RGPD

Le RGPD tel qu’il se présente vraiment chez un intermédiaire

Dans la plupart des cabinets, personne n’a un poste dédié à la protection des données. Le sujet arrive par la bande : un client demande la suppression de son dossier, un assureur exige une clause de sous-traitance, un candidat locataire s’étonne de la liste des pièces réclamées. À ce moment-là, il est trop tard pour construire une organisation, il faut la montrer.

Vous traitez des données sensibles sans forcément le nommer ainsi

Un questionnaire de santé en prévoyance, un motif de refus de prêt, un justificatif de revenus : ces informations relèvent de catégories que le règlement protège plus fortement que le reste. Le fait qu’elles arrivent spontanément, envoyées par le client lui-même, ne change rien aux obligations qui pèsent sur celui qui les conserve.

Trois métiers, trois zones de risque distinctes

Le courtier en assurance concentre le risque sur la santé et la prospection. Le professionnel du crédit le concentre sur la solvabilité et la conservation des pièces après un dossier refusé. Le professionnel de l’immobilier le concentre sur les dossiers de candidature locative et la liste des pièces exigibles. Une formation utile part de ces situations, pas des articles du texte.

Ce que le règlement demande, en une phrase

Ne collecter que ce qui sert, savoir dire pourquoi on le garde et combien de temps, informer les personnes, sécuriser l’accès, et pouvoir démontrer tout cela. Le reste n’est que déclinaison. Cette logique de preuve est la même que celle qui gouverne l’ensemble des dispositifs de conformité du secteur.

Les traitements que vous réalisez tous les jours

Avant d’écrire quoi que ce soit, il faut regarder ce qui existe déjà. Le tableau ci-dessous reprend les quatre situations qui reviennent le plus souvent en cabinet, avec la donnée réellement en jeu, la pièce à pouvoir présenter et l’erreur observée le plus fréquemment.

Lire ce tableau dans le bon sens

La colonne qui compte n’est pas la première mais la troisième. Une organisation conforme se reconnaît à sa capacité à sortir une pièce en quelques minutes. Tout ce qui repose sur la mémoire d’une personne se transforme en manquement le jour où cette personne est absente.

Le cas particulier de l’immobilier

La candidature locative est le seul traitement où la liste des pièces autorisées est encadrée de manière limitative. C’est aussi celui qui génère le plus de réclamations. Le module dédié aux données personnelles en immobilier traite cette question dossier par dossier, et prolonge utilement les obligations vues en déontologie.

Le registre des traitements, première pièce réclamée

Quand une réclamation remonte, la première demande porte presque toujours sur le registre. Ce document n’a rien d’un exercice de style : il liste ce que vous faites des données, pour quelle finalité, pendant combien de temps et avec qui vous les partagez.

À quoi il ressemble concrètement

Un tableau, souvent une dizaine de lignes dans une structure de taille modeste : gestion des clients, prospection, ressources humaines, vidéosurveillance éventuelle, sous-traitants. Chaque ligne indique la finalité, les catégories de personnes et de données, la durée de conservation et les destinataires.

Qui doit le tenir dans une petite structure

Le dirigeant, en pratique, souvent avec l’appui d’un collaborateur référent. L’enjeu n’est pas de désigner quelqu’un mais de fixer une date de revue annuelle. Un registre écrit une fois puis oublié pendant quatre ans est plus dangereux qu’utile, parce qu’il documente un écart entre le déclaré et le réel.

Faut-il désigner un délégué à la protection des données

La désignation n’est obligatoire que dans certains cas, notamment lorsque l’activité implique un suivi régulier et systématique à grande échelle ou le traitement de données sensibles à grande échelle. Beaucoup de cabinets n’entrent pas dans ces cas mais gagnent à nommer un référent interne, ne serait-ce que pour savoir qui répond quand une demande arrive. Point à faire valider par votre conseil selon la taille et l’activité de votre structure.

Le lien avec les autres obligations documentaires

Registre des traitements, registre des réclamations, dossier de conseil, attestations de formation : ce sont quatre classeurs différents mais une seule discipline. Les professionnels qui tiennent l’un tiennent généralement les autres, et ce sont ceux dont les contrôles se passent bien, que ce soit en intermédiation en crédit ou en assurance.

Prospection, démarchage et consentement

C’est le terrain sur lequel les sanctions sont les plus visibles, parce que les personnes concernées se plaignent. Un appel non sollicité laisse une trace, une réclamation, parfois un signalement. La question posée est toujours la même : d’où vient ce numéro.

L’origine du fichier, question numéro un

Un fichier acheté n’est pas interdit par principe, mais il engage celui qui l’utilise. Il faut pouvoir démontrer que les personnes ont été informées de la cession et de la finalité. En pratique, beaucoup de fichiers commercialisés ne permettent pas cette démonstration, et c’est l’utilisateur final qui répond.

