Intermédiaire en assurance : obligations RGPD lors du recueil des besoins client imposé par la DDA — CNIL, ACPR et base légale du traitement

Tout intermédiaire en assurance — qu’il soit courtier (COA), agent général (AGA) ou mandataire (MIA) — est soumis à une double contrainte réglementaire lorsqu’il recueille les exigences et besoins d’un client : d’un côté, l’obligation issue de la Directive sur la Distribution d’Assurances (DDA) 2016/97/UE, transposée aux articles L. 521-1 et suivants du Code des assurances, impose un recueil formalisé avant toute proposition de contrat ; de l’autre, le Règlement Général sur la Protection des Données (RGPD) encadre strictement la collecte, le traitement et la conservation des données personnelles ainsi recueillies. L’articulation entre ces deux corpus normatifs est une source récurrente d’erreurs pour les professionnels, et un axe de contrôle croissant de l’ACPR et de la CNIL. Comprendre les obligations RGPD du recueil des besoins client en assurance est aujourd’hui indispensable à toute structure immatriculée à l’ORIAS.

1. Ce que la DDA impose concrètement lors du recueil des exigences et besoins

L’article L. 521-4 du Code des assurances oblige tout distributeur à préciser, sur la base des informations obtenues auprès du client, les exigences et besoins exprimés ainsi que les raisons qui motivent le conseil fourni. Cette obligation s’applique quel que soit le niveau de complexité du produit distribué, et elle varie en intensité selon qu’il s’agit d’un simple recueil (IAS 1, IAS 2, IAS 3) ou d’un véritable conseil personnalisé. Le document de recueil — souvent intégré dans une fiche de renseignements ou un questionnaire standardisé — constitue une pièce contractuelle à part entière.

En pratique, un courtier en assurance-vie collecte, lors de cette étape, des données très sensibles : situation familiale, revenus, patrimoine, horizon de placement, mais aussi parfois des données de santé pour les produits de prévoyance. Ces données sont, au sens du RGPD, des données personnelles soumises à l’article 4 du règlement européen, et pour certaines — notamment les données de santé — à la qualification de données sensibles au sens de l’article 9 du RGPD. L’intermédiaire devient ainsi, à compter de la collecte, un responsable de traitement au sens de l’article 4(7) du RGPD.

Pour aller plus loin sur les obligations de formalisation documentaire imposées par l’ACPR à l’issue du recueil, consultez notre article sur l’archivage et la traçabilité du devoir de conseil DDA, qui détaille les durées de conservation exigées par l’ACPR.

2. Quelle base légale de traitement choisir pour le recueil des besoins : exécution du contrat, obligation légale ou intérêt légitime ?

Le RGPD impose d’identifier une base légale de traitement avant toute collecte de données (article 6 du RGPD). Pour les intermédiaires en assurance, trois bases légales sont susceptibles de s’appliquer lors du recueil des besoins, et leur choix a des conséquences directes sur les droits des personnes concernées et sur les formalités à accomplir.

• L’exécution d’un contrat ou de mesures précontractuelles (article 6(1)(b) du RGPD) : c’est la base légale la plus naturelle pour le recueil des exigences et besoins. L’intermédiaire collecte des données pour être en mesure de proposer un contrat adapté. Cette base est cohérente avec l’obligation DDA, mais elle se limite strictement aux données nécessaires à la proposition commerciale.
• L’obligation légale (article 6(1)(c) du RGPD) : dans la mesure où le recueil est imposé par l’article L. 521-4 du Code des assurances, certaines données peuvent être traitées sur cette base. Elle présente l’avantage de ne pas être révocable par le client, ce qui sécurise l’intermédiaire face à un éventuel droit d’opposition.
• L’intérêt légitime (article 6(1)(f) du RGPD) : cette base peut s’appliquer pour des traitements secondaires, comme l’analyse du portefeuille client ou le profilage commercial, mais elle implique un test de mise en balance et reste contestable par le client via le droit d’opposition prévu à l’article 21 du RGPD.

La CNIL recommande de distinguer soigneusement les traitements selon leur finalité : la finalité de conformité DDA (base légale : obligation légale ou précontractuelle) doit être clairement séparée de la finalité commerciale (prospection, relance, recommandation produit), qui relève du consentement ou de l’intérêt légitime. Un courtier qui utilise la fiche de recueil des besoins à des fins de sollicitation commerciale non déclarée s’expose à une double sanction : disciplinaire de l’ACPR pour manquement au devoir de conseil, et administrative de la CNIL pour traitement sans base légale adéquate.

Selon l’article L. 521-4 du Code des assurances sur Légifrance, l’intermédiaire doit préciser, sur la base des informations recueillies auprès du souscripteur, les exigences et besoins exprimés et les raisons qui motivent le conseil fourni, ce qui fonde la légitimité du traitement au sens du RGPD.

