ACPR intermédiaire assurance CRM données de santé devoir de conseil DDA : obligations cumulées et conformité

Un courtier ou mandataire qui déploie un CRM collectant des données de santé dans le cadre du recueil des besoins DDA se trouve à l’intersection de trois corpus réglementaires distincts mais étroitement imbriqués : les exigences de distribution posées par la Directive sur la Distribution d’Assurances (DDA) 2016/97/UE, les obligations prudentielles et de contrôle imposées par l’ACPR, et le régime de protection des données personnelles de catégorie particulière issu du RGPD et de la loi Informatique et Libertés. La méconnaissance de l’un de ces trois piliers expose l’intermédiaire à des sanctions disciplinaires, pécuniaires et pénales qui peuvent se cumuler. Cet article décrypte précisément les obligations applicables, segment par segment, pour permettre à tout responsable conformité d’élaborer une documentation robuste et opposable.

1. Le cadre DDA et ACPR applicable au recueil des besoins : rappel des fondamentaux

La Directive DDA 2016/97/UE, transposée aux articles L520-1 et suivants du Code des assurances, impose à tout intermédiaire en assurance de procéder à un recueil des besoins et exigences du client avant toute proposition de souscription. Pour les produits comportant une dimension épargne ou retraite, cette obligation se double d’une évaluation de l’adéquation. La traçabilité documentaire de ce recueil constitue le cœur du devoir de conseil : sans preuve écrite, le conseil est réputé non fourni en cas de litige.

L’ACPR (Autorité de Contrôle Prudentiel et de Résolution) veille au respect de ces obligations pour l’ensemble des intermédiaires immatriculés à l’ORIAS : courtiers (IAS 1), mandataires d’assureurs (IAS 2), mandataires d’intermédiaires (IAS 3) et agents généraux. Lors de ses contrôles sur place ou sur pièces, l’ACPR examine systématiquement la qualité des fichiers clients, la complétude des fiches de recueil des besoins et la nature des informations stockées dans les outils CRM de l’intermédiaire. La mise en conformité après évolution réglementaire doit par ailleurs être anticipée, car l’ACPR n’admet pas les retards prolongés même pour des organisations de petite taille.

La formation continue DDA (15 heures annuelles) constitue également une obligation légale pour tout intermédiaire. Elle doit couvrir, entre autres, la connaissance des produits, les techniques de vente et les exigences réglementaires relatives à la protection du client. L’utilisation d’un CRM traitant des données de santé relève directement de ce périmètre de formation continue.

2. Les données de santé dans un CRM assurance : une catégorie particulière sous surveillance renforcée

Les données de santé constituent des données sensibles de catégorie particulière au sens de l’article 9 du RGPD, dont le traitement est en principe interdit sauf bases légales explicitement listées. Dans le cadre assurantiel, l’intermédiaire collecte fréquemment ces données pour établir un devoir de conseil pertinent : antécédents médicaux pour une assurance emprunteur, état de santé pour une prévoyance collective, pathologies chroniques pour une complémentaire santé. Ces informations transitent et sont stockées dans le CRM, ce qui crée un traitement de données sensibles soumis à des obligations spécifiques.

Le traitement de données de santé est licite dans le cadre assurantiel lorsqu’il repose sur le consentement explicite et libre de la personne concernée (article 9.2.a du RGPD) ou sur la nécessité contractuelle (article 9.2.b). L’intermédiaire doit impérativement documenter la base juridique retenue pour chaque traitement et s’assurer que le consentement est recueilli de façon distincte, non concomitante à la signature du contrat, et réellement libre de toute pression commerciale. La CNIL rappelle régulièrement que le consentement bundlé avec les conditions générales est nul.

Sur le plan organisationnel, l’intermédiaire doit inscrire ce traitement dans son Registre des activités de traitement (RAT) obligatoire pour toute entreprise traitant des données à grande échelle ou des catégories particulières. Si le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, une Analyse d’Impact sur la Protection des Données (AIPD) est requise avant tout déploiement du CRM. Pour un courtier traitant des milliers de dossiers santé, cette AIPD est quasi-systématiquement obligatoire.

Points de vigilance RGPD pour le CRM santé d’un intermédiaire

• Minimisation des données : ne collecter que les données de santé strictement nécessaires au conseil (article 5.1.c RGPD).
• Durée de conservation : les données de santé doivent être supprimées ou anonymisées à l’issue de la relation contractuelle, sous réserve des délais légaux de conservation des preuves de conseil (5 ans après la fin du contrat selon l’article L520-1 du Code des assurances).
• Accès restreint : seuls les collaborateurs habilitésexerçant le devoir de conseil peuvent accéder aux données de santé ; une gestion des droits d’accès granulaire est impérative.
• Sécurité technique : chiffrement des données au repos et en transit, journalisation des accès, politique de mot de passe renforcée.
• Sous-traitance : l’éditeur du CRM est sous-traitant au sens du RGPD; un DPA (Data Processing Agreement) conforme à l’article 28 RGPD doit être signé avant tout déploiement.
• Transferts hors UE : si le CRM est hébergé hors Espace Économique Européen, les garanties de transfert appropriées (clauses contractuelles types, décision d’adéquation) doivent être documentées.