Ce que le cadre du démarchage téléphonique a changé

Le renforcement des règles applicables à l’appel non sollicité a rapproché deux mondes qui s’ignoraient : la protection des données d’un côté, les règles de commercialisation de l’autre. Le module consacré au démarchage téléphonique détaille les obligations d’identification, de recueil et de conservation, y compris pour les campagnes confiées à un prestataire.

Enregistrement des appels et sous-traitance

Enregistrer, c’est traiter. L’enregistrement suppose une information claire, une durée limitée et un accès restreint. Lorsque la campagne est confiée à un centre d’appels, un contrat de sous-traitance précise les rôles : le donneur d’ordre reste responsable du traitement et devra répondre en cas de dérive.

Le piège le plus courant : considérer qu’un client existant peut être prospecté sans limite. Le rattachement à une relation contractuelle ne couvre pas toutes les offres, notamment lorsque le produit proposé n’a rien à voir avec le contrat en cours. C’est l’un des écarts les plus régulièrement relevés chez les intermédiaires soumis à la directive distribution en assurance.

Sécurité : le RGPD ne s’arrête pas au classeur

La partie documentaire rassure, mais les incidents réels viennent presque toujours de l’usage quotidien des outils. Une boîte e-mail compromise expose en une nuit des années de dossiers clients, avec des pièces d’identité et des relevés bancaires.

Les incidents les plus banals sont les plus coûteux

Pièce jointe ouverte, mot de passe réutilisé sur un site tiers, accès resté ouvert après le départ d’un collaborateur : ce sont les trois causes qui reviennent. Aucune ne relève de la haute technicité, toutes relèvent de l’habitude.

Messagerie, mots de passe et postes partagés

Trois mesures suffisent à couvrir l’essentiel dans une petite structure : une authentification à deux facteurs sur la messagerie et les extranets, des comptes nominatifs plutôt que partagés, et une procédure de retrait des accès le jour du départ. Le module cybersécurité des données bancaires aborde ces points côté banque et courtage.

Notifier une violation de données

Lorsqu’une violation risque de porter atteinte aux droits des personnes, elle doit être notifiée à l’autorité de contrôle dans un délai de soixante-douze heures, et les personnes concernées doivent être informées lorsque le risque est élevé. Le point difficile n’est pas la notification mais la détection : encore faut-il savoir qu’il s’est passé quelque chose. Délais et cas de notification à confirmer avec votre conseil.

Résilience opérationnelle : la marche suivante

Pour les acteurs financiers, la logique s’étend désormais à la continuité d’activité et à la surveillance des prestataires informatiques. Le module DORA traite cette dimension, qui recoupe largement les exigences de sécurité issues du règlement sur les données.

Se former au RGPD selon votre métier

Il n’existe pas une formation RGPD unique qui conviendrait à tout le monde. Le bon parcours dépend du type de données que vous manipulez et du moment où vous les recevez.

Vous exercez dans l’immobilier

Commencez par les données personnelles appliquées aux dossiers de candidature et aux mandats, puis complétez par la déontologie. Ces heures s’intègrent au renouvellement des professionnels soumis à la loi ALUR et se combinent naturellement avec les autres modules de la catégorie immobilier.

Vous êtes courtier en crédit ou mandataire

La priorité porte sur la conservation des pièces de solvabilité et la traçabilité des accès. Les dossiers refusés sont la zone grise la plus fréquente : ils continuent souvent de vivre dans un dossier réseau pendant des années. Le sujet est traité dans les parcours banque et crédit.

Vous distribuez de l’assurance

Le cœur du sujet est la donnée de santé et le recueil des exigences et besoins. Le raisonnement se rattache directement aux obligations de conseil vues dans les parcours IAS.

Vous conseillez en gestion de patrimoine

La donnée patrimoniale complète est probablement le fichier le plus sensible du secteur, parce qu’il agrège revenus, famille, santé et projets. Les parcours gestion de patrimoine intègrent cette dimension au recueil d’informations.

Vous êtes en reconversion vers ces métiers

Traitez le RGPD dès l’entrée dans le métier plutôt qu’après. C’est un des rares sujets où un débutant peut être immédiatement meilleur qu’un professionnel installé, simplement parce qu’il n’a pas encore pris de mauvaises habitudes de classement.

Combien de temps y consacrer

Quelques heures ciblées suffisent pour une première mise à niveau, à condition qu’elles débouchent sur trois livrables : un registre à jour, une durée de conservation par type de dossier, et une consigne écrite sur les accès. Sans ces trois pièces, la formation reste théorique.

Questions fréquentes sur le RGPD chez les intermédiaires