3. Données de santé dans le recueil des besoins : un régime d’exception renforcé

Pour les produits de prévoyance, de complémentaire santé ou d’assurance emprunteur, le recueil des besoins implique fréquemment la collecte de données relatives à la santé au sens de l’article 4(15) du RGPD. Ces données constituent des données sensibles soumises à l’interdiction de principe de l’article 9(1) du RGPD, et leur traitement n’est autorisé que sur le fondement d’une exception expressément prévue.

En matière d’assurance, l’exception applicable est généralement celle de l’article 9(2)(a) du RGPD — le consentement explicite de la personne concernée — ou celle de l’article 9(2)(b) relative aux obligations et droits propres au responsable de traitement dans le domaine du droit du travail et de la protection sociale, lorsqu’un texte national l’autorise. En France, l’article 9 de la loi Informatique et Libertés modifiée prévoit des dérogations sectorielles, notamment pour les contrats d’assurance, mais elles sont strictement encadrées.

Concrètement, un mandataire d’assurance (MIA) qui collecte un questionnaire de santé dans le cadre d’une proposition d’assurance prévoyance doit :

• Obtenir le consentement explicite du client avant tout traitement de données de santé, distinct du consentement contractuel ;
• Informer le client de la possibilité de retirer ce consentement à tout moment, sans que cela n’affecte la licéité des traitements antérieurs ;
• Tenir un registre des activités de traitement mentionnant spécifiquement le traitement de données sensibles (article 30 du RGPD) ;
• Évaluer si une analyse d’impact relative à la protection des données (AIPD) est requise en application de l’article 35 du RGPD, notamment en cas de traitement à grande échelle.

4. Durée de conservation, droit d’opposition et position croisée ACPR-CNIL

L’une des tensions les plus délicates entre DDA et RGPD porte sur la durée de conservation des documents issus du recueil des besoins. L’ACPR impose, en application des articles L. 521-1 et R. 521-1 du Code des assurances, une conservation des pièces justificatives du devoir de conseil pendant toute la durée du contrat et au minimum cinq ans après son terme. Le RGPD, quant à lui, impose le principe de limitation de la conservation (article 5(1)(e)), selon lequel les données ne doivent pas être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées.

Ces deux exigences ne sont pas nécessairement contradictoires : la conservation longue durée imposée par l’ACPR constitue une obligation légale au sens de l’article 6(1)(c) du RGPD, qui justifie le maintien des données au-delà de ce que le client pourrait demander par voie de droit à l’effacement (article 17(3)(b) du RGPD). Cependant, l’intermédiaire doit clairement documenter cette justification dans sa politique de conservation et son registre de traitement.

Le droit d’opposition prévu à l’article 21 du RGPD mérite une attention particulière. Lorsque la base légale du traitement est l’intérêt légitime, le client peut s’opposer au traitement à tout moment. En revanche, si l’intermédiaire fonde le traitement sur l’obligation légale (article L. 521-4 du Code des assurances), le droit d’opposition ne s’applique pas à cette finalité spécifique. Il est donc essentiel que la politique de confidentialité remise au client distingue ces bases légales et les droits afférents, sous peine de manquement simultané au RGPD (information incomplète) et à la DDA (document non conforme).

L’ACPR, dans ses contrôles thématiques sur la distribution, vérifie désormais que le document de recueil des besoins intègre une notice d’information RGPD conforme. À défaut, l’intermédiaire s’expose à un grief de manquement au devoir d’information précontractuelle, distinct du manquement CNIL. Pour comprendre comment l’ACPR articule ses contrôles sur l’ensemble du dispositif DDA, notre article sur la gouvernance produit (POG) et les obligations DDA apporte un éclairage complémentaire sur les exigences de l’autorité de contrôle.

5. Obligations pratiques : ce que l’intermédiaire doit mettre en place concrètement

Au-delà de la théorie juridique, la mise en conformité RGPD du processus de recueil des besoins client impose des actions opérationnelles précises. Un courtier ou un mandataire qui ne les a pas encore déployées s’expose à un risque de double contrôle — ACPR sur le fond DDA, CNIL sur le traitement des données — avec des sanctions pouvant être cumulées. Voici les actions incontournables :