3. Les obligations ACPR spécifiques liées à l’outil CRM et à la gouvernance des données

L’ACPR ne dispose pas d’une compétence directe sur la protection des données personnelles — celle-ci relève de la CNIL. En revanche, l’ACPR contrôle la gouvernance interne de l’intermédiaire, ses procédures écrites et la qualité de la documentation du devoir de conseil. Un CRM mal paramétré, permettant par exemple à des collaborateurs non habilités d’accéder à des fiches clients contenant des données de santé, ou ne traçant pas correctement l’historique des échanges de conseil, sera considéré par l’ACPR comme une défaillance du dispositif de contrôle interne.

L’article L612-39 du Code monétaire et financier habilite l’ACPR à prononcer des sanctions disciplinaires allant du simple avertissement au retrait d’agrément, en passant par des sanctions pécuniaires pouvant atteindre 100 millions d’euros ou 10 % du chiffre d’affaires annuel pour les entités les plus importantes. Pour un courtier de taille moyenne, la publication de la sanction (name and shame) constitue souvent la conséquence la plus redoutée, en raison de l’impact réputationnel immédiat sur la clientèle et les partenaires assureurs. Les conséquences d’une sanction disciplinaire ACPR publiée peuvent s’avérer dévastatrices pour un cabinet de courtage.

Concrètement, l’ACPR attend de l’intermédiaire utilisant un CRM santé qu’il puisse produire lors d’un contrôle :

• La politique de traitement des données intégrant les données de santé, avec les bases légales documentées.
• Les procédures internes décrivant le circuit de collecte, de saisie et d’archivage des données de santé dans le CRM.
• Les habilitations des collaborateurs avec un log d’accès horodaté.
• Le contrat de sous-traitance RGPD signé avec l’éditeur du CRM.
• Les preuves de formation des collaborateurs sur la confidentialité des données de santé.
• L’AIPD réalisée avant le déploiement du CRM.

4. Le tableau des obligations cumulées selon la catégorie IAS

Les obligations varient selon la catégorie d’immatriculation ORIAS de l’intermédiaire, mais la logique de protection des données de santé s’applique de manière uniforme dès lors que des données de catégorie particulière transitent par le CRM.

Pour les mandataires non salariés de catégorie IAS 2, la question de la responsabilité du traitement des données de santé est particulièrement délicate : le mandant (assureur ou courtier principal) peut revendiquer la qualité de responsable de traitement, transférant la charge de conformité sur sa propre organisation. Il est donc impératif que les mandataires vérifient les clauses de leur convention de mandat sur ce point. Les obligations spécifiques de la formation IAS 2 pour mandataires non salariés incluent désormais des modules dédiés à la gestion des données clients.

5. Bonnes pratiques de mise en conformité : un plan d’action opérationnel

Face à la complexité des obligations cumulées, les intermédiaires gagnent à structurer leur mise en conformité autour d’un plan d’action documenté en cinq étapes. Cette approche méthodique est également celle que l’ACPR valorise lors de ses contrôles : elle témoigne d’une culture de conformité proactive plutôt que réactive.

Étape 1 : Cartographie des traitements de données de santé dans le CRM

Identifier précisément quels champs du CRM contiennent ou peuvent contenir des données de santé (questionnaires médicaux, antécédents, pathologies déclarées, handicap, grossesse, etc.). Cette cartographie alimente directement le Registre des activités de traitement (RAT) et constitue le point de départ de l’AIPD. Elle permet également de vérifier la conformité au principe de minimisation : certains champs initialement créés pour le marketing client ne devraient pas accueillir des données de santé.

Étape 2 : Sécurisation juridique des bases légales et du consentement

Revoir les formulaires de recueil des besoins pour y intégrer un consentement explicite et granulaire au traitement des données de santé, distinct de tout autre consentement commercial. Ce consentement doit être librement révocable à tout moment, et le CRM doit permettre de tracer techniquement la révocation pour cesser tout traitement. En parallèle, les mentions d’information RGPD (article 13 RGPD) doivent être complétées pour mentionner spécifiquement le traitement de données de santé, les destinataires (assureurs partenaires, réassureurs), les transferts éventuels et la durée de conservation.

