécurité : les solutions techniques seules ne protègent pas les données, car l'erreur humaine et l'ingénierie sociale sont à l'origine de nombreux incidents. Elle recommande d'organiser des sessions de sensibilisation aux risques (hameçonnage, rançongiciel, usurpation d'identité), d'adapter les messages aux fonctions, de s'assurer des compétences des personnes qui manipulent des données et de documenter les procédures dans un langage accessible. Parmi les erreurs à éviter, elle cite le fait de ne pas former les nouveaux arrivants dont le poste implique un traitement intensif de données.

Pour un cabinet, un programme raisonnable comprend :

• une formation d'entrée pour tout nouveau collaborateur, avant l'accès aux dossiers clients ;
• une actualisation régulière, courte, centrée sur les incidents de l'année et les changements d'outils ;
• une charte informatique signée, qui rappelle les règles de mots de passe, de messagerie, de télétravail et de sortie de documents ;
• une procédure de gestion des violations de données, car l'article 33 impose de notifier la CNIL dans les 72 heures lorsqu'une violation présente un risque pour les personnes.

Ce programme se combine avec les autres obligations du cabinet. La protection des données personnelles figure parmi les compétences éligibles à la formation continue DDA des distributeurs d'assurance. Notre formation RGPD pour professionnels réglementés est construite pour être rattachée à ce cadre, et notre guide sur la formation DDA explique les justificatifs à conserver.

6. Sécuriser

L'article 32 impose des mesures techniques et organisationnelles proportionnées aux risques : chiffrement ou pseudonymisation quand c'est possible, sauvegardes, gestion des habilitations, tests réguliers. Pour un cabinet, les priorités sont l'authentification forte sur la messagerie et les outils métier, le chiffrement des postes et des supports mobiles, la limitation des accès aux dossiers selon les fonctions, et la suppression des accès au départ d'un collaborateur.

Les sanctions

La CNIL dispose d'une gradation : rappel à l'ordre, injonction de mise en conformité éventuellement assortie d'une astreinte, limitation ou suspension d'un traitement, amende administrative. Le plafond atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves, et la décision peut être rendue publique. Une procédure simplifiée existe pour les dossiers de moindre gravité, avec une amende plafonnée à 20 000 euros.

Pour un cabinet, la publicité d'une sanction pèse souvent plus lourd que le montant. Un dossier de conformité tenu à jour, avec des attestations de formation du personnel, est la meilleure façon de démontrer sa bonne foi en cas de contrôle. Retrouvez les autres obligations du courtier sur la page formations pour courtiers en assurance.

Questions fréquentes

Un cabinet de trois personnes doit-il tenir un registre ?

Oui. La dérogation des structures de moins de 250 salariés ne couvre ni la gestion des clients, qui est un traitement non occasionnel, ni les données de santé, qui sont sensibles. Le modèle de la CNIL permet de le faire en quelques heures.

Faut-il désigner un délégué à la protection des données ?

La désignation est obligatoire dans trois cas définis à l'article 37, dont le traitement à grande échelle de données sensibles. Pour un petit cabinet, elle est rarement obligatoire mais toujours possible, y compris en mutualisant un délégué externe. Sans délégué, le dirigeant assume les missions de pilotage.

La formation du personnel est-elle vraiment obligatoire ?

Le RGPD la cite expressément à l'article 39 parmi les points contrôlés par le délégué, et la CNIL la classe parmi les précautions élémentaires de sécurité. En cas d'incident, l'absence de sensibilisation documentée aggrave l'appréciation du manquement.

Combien de temps garder les dossiers d'un client parti ?

Cela dépend du traitement. Les pièces LCB-FT se conservent cinq ans après la fin de la relation ; les autres documents suivent les délais de prescription applicables. Écrivez la durée retenue dans le registre, avec sa justification.