• Intégrer une mention d’information RGPD dans le document de recueil des besoins : identité du responsable de traitement, finalités, base légale, durée de conservation, droits du client (accès, rectification, effacement, opposition, portabilité), coordonnées du DPO s’il existe, droit de réclamation auprès de la CNIL.
• Séparer les finalités de traitement : distinguer clairement dans le registre et dans la documentation client la finalité DDA (recueil réglementaire) de la finalité commerciale (proposition de produits complémentaires, relance).
• Sécuriser les supports de collecte : que le recueil se fasse via un formulaire papier, un CRM ou un portail en ligne, les données doivent être protégées par des mesures techniques et organisationnelles appropriées (article 32 du RGPD).
• Former les collaborateurs : les personnes qui conduisent l’entretien de recueil doivent être sensibilisées aux obligations RGPD, notamment sur la nécessité de ne collecter que les données strictement nécessaires (principe de minimisation, article 5(1)(c) du RGPD).
• Conclure un accord de sous-traitance si un prestataire externe (logiciel CRM, plateforme de gestion) traite les données pour le compte de l’intermédiaire (article 28 du RGPD).
• Documenter la durée de conservation dans le registre et dans la politique de confidentialité, en justifiant explicitement la base légale permettant de dépasser le strict nécessaire (obligation ACPR de 5 ans).

À titre d’exemple concret : un courtier spécialisé en assurance emprunteur qui recueille des données de santé dans le cadre d’un questionnaire médical doit, avant de transmettre ce questionnaire à l’assureur, s’assurer qu’il a obtenu le consentement explicite du client, que ce consentement est tracé et horodaté, et que son contrat avec l’assureur prévoit bien la répartition des responsabilités en matière de traitement de données. Notre article sur la distribution de l’assurance emprunteur par les intermédiaires détaille les contraintes spécifiques à ce segment.

La documentation officielle de la CNIL sur les bases légales du traitement constitue le référentiel de base pour identifier la fondement adéquat à chaque traitement mis en œuvre lors du recueil des besoins.

Enfin, les intermédiaires soumis à la lutte contre le blanchiment et le financement du terrorisme (LCB-FT) doivent être attentifs à l’articulation entre les données collectées dans le cadre du recueil DDA et celles recueillies pour la vigilance client TRACFIN. Notre article sur les obligations LCB-FT des intermédiaires en assurance traite de cette articulation spécifique.

Pour le cadre réglementaire européen, la Directive DDA 2016/97/UE publiée sur EUR-Lex précise les obligations de recueil d’informations qui fondent la légitimité des traitements de données personnelles réalisés à cette occasion.

Questions fréquentes

Quelle est la base légale RGPD applicable au recueil des besoins imposé par la DDA pour un intermédiaire en assurance ?

La base légale principale est l’obligation légale au sens de l’article 6(1)(c) du RGPD, dans la mesure où l’article L. 521-4 du Code des assurances impose ce recueil à tout intermédiaire avant toute proposition de contrat. La base précontractuelle (article 6(1)(b)) est également applicable pour les données nécessaires à l’élaboration de la proposition. En revanche, si l’intermédiaire utilise les données à des fins de prospection commerciale, une base légale distincte — consentement ou intérêt légitime — est requise pour cette finalité supplémentaire. academieconformite.fr recommande de documenter précisément cette distinction dans le registre des traitements.

Un client peut-il exercer son droit d’opposition ou d’effacement sur les données collectées lors du recueil des besoins ?

Le droit d’opposition (article 21 du RGPD) ne s’applique pas lorsque le traitement est fondé sur une obligation légale. Ainsi, les données recueillies en application de l’article L. 521-4 du Code des assurances, conservées pour répondre aux exigences de l’ACPR (minimum 5 ans post-contrat), ne peuvent faire l’objet d’un effacement ou d’une opposition valide. En revanche, les données traitées sur la base de l’intérêt légitime — notamment à des fins de profilage commercial — sont opposables. L’intermédiaire doit informer clairement le client de cette distinction dans sa notice RGPD.

Les données de santé collectées dans un questionnaire de prévoyance sont-elles soumises à un régime particulier ?

Oui. Les données de santé constituent des données sensibles au sens de l’article 9 du RGPD et sont soumises à une interdiction de principe, levée uniquement par des exceptions limitatives. En assurance prévoyance ou complémentaire santé, l’intermédiaire doit recueillir le consentement explicite du client avant tout traitement de ces données, distinctement du consentement contractuel. Ce consentement doit être traçable, horodaté et révocable à tout moment. Une analyse d’impact (AIPD) peut également être requise si le traitement est réalisé à grande échelle. academieconformite.fr propose des formations DDA intégrant ces exigences.

L’ACPR contrôle-t-elle la conformité RGPD des documents de recueil des besoins lors de ses inspections ?

L’ACPR n’est pas l’autorité compétente en matière de RGPD — ce rôle appartient à la CNIL — mais elle vérifie que le document de recueil des besoins est complet et conforme aux obligations de la DDA, ce qui inclut désormais la présence d’une notice d’information RGPD intégrée ou annexée. L’absence de cette notice peut constituer un manquement au devoir d’information précontractuelle sanctionnable par l’ACPR sur le fondement des articles L. 521-1 et suivants du Code des assurances, indépendamment de toute sanction CNIL. Les deux autorités peuvent donc agir simultanément sur des faits connexes.