Étape 3 : Contractualisation avec l’éditeur CRM

S’assurer que le contrat signé avec l’éditeur du CRM comporte un avenant RGPD (DPA) conforme à l’article 28 du RGPD, précisant les mesures de sécurité techniques et organisationnelles, les conditions d’audit, la localisation des données, le sort des données en fin de contrat et les modalités de notification des violations de données. De nombreux éditeurs SaaS proposent aujourd’hui des DPA standardisés, mais ceux-ci doivent être analysés au regard des spécificités des données de santé, qui requièrent des garanties renforcées par rapport aux données ordinaires.

Étape 4 : Formation et sensibilisation des collaborateurs

Les collaborateurs accédant au CRM et traitant des données de santé doivent recevoir une formation spécifique couvrant à la fois les obligations DDA (devoir de conseil, traçabilité) et les règles de confidentialité des données de santé. Cette formation peut s’intégrer dans le cadre des 15 heures annuelles de formation continue DDA obligatoires, dès lors qu’elle aborde les implications réglementaires pour la relation client. La digitalisation du recueil des besoins, qu’elle passe par un CRM ou par des outils IA, fait partie des sujets que les intermédiaires doivent désormais maîtriser.

Étape 5 : Audit interne régulier et mise à jour documentaire

La conformité n’est pas un état figé. L’intermédiaire doit programmer des audits internes annuels de son CRM et de ses procédures de traitement des données de santé, notamment à chaque évolution fonctionnelle de l’outil (nouveau module, nouvelle intégration avec un assureur partenaire, migration vers le cloud). Les résultats de ces audits doivent être consignés et conservés, car ils constituent des preuves d’une démarche de conformité continue opposable à l’ACPR et à la CNIL.

Il convient de noter que l’ACPR publie régulièrement des recommandations et des résultats de contrôles thématiques sur son site officiel, que tout responsable conformité doit suivre pour anticiper les évolutions de doctrine. De même, la Directive DDA 2016/97/UE disponible sur EUR-Lex reste le texte de référence pour comprendre le périmètre exact des obligations de conseil et de traçabilité à la source communautaire.

Questions fréquentes

Un intermédiaire en assurance est-il obligé de réaliser une AIPD avant de déployer un CRM collectant des données de santé ?

Oui. Dès lors que le CRM traite des données de santé à grande échelle ou de manière systématique dans le cadre du recueil des besoins DDA, l’Analyse d’Impact sur la Protection des Données (AIPD) est obligatoire avant tout déploiement, en application de l’article 35 du RGPD. La CNIL considère que le traitement systématique de données de catégorie particulière (dont les données de santé) constitue un critère déclencheur de l’AIPD. Un cabinet de courtage spécialisé en assurance santé ou prévoyance entre donc typiquement dans ce cas.

L’ACPR peut-elle sanctionner un intermédiaire pour une mauvaise gestion des données de santé dans son CRM ?

Indirectement, oui. L’ACPR n’est pas compétente pour sanctionner des manquements purement RGPD — cela relève de la CNIL. Mais l’ACPR peut sanctionner un intermédiaire dont le dispositif de contrôle interne est défaillant, dont la documentation du devoir de conseil est lacunaire, ou dont les procédures internes ne garantissent pas la confidentialité et l’intégrité des informations clients. Un CRM mal sécurisé ou mal gouverné peut ainsi fonder une sanction disciplinaire ACPR sur le fondement des manquements aux obligations de gouvernance et de protection de la clientèle.

Quelle base légale RGPD utiliser pour traiter des données de santé dans le cadre du devoir de conseil DDA ?

La base légale la plus solide reste le consentement explicite de la personne concernée (article 9.2.a RGPD), à condition qu’il soit recueilli de façon libre, spécifique, éclairée et univoque. Certains juristes retiennent également la nécessité contractuelle (article 9.2.b RGPD) lorsque les données de santé sont indispensables à l’exécution du contrat d’assurance. En pratique, l’intermédiaire doit documenter précisément la base légale choisie dans son RAT et dans ses mentions d’information RGPD remises au client.

Les formations DDA disponibles sur academieconformite.fr couvrent-elles les obligations RGPD liées aux données de santé ?

Les formations DDA 15 heures proposées par academieconformite.fr intègrent des modules consacrés à la protection des données clients et aux obligations réglementaires croisées (DDA, ACPR, CNIL). Ces formations sont conçues pour les professionnels souhaitant maîtriser l’ensemble des exigences pesant sur leur activité de distribution, y compris les aspects numériques et data. Elles sont éligibles au titre de la formation continue obligatoire des intermédiaires en assurance immatriculés à l’ORIAS.