Guide courtage & assurance
DPO externalisé pour courtier
et agent d'assurance.
Contrats santé, prévoyance, dépendance : un courtier ou un agent général manipule au quotidien des données de santé, transmises à une ou plusieurs compagnies. C'est un profil RGPD à la fois sensible et double, que VIGIL est conçu pour prendre en charge sans jargon.
Des données de santé au cœur de votre activité.
Un contrat de complémentaire santé, de prévoyance ou de dépendance suppose de recueillir des informations sur l'état de santé du client — parfois via un questionnaire médical, parfois via l'historique des remboursements. L'article 9 du RGPD range ces informations parmi les catégories particulières de données, celles qui bénéficient d'une protection renforcée. Cela ne veut pas dire que l'activité est interdite : cela veut dire qu'elle exige des garanties supplémentaires — accès restreint, conservation limitée à la durée du contrat et des obligations légales qui suivent, sécurisation renforcée au sens de l'article 32.
Selon le volume de portefeuille et la nature de l'activité, ce traitement à grande échelle de données sensibles peut suffire à rendre la désignation d'un DPO obligatoire au sens de l'article 37 du RGPD. C'est un point à faire vérifier au regard de votre situation précise plutôt qu'à trancher par principe — mais dans tous les cas, un accompagnement dédié est une bonne pratique pour ce type de portefeuille.
Intermédiaire d'un côté, responsable de traitement de l'autre.
En tant qu'intermédiaire, vous collectez les données de vos clients pour les transmettre à une ou plusieurs compagnies d'assurance en vue de la souscription et de la gestion des contrats. Selon le montage contractuel qui vous lie à la compagnie, vous pouvez être qualifié de responsable de traitement conjoint ou intervenir dans une relation de sous-traitance — la qualification exacte dépend des termes de votre convention de courtage ou de mandat, et mérite d'être vérifiée clause par clause plutôt que présumée.
Mais vous êtes aussi, à part entière, responsable de traitement pour votre propre activité : gestion de votre clientèle, de vos prospects, de votre fichier commercial, et prospection. Si vous démarchez par email, un consentement préalable (opt-in) est requis pour des particuliers ; un régime assoupli existe pour la prospection B2B sur des produits analogues auprès de clients déjà existants (« soft opt-in »). Dans tous les cas, un moyen simple de se désinscrire doit figurer à chaque envoi.
- ✓ registre des traitements distinguant les deux casquettes (voir notre page dédiée) ;
- ✓ vérification des clauses de protection des données dans vos conventions avec les compagnies ;
- ✓ conformité de vos campagnes de prospection commerciale.
Votre CRM et logiciel de gestion sont des sous-traitants.
Le logiciel de gestion de contrats, le CRM commercial ou l'outil de signature électronique que vous utilisez traitent des données personnelles pour votre compte : ce sont des sous-traitants au sens de l'article 28 du RGPD. Un contrat écrit doit encadrer précisément l'objet, la durée, la finalité et les obligations de sécurité de chacun d'eux, ainsi que le sort des données en fin de contrat. Plus le volume de contrats sensibles est important, plus cette vérification a de valeur. Le détail est expliqué sur notre page sur les sous-traitants RGPD.
Une précision utile : le RGPD s'applique en complément de la réglementation sectorielle propre à l'assurance (contrôle ACPR, directive sur la distribution d'assurances - DDA), sans s'y substituer. Les deux cadres coexistent et répondent à des logiques différentes.
Trois façons de s'en occuper.
DPO interne
~70 000€/an
Recrutement, charges, congés.
Cabinet juridique
dès 1 500€/mois
Facturation horaire, délais de réponse, pas d'IA intégrée.
VIGIL
dès 99€/mois
IA H24 + juriste de magistère joignable sur demande.
Détail complet des 3 formules (Bouclier, Confiance, Sérénité) sur la page tarifs. Vous gérez un portefeuille de particuliers en plus de l'assurance ? Voir aussi notre page DPO externalisé pour PME.
Faisons le point sur votre portefeuille.
15 minutes suffisent pour clarifier votre situation exacte et vérifier si la désignation d'un DPO s'impose. Détail des formules sur notre page tarifs.
Faire le point avec nousContenu à visée informative, à jour au moment de sa rédaction. Il ne constitue pas un conseil juridique personnalisé au sens de la loi n°71-1130 du 31 décembre 1971 — chaque situation mérite une analyse dédiée.